「防ぐ」「信頼しない」では足りない―サイバーレジリエンスという第三のアーキテクチャ｜攻撃の時間圧縮と侵害前提時代のセキュリティ設計・実装とは

はじめに：AIが突き付けた「防御のタイムリミット」

現代の企業ITシステムにおいて、セキュリティは「境界防御」から、IDを起点に検証を繰り返す「ゼロトラスト」へと進化してきました。しかし、今日、これらの延長線上では解決できない構造的な課題が表面化しています。その背景にあるのが、AIによる「サイバー攻撃の時間圧縮」です。

先月の「Mythosは何を突き付けたのか ― セキュリティの前提を覆したAIと、防御体制の再考」と題したレポートでも紹介したAnthropic社のフロンティアAIモデル「Claude Mythos（クロード・ミュトス）」に代表される自律的な脆弱性探索の台頭は非常に大きな関心を集めています。

AIは圧倒的なスピードで脆弱性を特定し、それを即座に攻撃可能なエクスプロイトへと変換します。2026年5月以降、「Project Glasswing」に参加する主要なITベンダー各社がAIモデルを用いたスキャンによって検出された脆弱性とその修正を一斉に公表しています。ある大手セキュリティベンダーが発表した自社製品の脆弱性の数は、それまでの月間数件から、一気に十数倍となる数十件に急増しています。そして、その中には深刻度が「Critical（緊急）」と評価された脆弱性も含まれています。

脆弱性の発見ペースが加速する環境では、防御側が人間の時間軸でパッチ適用を判断し、手作業で対応していく従来の運用は限界を迎えます。壁を高く、層を厚くするだけではなく、侵害の発生を織り込んだ対策が必要になっています。今、企業が行うべきは「被害を前提に復旧を確実にする、サイバーレジリエンス」への転換です。

増え続ける脆弱性、防御が間に合わない時代に必要なもの

なぜ「被害を前提にした」対策が不可欠なのでしょうか。理由はAIによる時間圧縮だけではありません。脆弱性そのものの量が爆発的に増え、しかも攻撃が防御を上回る構造は、AI以前から進行していました。AIはその流れを決定的に加速させたのです。

2025年に公開されたCVE（脆弱性情報）は約5万件と過去最多を更新しました。この急増を受けて、米国国立標準技術研究所（NIST）が運営する脆弱性データベース（NVD）は全件の精緻な分析を断念し、リスクベースのトリアージへと方針転換を発表しました。

また、攻撃側のスピードが、防御側の対応プロセスのスピードを大幅に上回っていることも最近になって始まったことではありません。初期侵入から横展開までの時間（ブレイクアウトタイム）は、業界調査では平均で約30分、最速の事例では30秒を切る水準まで圧縮されています。検知してから人間が確認・判断し、遮断するような時間軸では間に合わないことを意味します。

防御や検証によって被害を防ぐ、時間を稼ぐことは依然として重要ですが、その先に確実に事業を継続させる「復旧力」がセキュリティ対策の成否を分ける決定的な要因となることを理解する必要があります。

バックアップがあるのに戻せない ― 復旧失敗85%の衝撃

「侵害されたシステムを迅速に、正常な状態に戻す」ための対策の一つがバックアップであり、現代のサイバーセキュリティにおいて欠かすことはできません。しかし、バックアップの実態には大きなギャップが生じています。警察庁発表の2025年上半期のデータによれば、ランサムウェア被害にあった組織のうち、バックアップからの復元に失敗した組織の割合は85%に達しています。その失敗の大きな要因は「バックアップも暗号化されたこと」です。攻撃者はその重要性から、同じ環境にあるバックアップを真っ先に消去・破壊します。

今、求められるバックアップはデータのコピーではなく、「攻撃者の届かない場所に、消去・改ざんできない状態で保管する」仕組みを構築することです。

バックアップから事業継続の仕組みへの昇華

復旧力を測る物差しは、事業継続に紐づいた復旧目標が定められ、その目標どおりに実際の業務を立て直せるか、にあります。

バックアップの指標としてはRPO（目標復旧時点）、RTO（目標復旧時間）を設定します。しかし、これらが災害対策のためだけに用いられ、サイバー攻撃を想定していない場合、意味のない数値となってしまいます。

• RPO（目標復旧時点／いつのデータに戻すか）災害対策であれば最新に戻すほど被害が小さくて済みます。しかし、サイバー攻撃からの復旧の場合は事情が異なります。最新データにはすでにマルウェアが潜伏している可能性があります。「いつの時点なら安全か」を見極められることが重要です。

• RTO（目標復旧時間／いつまでに戻すか）：災害対策では時間内に戻せば十分ですが、サイバー攻撃の場合には被害範囲の特定や安全性の確認、複数システムの復旧が必要になり、想定すべき復旧時間は大きく変わります。

RPOやRTOといった指標と同様に重要なのが、「どの環境に戻すか」という観点です。サイバー攻撃からの復旧においては、復旧対象のデータだけでなく、復旧先の環境そのものの安全性を担保できているかが極めて重要になります。仮に復旧先がすでに侵害されていた場合、マルウェアの再展開や再感染といったリスクを招きます。

このため、復旧先は設計段階から、攻撃者の影響を受けない独立した環境として準備しておく必要があります。復旧とは単に「過去の状態に戻す」ことではなく、「安全な状態を再構築する」プロセスとして捉えることが重要です。

