2025年に日本企業が取り組むべき「12のセキュリティ課題」 ガートナー発表：セキュリティニュースアラート

ガートナージャパンは2025年に日本企業が取り組むべき12のセキュリティ課題を発表した。生成AIやクラウド環境の普及が新たなリスクを生む中、企業にはどのような対応が求められるのだろうか。

[後藤大地，有限会社オングス]

　ガートナージャパン（以下、ガートナー）は2025年1月8日、日本企業が2025年に取り組むべきセキュリティおよびプライバシーに関する12の重要論点を発表した。AIの進化やグローバルの規制の変化を背景に、企業が直面するリスクと機会について包括的に捉えている。

　近年、AIの進展は企業活動における大きな推進力となっている。一方でAIを活用した攻撃の巧妙化やセキュリティガバナンスの変革など、新たな課題も浮上している。ガートナーはこうした状況を踏まえて12の論点を提示している。

2025年に日本企業が備えるべき「12の重要なセキュリティ論点」

1. 新たなセキュリティガバナンス：　経営の責任を明確化し、リーダーシップを促進する法規制の制定が世界的に進行している。一方でクラウドやAIなどの技術を含むリスクが増加し、従来の中央集権型のセキュリティガバナンスの限界が顕在化している。新たな意思決定能力とセキュリティ人材の強化が重要な課題となっている
2. 新たなデジタルワークプレースとセキュリティ：　各所に分散した働き方が進む中で使用するアプリケーションが多様化し、情報漏えいリスクが増加している。生成AIを活用する際には、情報過剰共有の抑制とセキュリティ文化の醸成が課題となる
3. セキュリティオペレーションの進化：　ゼロトラストやSASE（Secure Access Service Edge）の取り組みで部分的な最適化や運用面での課題、円安による費用増加などが指摘されている。SOC運用ではアウトソーシングが検討される一方、インシデント時の判断や責任に対する自社意識が低い傾向がある。また、AIの導入においては、自社の課題解決に資するかを見極め、選択的に導入する必要がある
4. インシデント対応の強化：　攻撃手法の多様化に伴い、事業継続計画（BCP）や危機管理の観点からセキュリティ体制を再構築する動きが進んでいる
5. 外部公開アプリケーションに対する攻撃への対応：　IaaS／PaaSによるWebアプリケーションのセキュリティ課題が増加しており、クラウドネイティブアプリケーションプロテクションプラットフォーム（CNAPP）市場の動向を注視する必要がある
6. マルウェアおよび標的型攻撃への対応：　AIを悪用した攻撃が巧妙化し、脅威エクスポージャが拡大している。脅威の攻撃となり得る資産を把握、管理する取り組み（ASM）や継続的なエクスポージャー管理（CTEM）の重要性が強調されている
7. 内部脅威への対策：　内部不正の兆候を見逃すケースが多く、AIを活用した検知に期待が高まっている。ただし基本的な認証や権限管理が不十分な場合、AIツールの導入効果は限定的とみられている
8. 法規制やサードパーティー、サプライチェーンのリスク対応：　新たな法規制への対応に戸惑う企業が増えている。日本企業はデジタル規制で後れを取る傾向があり、国内の常識に依存した判断がリスクを高めている
9. クラウドのリスク対応：　マルチクラウドの導入が進む中、セキュリティ管理が複雑化することで設定ミスや漏れが課題となっている。従来の中央集権的なコントロール一辺倒ではなく、各事業部門がセキュリティ対応能力を持つ必要がある
10. サイバーフィジカルシステム（CPS）のリスク対応：　CPSセキュリティの侵害は社会インフラへの影響が大きく、IT部門と事業部門が協力して対策を講じる必要がある
11. データ／アナリティクスのリスクへの対応：　生成AIの普及によって情報漏えいリスクが高まっている。セキュリティリーダーとデータ管理責任者のさらなる連携強化が求められている
12. AIリスクへの対応：　生成AIアプリケーションの利用拡大に伴い、セキュリティガイドラインやトレーニングの整備が進む一方で、アタックサーフェスが拡大している。「AI TRiSM」（AIの信頼性、リスク、セキュリティマネジメント）の重要性が高まる中、日本では対応が未成熟とされている

　ガートナーの礒田優一氏（バイスプレジデント　アナリスト）は「セキュリティとリスクマネジメントのリーダーは、新しいリスクや脅威、環境の変化、法規制の動き、セキュリティのテクノロジーや市場の多様化など、ますます混沌とするセキュリティとプライバシーの領域を俯瞰（ふかん）し、次なる一手を打ち出していく必要がある。昨今では、経営者自らがリスクマネジメントやセキュリティの取り組みをステークホルダーに説明する必要性が高まっている。戦略不在のままその場しのぎの対応を継続した場合、企業として責任を問われることにもなりかねない」とコメントした。

　企業はガートナーの発表したトレンドを踏まえ、積極的に新たなセキュリティ技術を導入しつつ、自社に適した課題解決策を見極めることが望まれる。