2026.06.06（土）
- 注目検索ワード
ランサムウェア攻撃による情報漏えいに関する通知が始まると事態は急展開した。通知されたエンドユーザーたちが Blackbaud 社に対して全米各地で訴訟を提起したのだ。その数は 30 件、40 件と上昇を続ける。
これは「ろくに対策もしていなかった組織がインシデントから多くを学んだ」的なものでは全く無い。むしろ手を尽くしていてもやられてしまい、なおかつ「全米が泣いた」ならぬ「全米から訴訟を受けた」企業の話である。演習を定期実施しているような成熟した組織こそこの記事の想定読者だ。
ソフトバンクグループ株式会社 会長兼社長の孫正義氏は、2025年7月の「SoftBank World 2025」において、グループ全体で10億の AI エージェントを構築する構想を発表した。このような環境では、従来の境界型セキュリティや人間中心のアクセス制御とは異なるアプローチが求められる。竹石氏は「Security for AI」戦略を担当しており、同講演では AI エージェント時代に企業が直面するセキュリティ課題と、ソフトバンクが実践する対策の全体像が示される見通し。
JSSEC が公開したテンプレートの最大の特徴は、逆説的だが「採用しなくてよい理由を示す」点にある。通常のガイドラインは「なぜこのルールが必要か」を説明する。本テンプレートはそれに加えて、各ルールの「採用条件」を明示した。つまり「このルールが必要になるのは、こういう条件の組織です」と限定することで、該当しない組織は堂々とそのルールを採用しない判断ができる。
安全保障畑を歩んできた奥家氏が 2017 年にサイバーセキュリティの世界に入って最初に感じたのは、根本的な 2 つの欠落だったという。それは、リスクベースの考え方とコレクティブな取り組み。この 2 つが「徹底的に抜けている」というのが、着任時の率直な印象だったと奥家氏は語った。
SaaS は自らの意思で設定を変更しないが AI エージェントは自律的に振る舞いを変える。今日と明日で成果物が変わる。昨日まで安全だった状態が、今日も安全である保証はない。「自律的に振る舞う管理対象」という事実が従来のセキュリティの前提を覆している。
プルーフポイント開催のカンファレンスで毎回驚くことは、ユーザー事例の紹介である。こうした情報の共有は、セキュリティにおける情報共有の文化や文脈を知らない経営層などは「トクが無い」どころか明確に「損」と考えることも少なくないはずだ。それでも、内部不正対策の導入事例を社名を出して公の場で語るのは、同じ課題に向き合う他の企業への利他の精神にほかならない。
東アジア最大規模のサイバーセキュリティと物理セキュリティの融合展示会「SECON & eGISEC 2026」を取材した。ScanNetSecurity としては昨年 2025 年の同イベントも現地で取材している。
セキュリティベンダーの実に多くが、社名やブランド名、サービス名に「Protect」「Defense」「Secure」などを冠して、守ることや、その結果としての安全の実現を謳うが「Tenable（テナブル）」はこれと明らかに違っている。
従業員向けアイデンティティ管理製品である Okta Workforce Identity の新機能「Okta for AI Agents」では、組織内の AI エージェントをどう安全に管理するかが主眼となっている。「 AI エージェントを可視化して人間と同じように管理していく製品です」と板倉は説明する。
NTTセキュリティ・ジャパン株式会社は3月10日、国内外のCTF（Capture The Flag）大会で活躍するチーム「BunkyoWesterns」とのスポンサー契約締結を発表した。
渡辺氏は製品企画にあたり、約 60 社の顧客にヒアリングを実施した。そこで見えてきたのは、EDR の必要性とは別の課題だった。EDR を導入したものの管理運用ができず上層部を説得できないまま解約したケースがあったし、また「自分たちはもっと手前のレベルかもしれない」という声も聞かれたという。
