「DIS ICT EXPO 2026 in 熊本」 - 1 -
企業を守るサイバーセキュリティとは

2月6日、ダイワボウ情報システム（DIS）の総合展示会「DIS ICT EXPO in 熊本」が開催された。会場となったグランメッセ熊本では多様な業種に向けたITソリューション展示ブースが開かれ、新たなPCやソリューションに触れ、最新機能を体験する機会となった。本記事では、最新のセキュリティトレンドを紹介した特別講演の様子をレポートしていく。

　DIS ICT EXPO in 熊本では、特別講演として「企業が取り組むべきデジタルセキュリティ対策とは？〜ITインフラは経営のアキレス腱〜」というタイトルで対談が行われた。本対談では、東京大学先端科学技術研究センター 客員研究員である西尾素己氏と日本マイクロソフト コマーシャルデバイス＆ソリューションセールス事業本部 マーケティング戦略本部 Commercial Windows戦略部長の仲西和彦氏が議論を交わした。専門家の知見から、サイバー攻撃者の視点ではどのような実情が見えてくるのか。本稿を読みつつ、今日から始めるサイバーセキュリティとして、企業経営とその安全確保に有効な対策を考えていきたい。

　対談の初めに西尾氏は、昨今の脅威のトピックをAIと商業化という観点で次のように述べる。「今の攻撃者は、AIを使って研究者レベルの高度な技術を扱えます。例えば私たちが研究、発表した論文をAIが読みます。AIが読んだ内容を攻撃者がさらにAIを使って攻撃のコードやツールにするというシステムとなっているのです。サイバー攻撃に関しては商業化が進んでいます。一般企業に広く普及した製品にSaaSがありますが、同じような概念としてサブスクリプション型でランサムウェアを提供するRaaS（Ransomware as a Service）というサービスが存在します。サイバー犯罪で収益を出すための犯罪セットのようなもので簡単にランサムウェアを作成でき、マニュアルが60言語で展開されています。ランサムウェアの攻撃のグレードを落とさずにRaaSとしてパッケージ化されてしまっているのです。攻撃者からして、企業規模は関係ありません。一気にランサムウェアをまいて、『数打ちゃ当たる』といったような手段で攻撃を行っています」

　また国家規模の情勢として、安全保障はより身近な概念になりつつある。西尾氏は、企業にとって一番身近な安全保障はサイバー攻撃だと見解を述べる。サイバー攻撃は日頃から身近にあり、手元の端末やインターネット上でサイバー攻撃が発生しているというのだ。特に重要なのは、攻撃の量だ。どれだけ今までサイバー攻撃にさらされてきたOSなのかという視点が、サイバーセキュリティの安全保障という意味で一つの鍵となってくる。

　昨今国内で被害が拡大している情報窃取型のマルウェアとして、「インフォスティーラー」というものがある。感染台数が3,000〜4,000万台と言われており、OSのバージョンが古いPCや購入してから年月が過ぎているPCは侵害の危険性が高まるという。

「インフォスティーラーはPCのWebブラウザーを使って入力した全ての情報、VPN接続する時に入力している資格情報、チャットで入力した全ての情報を窃取します。パスワードを変えても、パスワードが抜かれるので、最新の認証情報が取られ続ける状況です。このような事態を防ぐのが多要素認証です。生体認証などと組み合わせて認証を行う多要素認証であれば、平文のIDやパスワードなどが漏れただけでは侵入できません。今は、攻撃に合った対策をしていくことが非常に重要となっています」と西尾氏は続ける。

　OSの安全性というテーマを受けて、仲西氏はWindows OSの利用状況についてこう述べる。「去年10月、Windows 10がサポートを終了しているのですが、12月時点でサポート切れのWindows 10の利用台数は700万台という調査結果が出ています」

　西尾氏は、OSサポート切れの危険性をこう指摘する。「サイバーアタックの研究者の立場から見ると、バージョンが一つでも古いOSは、5〜10分あればすぐに侵入できてしまいます。さらに今、ランサムウェアは関心が高まっており、政府も大企業の関心も高い状況で、深刻な責任問題になってきています。インフォスティーラーに感染し、なぜ大事な認証情報を盗まれたのかと取引先に問われた際、『サポートが切れているOSを使っていました』というのは言い訳になりません。OSアップデートは企業の必須要件と言えます」

　WindowsのOSアップデートは全社適用となると手間が想定されるが、アップデートしてしまえば機能面で安全性を確保している。

　こうした状況の解決策として、仲西氏は「Windows 11では、Windows Helloという機能で『パスキー』を発表しています。生体認証などを利用して、まずはデバイス上でユーザーの本人確認として認証を行います。その認証に成功したら、次はパスワードとIDを使わない新しい方式で、サーバーと安全な通信を確立して保護する仕組みになります」とアピールする。

　Windowsの強みを仲西氏はこう続ける。「どのOSが一番安全かという話の中で、攻撃された数が多いからWindowsは危ないという意見もあります。しかし、攻撃され侵入された数ではなく、どれだけの攻撃を防御しているかが重要です。10年、15年先には、インフォスティーラーがなくても量子コンピューターが悪用され、https通信で暗号化してやりとりしている情報を解読されるという危険性があります。我々マイクロソフトも、脅威に対して対応を始めています。去年10月にWindows 11のアップデートがありましたが、この際に耐量子計算機暗号（PQC）も、Windowsの標準の暗号化の手段として導入しています」

　最後に西尾氏は、経営者に向けてOSアップデートやセキュリティ対策の必要性をこう念押しする。「例えば企業が、IDやパスワードを守るのは、個人の利益を守ることを意味します。しかし、OSのアップデートは、5年後、10年後に国力を落とさないための手だてになります。買い切りのソフトやサブスクリプションサービスでは負担が大きい場合がありますが、Windowsはアップデートで最新のOSにアップデートするだけでよく、これが企業の持続可能性から社会益の保護にもつながっていきます。例えば、皆さんは火災保険に加入していると思います。サイバー攻撃も火災と同様にいつでも現実に起こり得るもので、経営を傾かせるほどの威力があります。サイバー攻撃による損害負担を増やさないためにも、企業の立ち位置から社会とのバランスを考え、事前に対策を取ることが長期的な安全保障につながります」

　世界的に不安定な情勢が続く中では、できる限り企業の安全な経営体制を考慮していくべきだろう。そこで、手元にあるPCの安全性からセキュリティ対策を始めてみてほしい。