この前提に立つと、実際のサイバーインシデントからの復旧では、何を最優先に復旧させるかをあらかじめ決めておくことが不可欠です。復旧の優先順位づけは、事業継続に直結する経営判断となります。

多くの企業ではBCP（事業継続計画）が整備されているものの、それが実際のインシデント時に機能するか十分に検証されていないのが実情です。特に注意すべきは、既存のBCPが自然災害を前提として設計されており、サイバーインシデント特有のリスクを織り込めていない点です。サイバーインシデントでは、取引先や顧客が通常通り稼働している中で自社だけが停止するため、影響はより直接的かつ深刻になります。

また、復旧手順や代替環境が定義されていたとしても、サイバーインシデントを想定した手順において訓練を通じた検証が行われていなければ十分とは言えません。サイバーレジリエンスにおいては、「計画」ではなく「検証済みで実行可能」であることが重要です。

自社のどのシステムを、どの順序で、どこまで戻すのかを、システム間の依存関係まで踏まえて計画・実装します。さらに、その計画が本当に機能するかを復旧訓練で検証しておくことが欠かせません。

サイバーレジリエンス実装の死角

攻撃からの復旧をめぐる課題は、ITシステムと同様に複雑になっています。現代の企業ITシステムはハイブリッド化が当然のものになっていますが、オンプレミスとクラウドのそれぞれで、異なる「実装の死角」が存在します。

• オンプレミス：バックアップ自体は概ね実装されています。しかし、サイバー攻撃に対する典型的な落とし穴は、バックアップが同じセグメント、同じドメイン認証の範囲にあり、本番環境が侵害されたときにバックアップも同時に暗号化や削除されるリスクを抱えていることです。論理的、物理的に分離された（エアギャップ）環境に、書き換えや改ざん不能な状態（イミュータブル）で保管する必要があります。

• クラウド：IaaS／SaaSを問わず、バックアップの実装が欠落しているケースが散見されます。これはクラウド事業者がデータまで守ってくれるという責任共有モデルに対する誤解が原因のひとつです。クラウド事業者はインフラの可用性は守りますが、データそのもののセキュリティは利用企業の責任です。

そして両者に共通する課題が、一貫性の不足です。別々のツール、別々の手順で復旧する仕組みでは短期間での事業再開は実現できません。被害から確実に立ち直るには、システム横断的に復旧できることを設計上の必須要件にする必要があります。

今、踏み出すべきレジリエンス・ロードマップ

脆弱性は増え、攻撃はますます速くなっていくことが予想されます。防ぎきることを前提にできない今だからこそ、被害を受けても回復できる力が問われます。とはいえ、０から一気に解決する魔法のような方法はありません。また、インシデント発生後に「ゼロから再構築すればよい」と考えるのは現実的ではありません。再構築には、多数のIT資材（ハードウェア、クラウド、ライセンス）の確保、設定投入、システムの再構成といった作業が必要です。特に大規模システムでは、短期間に完全な再構築を行うことは極めて困難です。再構築を目指した結果、復旧に長期間を要し、事業停止の影響が拡大するリスクがあります。だからこそ、すべてを一度に解決しようとするのではなく、最重要資産から着手し、リスクと重要度に応じた段階的アプローチをとることが必要です。

• 最初の３ヶ月：現状把握と最重要資産の特定

  事業継続に欠かせない業務を特定し、その復旧に必要なITシステムやデータをリストアップします。今のバックアップの実態を整理し、復旧に必要な対策がとられているか可視化・評価します。そして、優先順位をつけます。

• ６ヶ月まで：最重要資産の保護と検証

  特定した最重要資産に対して、復旧できる仕組みを構築します。管理者権限を奪われても削除・破壊されない「イミュータブル」な環境を、本番環境から隔離された「エアギャップ」の場所に構築します。この段階で最も重要なことが復旧テストです。実際に復旧を試し、復旧目標時間（RTO）内に、どの時点のデータまで戻せたか（RPO）を検証します。

• 12ヶ月まで：全社展開と定着

  サイバーレジリエンスは回し続けることが重要です。オンプレミスやクラウドの区別なく、優先度順に全社に対象を拡大します。復旧テストを定期的に実施し、改善点があれば反映します。

まとめ：企業経営課題として捉えるサイバーレジリエンス

「防ぐ（境界防御）」から「検証する（ゼロトラスト）」を経て、「回復する（レジリエンス）」をアーキテクチャの核に据える時代です。AIの攻撃への悪用とその加速が迫る中、その時間的猶予はなく、すぐに取り組みを進める必要があります。

サイバーレジリエンスは、単なるバックアップ技術やその製品の実装ではありません。「攻撃を受けたときに、事業を止めずに立ち直れるかどうか」という経営テーマであり、意思決定そのものです。

現時点で、その取り組みが十分でないとしても、重要なことは事業継続を実現するために動き出すことです。何が止まれば事業が立ち行かなくなるのか、その最重要資産を明確にし、優先順位をつけ、着実に積み重ねていく。インシデントはいつか発生する前提で備えるべきものです。今日から始めることで、12ヶ月後の事業継続力が高まります。

最初の一歩として、「重要資産が定義され、バックアップが取得できているか」、そして「消去・改ざんを受けず、復旧できるものになっているか」、この両方を確認するところから始めてみてください。