なぜサイバーセキュリティ啓発月間は、今も「基本」に立ち返るのか

本文の内容は、2026年10月13日に Crystal Morinが投稿したブログ (URL) を元に日本語に翻訳・再構成した内容となっております。

毎年10月は、セキュリティの基本を見直すための公式な口実を与えてくれます。しかし、基本は季節限定のテーマであってはなりません。基本が守られていないことこそが、毎月のように侵害につながっているからです。

ここに挙げる内容は、AIを使っているかどうかにかかわらず当てはまります。攻撃者はすでにAIを使っているため、AIは防御を運用するうえで最も速い手段でもあります。組織がAIの導入に慎重な場合でも、このリストは変わらず有効です。私たちの調査では、AIツールの50%が把握されないまま稼働していること（これがシャドーAIです）がわかっています。AIワークロードはランタイムで識別でき、クラウド上で動作し、ほかのワークロードと同じ方法で保護されます。

データが示す事実：基本的なギャップが今も侵害を引き起こしている

「何をすべきか」に入る前に、なぜこれらを実行する必要があるのか、その根拠から確認しましょう。

Verizonの2026年データ侵害調査報告書（DBIR）は、確認された22,000件以上の侵害をもとに作成されています。システム侵入とソーシャルエンジニアリングを合わせると、侵害の78%を占めます。さらに、脆弱性の悪用が認証情報の悪用を抜いて最大の初期アクセス経路となり、侵害の31%で確認されました。これは前年比で55%の増加です。

また、人的要素は依然として侵害の62%に関与しており、サードパーティやサプライチェーンの関与は前年比60%増の、全侵害の48%に達しました。原因として挙げられるのは、MFAの欠如、ローテーションされていない、あるいは露出した認証情報、そして最小権限の実装不足です。

アイデンティティは共通する要素です。Google CloudのThreat Horizons Report H1 2026によると、2025年下半期のクラウドおよびSaaSへの侵入の83%で、侵害されたアイデンティティが確認されました。Sysdig 2026 Cloud-Native Security and Usage Reportでは、CSP内のマネージドアイデンティティの97.2%がマシンのものであることがわかりました。2024年版のレポートでは、付与された権限のうち使用されていたのはわずか2%で、残りの98%のアクセス権が攻撃者に狙われる状態で放置されていました。

基本を怠れば、代償を払うことになります

IBMの2026年版Cost of a Data Breach Reportによると、世界平均は約500万ドルに迫り、前年比で12%増加しました。米国の平均は1,150万ドルに上ります。ここまで高額になる理由として、DDoS攻撃やまれな破壊型ランサムウェア攻撃のように、ダウンタイムのコストが含まれるケースがあります。ITICの2024年版Hourly Cost of Downtime Surveyによると、大企業では1時間のダウンタイムで10万ドル以上の損失が発生し、金融、医療、メディア、通信などの業界では1時間あたり500万ドルをはるかに超えることもあります。つまり、平均的な1営業日に相当する時間にわたって重要なサービスが停止すれば、復旧までに数千万ドル規模の損失が出る可能性があります。

必要なセキュリティの基本を、ひとつにまとめました

まだ気づいていないかもしれませんが、これらすべてのレポートに共通するパターンは同じです。基本が一貫して実行されておらず（そもそも実行されていないことさえあります）、そのギャップこそが攻撃者に侵入を許す理由です。以下の内容は目新しいものでも独自のものでもありませんが、それこそが重要な点です。完全なリストは次のとおりです。

アイデンティティとアクセス管理

• 昇格された権限を持つすべての人間のアカウント、特にクラウド管理者とrootでMFAを必須にします。「この管理者だけ」という例外は認めてはなりません。
• サービスアカウントには、長期有効なキーではなく、短期間有効な認証情報とワークロードアイデンティティを使用します。
• 人間・非人間を問わず、すべてのアイデンティティに最小権限の考え方を適用します。サービスアカウントやCI/CDパイプラインの過剰な権限は、脅威アクターに狙われるケースが増えているため、人間のアカウントの過剰な権限と同等か、それ以上に危険です。
• アクセス権の監査と取り消しは、思いつきではなく定期的なスケジュールで実施します。移行作業、インシデント調査、マーケティングプロジェクトのために付与した一時的なアクセス権は、6か月も残り続けるのではなく、自動的に失効させます。（アクセスレビューのプロセスを完全に自動化することを真剣に検討してください。）
• 認証情報とAPIキーは決まった周期でローテーションし、人事異動やサードパーティサービスのオフボーディングの直後にも即座にローテーションします。（これも自動化できます！）
• 最初のログイン時だけでなく、ランタイムでも異常なアイデンティティの挙動を監視します。有効な認証情報であっても、これまで行ったことのない操作を、これまでログインしたことのない場所から、あるいは不自然な時間帯に行っていれば、それは依然としてシグナルです。

脆弱性とパッチの管理

• CVSSスコアだけでなく、悪用可能性と露出度に基づいてパッチを適用します。インターネットに公開されたワークロード上の中程度の深刻度の欠陥は、3階層奥に埋もれた深刻度の高い欠陥よりも先に悪用されます。
• 脆弱性の修正対応のギャップを埋めます。CISAのKEVカタログに載っている重大な脆弱性のうち、昨年完全に修正されたのは26%にすぎません。修正までの時間は、補足事項ではなくKPIとして追跡してください。
• イメージと依存関係は本番環境に到達する前にスキャンし、稼働中のワークロードも継続的にスキャンします。今日クリーンなイメージでも、明日には新たなCVEが見つかる可能性があるためです。
• 正確なソフトウェアインベントリ（SBOM）を維持し、新しいCVEが公開されたときに実際に何が稼働しているかを把握できるようにします。見えないものにパッチを適用することはできません。

