ニュース
サイバーリーズン、セキュリティ成熟度診断とGSOC観測データの分析結果について解説
企業が把握できていない「経路の死角」が侵入要因に
2026年8月31日 06:00
サイバー攻撃対策プラットフォーム「Cybereason」を提供するサイバーリーズン合同会社は28日、企業のセキュリティ準備態勢における弱点と、実際の被害現場の状況を明らかにするため、国内405社を対象とした「セキュリティ成熟度ベンチマーク診断」の結果を発表した。
あわせて、同社グローバルSOC（GSOC）がMDR（Managed Detection and Response）サービスを提供する国内顧客企業の環境で観測した2026年上半期のインシデント分析結果を発表した。
同日に行われた記者説明会では、今回の調査結果を踏まえて、AI時代における日本企業への脅威動向および攻撃手法について解説した。
重大インシデントの2大原因は「野良端末」と「脆弱性」
まず、同社GSOCが2026年1月から7月にかけて、MDRサービスを提供する国内企業の環境で観測したインシデントから見えた傾向について、サイバーリーズン グローバルSOC シニアマネージャーの渡邊弘実氏が説明した。
「今年上半期で、重大インシデントに遭いかけた環境のWindows OSバージョンを見ると、Windows 11が70.7％、Windows 10が28.0％、Windows 7・8が1.3％だった。企業規模別では、中堅企業はWindows 11が96.1％、Windows 10が3.9％、大企業はWindows 11が63.2％、Windows 10が35.1％、Windows 7・8が1.7％の分布となった。中小企業ほど汎用システムを使っているためOSのアップデートに積極的だが、ITポリシーの定義不足などが弱点になりやすい傾向がある。一方、大企業は、特注のシステムがアップデートできないケースや、組織間のギャップなどが原因でアップデートが進んでいない実情が浮き彫りになった」と分析する。
インシデントに遭いかけた環境のサーバーOSについては、Windows Server 2019が48.1％、Windows Server 2016が16.9％を占めた。Windows Server 2016以降はMicrosoftのサポート期間内だが、そのOS上で動くソフトウェアやミドルウェアが先にサポート終了となれば、システム全体としての防御力は低下するという。
また、重大な被害に至る恐れのあった緊急インシデントについて根本原因を分析した結果、「EDRを導入済みでありながら、一部のEDR未導入端末が攻撃された」ケースと「外部公開サーバーの脆弱性を突かれた」ケースがそれぞれ25.0％と、最も多い侵入要因となっていることがわかった。
この2つの侵入要因について渡邊氏は、「脆弱性エクスプロイトによる侵入」と「野良端末からの侵入」の実例を紹介し、「サーバー脆弱性から侵入される原因としては、変更管理プロセスが攻撃速度に追いついていないことや、業務が止まるリスクへの恐れからパッチ適用が遅れていることが挙げられる。特に、フロンティアAIによって脆弱性攻撃ツール開発までの時間が『数週間・数カ月』から『数時間』まで短縮された今、パッチ適用を迫られるサイクルはさらに短くなっている。また、野良端末からの侵入については、『IT資産管理の把握漏れ』、『技術的・契約上の制約』、『外部・委託先の持ち込み端末』の3つが侵入経路の死角として挙げられる」と指摘。
「フロンティアAI時代の到来によって、しばらくは脆弱性発見とアップデートが続くことが予想される。そのため、今後はさらに積極的なアップデート推進が必要になる。盲点になりやすい野良端末や古いシステムが踏み台となるケースがあるため、定期的なセキュリティ診断やTLPTによって『死角の洗い出し』をしておくことが大切。そして、初動で後れをとらないように、脱属人化も進めてほしい」との見解を示した。
公開資産の「特定」不足と対応の属人化が課題
続いて、サイバーリーズン 執行役員 セールス・エンジニアリング統括本部の有賀正和氏が、国内405社を対象とした「セキュリティ成熟度ベンチマーク診断」の結果から、攻撃成功の根本原因について分析した。
「セキュリティ成熟度ベンチマーク診断」は、米国国立標準技術研究所（NIST）の「サイバーセキュリティフレームワーク（CSF）2.0」を評価軸として、企業の担当者自身が設問に回答することで、「統治」「特定」「防御」「検知」「対応」「復旧」の6機能ごとの対策状況を5段階のレベルで数値化するもの。今回の調査は、2025年10月25日から2026年8月6日に国内405社を対象として実施した。
診断結果について有賀氏は、「異常の発生を特定するための適切な活動が行われているかを示す『検知（DETECT）』のスコアは平均2.86、情報を保護するための適切な防御策ができているかを示す『防御（PROTECT）』は平均2.56だった一方で、自社の公開資産やアタックサーフェスを把握できているかを示す『特定（IDENTIFY）』は平均1.99にとどまった。この結果から、守るための道具はそろえたが、守るべき対象を把握できていないという非対称な状態にあることが浮き彫りになった。攻撃者にとっては、企業が認識していない資産こそがターゲットになる」と説明する。
また、「特定（IDENTIFY）」スコアを回答者の所属部門別に見ると、事業現場部門は平均2.57、情報システム部門は平均1.86で、0.71ptの開きがあった。「事業現場では、自社システムへの自信から楽観視する傾向にあるが、日夜運用に苦しむ情報シスでは、サイバー攻撃に対してリアルな恐怖を抱えている。情シスのリスク（悲鳴）が経営層に正しく認識されず、『見えない分断』が発生していることがわかった」という。
インシデント発生時の対応態勢についても調査したところ、全体の半数を超える51.6％が、基本的な対策は実施しているものの、手動や属人的な運用にとどまる「レベル2（属人化）」に滞留している実態が明らかになった。さらに、検知されたインシデントに対してアクションを取る「対応（RESPOND）」のスコアは平均2.04、その後回復力を維持して機能を修復する「復旧（RECOVER）」は平均2.16と低い結果となった。この結果から、各企業で定石の製品は導入したものの、全社共通の運用手順の定義やインシデント訓練は行われていない状態であり、有事の連携や復旧手順が「担当個人のスキル依存（属人化）」になっていることが示唆された。
最後に有賀氏は、GSOCによるインシデント分析結果とベンチマーク診断の結果を踏まえて、「日本企業は、『検知』や『防御』を担うツールへの投資を進めている一方で、自社の資産や攻撃対象を『特定』する力が低く、攻撃者は、この『侵入経路の死角』を正確に突いて侵入していることが明らかになった。また、対応・回復プロセスがマニュアル化されておらず、個人のスキル（手動）に依存しているもろさも浮き彫りになった。これらの結果から、日本企業のセキュリティ課題は、『ツール導入の問題』から『組織とプロセスの問題』へとシフトしたと考えている」とまとめた。