攻撃の高度化によって、従来の対策をすり抜ける手法が次々と登場した。この文脈で 2010 年代半ば頃から普及したのが、EDR だった。エンドポイントの挙動を監視記録し、侵害発生時に対応を行う。時を同じくして、レジリエンスという概念も積極的に提唱されるようになった。もちろんそれらは圧倒的かつ完全に正しい。しかし「侵入そのものを防ぐ『予防』の議論が手薄になってはいないだろうか」中西氏の講演はこんな問いを投げかける。
「もうひとつの問題はセキュリティには高級品しかないこと。セキュリティ対応をすることそのものがある意味ブルジョアな感じだと思います。セキュリティ対策をやろうってなった時に、最初に来るのが「高い」「お金がかかる」「手間がかかる」。だから後回しにしようとなります。そういう連続性のあるセキュリティ対応に必要なものを、いかに誰でも手が届くように民主化していくか、簡単に言うとカローラを作っていくことだと思っています（吉田）」
派手さはない。だが、きっと本誌読者はこういう製品に興味を持つと思う。「ネットワーク機器のリプレース」という名目で予算取りを行い、気づいたらゼロトラストを実装していたなどという現実的なアプローチは、情報システム部門にとって福音となりうるからだ。エージェントレスで既存のネットワーク構成を壊さずに導入できる点も、運用負荷を懸念する現場には刺さるだろう。
25年前に設計されたActive Directoryはいまも攻撃の起点になっている。しかもAIエージェントの普及でIDのサイロ化はさらに拡大中だ。変更もプロキシも不要、“ゼロチェンジ”でMFAを適用し、認証の瞬間にブロックするという新発想とは何か。
インシデントレスポンス企業の現場には無力感が広がっている。「技術も人材もあるのにサイバー攻撃被害に遭った企業からのフォレンジック調査依頼のごく一部にしか対応することができない」 大手セキュリティ企業の実に多くがフォレンジック調査の依頼に対して「今は手一杯です」「来月まで／半年お待ちください」と断らざるを得ない状況が常態化している。
その原因は明確だ。
ScanNetSecurity 編集部はそもそもいろいろな条件が貧困ライン以下なので、アメリカの街中を、ホテルからカンファレンスの会場などへ時に 2 キロも 3 キロも徒歩で移動するという危険極まりないことを平気でしているが、おかげで赤信号でも車が少ないと走って渡る習慣がすっかり身についてしまった。海外、少なくともアメリカ合衆国ではそもそも徒歩自体危険だし、あまつさえ信号にせよ道で立ち止まっているとはっきり身の危険をフィジカルに感じるからだ。
取材の終盤で手塚は「自分は辻さんのようなセキュリティ専門家ではないし、セキュリティ専門家になってはいけないと思っている。“あっち側の人”になってしまうとお客さんの求めるものを作れない」という印象的な言葉を口にした。かつて聞いたことがない発言だ。ある種「セキュリティ ノンケ宣言」とも取れるが、要は「いやいや」セキュリティをやっている立ち位置にいなければ、世の大半を占める、セキュリティを「やむなく」「いやいや」「仕方なく」やっている IT 管理者の気持ちから離れてしまうということだろう。
2025 年夏、Black Hat USA 2025 の基調講演に、元 New York Times サイバーセキュリティ担当記者のニコール・パールロスが登壇した。はっきり言ってしまうと前日に行われたミッコ・ヒッポネンの基調講演と比べると見劣りするキーノートだったとここで正直に書いてしまうことにする。だからこそミッコの講演レポート記事は全文 9,570 文字にもおよぶ興奮を伴った文体ですぐに掲載したが、元 NYT 記者の方はこれだけ日が空いてしまった。
三井物産セキュアディレクション株式会社（MBSD）は12月、「第10回セキュリティコンテスト MBSD Cybersecurity Challenges 2025」について発表した。
キヤノンマーケティングジャパン株式会社（キヤノンMJ）とサイバートラスト株式会社は12月16日、企業間取引における電子文書の安全性と信頼性の強化に向けトラスト分野での協業を開始すると発表した。
