「自社都合」のセキュリティ対策になっていないか 相次ぐ情報漏えい、安否を分ける3つの対策（1/3 ページ）

AIの活用によって、サイバー攻撃は高速化・巧妙化している。企業は何を優先して守るべきなのか。KDDIグループのセキュリティ事業を手掛けるラックでCTOを務める倉持浩明氏は、守る側の都合で対策の優先順位を決める危険性を指摘する。

[米倉志保，ITmedia]

　「セキュリティ対策の戦略が、自社都合になっていないか」

　セキュリティ事業を手掛けるラック（東京都千代田区）で、次世代サイバー技術開発本部長を務める倉持浩明氏は、KDDIの法人向け事業説明会に登壇し、こう問いかけた。

　国内では、不正アクセスや情報漏えいの被害が相次いでいる。攻撃者によるAIの活用も指摘されている。

　AIの登場によってサイバーセキュリティ対策はどう変わったのか。企業は何を優先して取り組むべきなのか。倉持氏の講演から、企業が押さえておきたい対策を解説する。

本記事はKDDIが開催した法人向けの事業説明会「KDDI SUMMIT 2026」の講演の一部を記事化したものです。

守る側の都合でセキュリティ対策を進めていないか

　インターネットに公開されている情報資産は、常に攻撃者から探索されている。こうした活動はAIの登場以前から行われてきたが、ツールの進化やAIの活用によって、より高速かつ広範囲に実行されるようになった。

　一方、企業がセキュリティ対策を進める際は、保有する情報資産の中から重要度が高いものを選び、優先的に対策することが多い。

　しかし、攻撃者は企業側が決めた優先順位に従って攻撃してくるわけではない。インターネットに公開されている情報資産のうち、比較的防御が手薄な場所を狙い、そこを足掛かりに重要な情報資産へと侵入していく。

　倉持氏によると、最近の不正アクセスでも、優先順位やコストなどの問題から、対応が後回しになっていた箇所が狙われるケースがあるという。

ラック 次世代サイバー技術開発本部長 倉持浩明氏（発表会にて編集部撮影、以下同）

攻撃者はどんな情報を狙うのか

　攻撃者が狙うのは、企業のサーバやデータベースだけではない。倉持氏は、クラウドサービスやSaaSに保存された情報にアクセスするための認証情報が、攻撃者に盗まれるケースを挙げる。

　IDやパスワードなどの認証情報が盗まれると、攻撃者は正規の利用者になりすましてシステムにアクセスできる。サーバの脆弱性を探して攻撃する必要がなく、通常の利用者によるアクセスと見分けにくい点も厄介だ。

　そのため、外部からの攻撃を監視するだけでなく、社内ネットワークの内部で不審な通信が発生していないかを確認することも重要だ。

　また、企業が警戒すべきなのは、システムへの攻撃だけではない。警察官をかたる詐欺や、社長になりすまして従業員をだます詐欺なども広がっている。

　社長をかたる詐欺では、SNSなどに投稿されている情報が悪用される可能性もある。経営者の発信内容や人柄、企業の関係者などを把握した上で、本人らしい言動を装って接触する手口だ。

　こうした詐欺から従業員の個人端末がウイルスに感染し、企業全体に被害が広がる可能性もある。