2026.08.05（水）
- 注目検索ワード
「エクスプロイトを書くのがめちゃくちゃ爆速になっているので、パッチが出た瞬間に適用しないと間に合わないという状況になります」背景にあるのは「パッチリバーシング」という技術だ。パッチ適用前後のバイナリを比較することで、どこが修正されたのかを推測し、そこから脆弱性の内容と exploit を組み立てる手法である。技術自体は以前から存在したが、解析に時間がかかるため、その間に企業側は検証を経てパッチを当てることができた。しかし AI によってこの解析と攻撃コード生成が高速化すると、様相は一変する。
デッカー氏は実際の LLM サブスクリプション提案を例示した。1,000 ユーザーで月額 30 ドル/人、各ユーザーに月 200 トークン付与という内容だ。一見シンプルだが、詳細を見ると次々とリスクが現れたという。ベンダーは「標準契約だから交渉はできない」と主張するが、デッカー氏は「事前に情報収集をしていれば、それが事実ではないとわかる。交渉は十分可能だ」と述べた。
この「内製化支援の取り組み」について、取材させて欲しいと何度も頼んでいたのだが、毎回返事は芳しくなかった。4 回目か 5 回目かの打診で取材 OK が出た。しかも、取材対応いただく二人の人物のうち一人は、内製化支援の最最最初期からカスタマーサクセスに携わる人物であり、これはいわば本誌が重要視する「はじまりの物語」である。
「生命保険が発明されるまで、このような動機による殺人は人類社会に存在しなかった。保険制度の創設が、意図せず新たな犯罪の動機を生み出した」と登壇者は語った。生命保険は人々の生活を守るために生まれたが、同時に「保険金のために人を殺す」という、設計者が想定しなかった動機も生み出した。善意で作られた制度が、意図とは正反対の結果を招くことがある。そしてサイバー保険も、同じ構造の上にあるのではないか。
平均的なエンタープライズ組織は DLP（Data Loss Prevention）ソリューションを 6 つ保有しており、にも関わらずそれでもまだ「保護が不十分」と感じている組織が多いという。
2026 年 3 月 10 日、東京 大手町で「防災 meet up！人と出会い、繋がり、学ぶ。つながる防災イベント」が開催された。東日本大震災から 15 年の節目に合わせ、南海トラフ地震・首都直下地震・富士山噴火という複合リスクへの備えを問い直すことを趣旨としたイベントだ。
ここまで読んできて、少なくない読者が居心地の悪い思いをしていたのではないかと拝察する。それは「これってゼロトラストなの？」という疑問だ。そもそもゼロトラストとは何か。2010 年、Forrester Research 社のアナリスト、ジョン・キンダーバグが提唱したこの概念の出発点は「Trust is a vulnerability（信頼とは脆弱性である）」だった。定義に照らして、今回の HENNGE の 4 つの製品を正直に仕分けしてみる。
ほとんどの企業や組織にとって、今日の業務は昨日までの環境で回さなければならない。Chrome Enterprise Premium は、いま手元にある Windows や Mac をそのまま使いながら、15 年前に Google がかつてなかった高度なサイバー攻撃による侵害という痛みの中からたどり着いた思想とそれがもたらす恩恵を、自社のブラウザの中に宿すための一歩である。
ランサムウェア攻撃による情報漏えいに関する通知が始まると事態は急展開した。通知されたエンドユーザーたちが Blackbaud 社に対して全米各地で訴訟を提起したのだ。その数は 30 件、40 件と上昇を続ける。
これは「ろくに対策もしていなかった組織がインシデントから多くを学んだ」的なものでは全く無い。むしろ手を尽くしていてもやられてしまい、なおかつ「全米が泣いた」ならぬ「全米から訴訟を受けた」企業の話である。演習を定期実施しているような成熟した組織こそこの記事の想定読者だ。