クラウドとKubernetesの構成

• すべてのアカウントに対し、企業全体で継続的にポスチャーチェックを実行します。構成は静的スキャンの合間にドリフトする可能性があるため、継続的にスキャンしてください。
• ストレージはデフォルトで厳重にロックダウンし、必要な場合にのみ公開します。パブリックバケットや公開されたblobは、クラウドサービスプロバイダーでよく見られる、防止可能な露出経路です。
• ネットワークの露出を制限します。未使用のポートを閉じ、セキュリティグループを厳格にし、誰かが急いでいたからといって、許可的なファイアウォールルールが既定になることを許してはいけません。Kubernetesでは、Podのトラフィックがデフォルトで名前空間をまたいで開放されているため、ネットワークポリシーを追加します。
• Kubernetes RBACを最小権限に絞ります。可能な限り、クラスター全体のロールではなく名前空間スコープのRoleを使用します。cluster-adminのバインディングはすべて、所有者を必要とする例外として扱ってください。cluster-adminを安易に付与することは、ラテラルムーブメントの問題を招く時限爆弾だからです。
• Podの権限昇格、hostPathマウント、特権コンテナは、正当な理由がない限り無効化するか、厳密にスコープを絞ります。正当な理由がある場合は、異常な使われ方がないかその挙動を監視します。

ランタイムの検知と対応

• すべてのワークロードにランタイムセンサーを展開します。ビルド時の静的スキャンでは、デプロイ後に起きることを見逃すためです。
• ドリフトは発生した瞬間に検知します。元のイメージに含まれていなかったバイナリを実行し始めたコンテナは、危険信号です。
• 検知結果をMITRE ATT&CKにマッピングすると、チームは「何かが反応したが、何が起きたのか」ではなく、どの技術を目にして対応しているのかを把握できます。
• アラートは、自社環境の実際の挙動ベースラインに基づいてチューニングします。アラート疲れはトリアージの速度を低下させ、誤検知は貴重な時間を無駄にします。
• 高精度のアラートが発報したときにすぐ実行できる、テスト済みの封じ込めアクションを用意します。対応のプレイブックがない検知は、侵害が進行する様子を記録するだけで、ただ眺めているうちに過ぎ去ってしまいます。

ログ、モニタリング、可視性

• クラウド、コンテナ、アイデンティティの各レイヤーのログを集中管理します。ログが断片化していれば調査も断片化し、結果として対応が遅くなります。
• あらゆる場所で監査ログを有効にし、想定どおりのものが実際に記録されていることを確認します。
• 調査に十分な期間、ログを保持します。特定と封じ込めにかかる平均時間は247日であり、30日間のデータ保持期間ではその12%しかカバーできません。
• レイヤーをまたいでシグナルを相関分析します。同じワークロードでIAMの異常とランタイムの異常が同時に発生していれば、どちらか一方だけの場合とは意味合いがまったく異なります。

サプライチェーンとCI/CDの管理

• サードパーティの依存関係とコンテナベースイメージは、取り込み時だけでなく継続的にスキャンします。
• CI/CDの認証情報とパイプラインの権限は、本番環境へのアクセスと同じレベルの厳しさで扱います。パイプラインが侵害されれば、本番環境も侵害されます。
• ベンダーやパートナーのアクセスを精査し、監視します。現在、サードパーティは侵害の48%に関与しています。
• パイプライン全体でアーティファクトに署名して検証し、未検証のものがランタイム環境に到達しないようにします。

ガバナンス

• このリストにあるすべての基本項目に、明確な責任者を割り当てます。「セキュリティは全員の責任」で止まってしまうと、対応が抜け落ちてしまいます。
• 承認済みのものを文書化します（AIツールも例外ではありません）。承認するツール、入力できるデータ、新しいツールを承認する人についてのポリシーを定めてください。AI関連のインシデントを経験した組織の68%には、AIガバナンスポリシーがありませんでした。
• 作成したポリシーを徹底します。利用状況を検知する仕組みのない禁止事項は、単なる提案にすぎません。
• 例外を認める場合は、所有者と有効期限を設定します。
• 確立されたフレームワークを拠り所にします。たとえば、AIリスクにはNIST AI RMFを使用し、補完的な脅威チェックリストとしてOWASP Top 10 for LLM Applicationsが活用できます。
• これらの基本は、毎年10月だけでなく、実際の周期を決めて見直します。

人とプロセスの管理

• 現在実際に見られるソーシャルエンジニアリングに対する訓練を行います。メールの添付ファイルだけでなく、ボイスフィッシング、MFA疲労攻撃のプロンプト、ヘルプデスクのなりすましなどです。
• インシデントが起きる前に、実際に対応にあたるメンバーとともにインシデントレスポンスを演習します。
• リーダーシップに対して定期的にメトリクスを報告します。特権アカウントのMFAカバレッジ、最小権限になっているアイデンティティの割合、既知の悪用された脆弱性の修正までの時間などを含めます。

まとめ

上記のすべての提案は、すでに存在し、すでに効果が実証されているコントロールに行き着きます。MFAは有効です。最小権限は有効です。パッチ適用は有効です。ランタイムの可視性は有効です。それでも侵害が後を絶たないのは、これらの基本が、毎日実行すべき取り組みではなく、年に一度見直すチェックリストとして扱われているからです。

サイバーセキュリティ啓発月間（Cybersecurity Awareness Month）は、よいきっかけです。ただし、それを唯一のきっかけにしないでください。

‍