ソフトバンクグループ株式会社 会長兼社長の孫正義氏は、2025年7月の「SoftBank World 2025」において、グループ全体で10億の AI エージェントを構築する構想を発表した。このような環境では、従来の境界型セキュリティや人間中心のアクセス制御とは異なるアプローチが求められる。竹石氏は「Security for AI」戦略を担当しており、同講演では AI エージェント時代に企業が直面するセキュリティ課題と、ソフトバンクが実践する対策の全体像が示される見通し。
JSSEC が公開したテンプレートの最大の特徴は、逆説的だが「採用しなくてよい理由を示す」点にある。通常のガイドラインは「なぜこのルールが必要か」を説明する。本テンプレートはそれに加えて、各ルールの「採用条件」を明示した。つまり「このルールが必要になるのは、こういう条件の組織です」と限定することで、該当しない組織は堂々とそのルールを採用しない判断ができる。
安全保障畑を歩んできた奥家氏が 2017 年にサイバーセキュリティの世界に入って最初に感じたのは、根本的な 2 つの欠落だったという。それは、リスクベースの考え方とコレクティブな取り組み。この 2 つが「徹底的に抜けている」というのが、着任時の率直な印象だったと奥家氏は語った。
SaaS は自らの意思で設定を変更しないが AI エージェントは自律的に振る舞いを変える。今日と明日で成果物が変わる。昨日まで安全だった状態が、今日も安全である保証はない。「自律的に振る舞う管理対象」という事実が従来のセキュリティの前提を覆している。
プルーフポイント開催のカンファレンスで毎回驚くことは、ユーザー事例の紹介である。こうした情報の共有は、セキュリティにおける情報共有の文化や文脈を知らない経営層などは「トクが無い」どころか明確に「損」と考えることも少なくないはずだ。それでも、内部不正対策の導入事例を社名を出して公の場で語るのは、同じ課題に向き合う他の企業への利他の精神にほかならない。
東アジア最大規模のサイバーセキュリティと物理セキュリティの融合展示会「SECON & eGISEC 2026」を取材した。ScanNetSecurity としては昨年 2025 年の同イベントも現地で取材している。
セキュリティベンダーの実に多くが、社名やブランド名、サービス名に「Protect」「Defense」「Secure」などを冠して、守ることや、その結果としての安全の実現を謳うが「Tenable（テナブル）」はこれと明らかに違っている。
従業員向けアイデンティティ管理製品である Okta Workforce Identity の新機能「Okta for AI Agents」では、組織内の AI エージェントをどう安全に管理するかが主眼となっている。「 AI エージェントを可視化して人間と同じように管理していく製品です」と板倉は説明する。
NTTセキュリティ・ジャパン株式会社は3月10日、国内外のCTF（Capture The Flag）大会で活躍するチーム「BunkyoWesterns」とのスポンサー契約締結を発表した。
渡辺氏は製品企画にあたり、約 60 社の顧客にヒアリングを実施した。そこで見えてきたのは、EDR の必要性とは別の課題だった。EDR を導入したものの管理運用ができず上層部を説得できないまま解約したケースがあったし、また「自分たちはもっと手前のレベルかもしれない」という声も聞かれたという。
攻撃の高度化によって、従来の対策をすり抜ける手法が次々と登場した。この文脈で 2010 年代半ば頃から普及したのが、EDR だった。エンドポイントの挙動を監視記録し、侵害発生時に対応を行う。時を同じくして、レジリエンスという概念も積極的に提唱されるようになった。もちろんそれらは圧倒的かつ完全に正しい。しかし「侵入そのものを防ぐ『予防』の議論が手薄になってはいないだろうか」中西氏の講演はこんな問いを投げかける。
「もうひとつの問題はセキュリティには高級品しかないこと。セキュリティ対応をすることそのものがある意味ブルジョアな感じだと思います。セキュリティ対策をやろうってなった時に、最初に来るのが「高い」「お金がかかる」「手間がかかる」。だから後回しにしようとなります。そういう連続性のあるセキュリティ対応に必要なものを、いかに誰でも手が届くように民主化していくか、簡単に言うとカローラを作っていくことだと思っています（吉田）」
