【特集】セキュリティリーダー8名に聞く、2025年に得られた「教訓」　来年注目の脅威・技術動向は？

2026年は「AI駆動型サイバー防御」が本格的に定着する年に（NTTデータグループ 新井悠氏）

2025年の振り返り、2026年の展望

　2025年のサイバーセキュリティ領域は、攻撃手法の高度化が進む一方で、防御側の自動化が飛躍的に進展した一年だった。特にMCP（Model Context Protocol）の登場は大きな転換点となり、従来は専門の解析担当者が膨大な時間を費やしていたコンピュータウイルスの静的解析の“ほぼ自動化”を実現した。MCPによってAIがリバースエンジニアリングツールを自律的に操作し、静的解析を高精度かつ高速に実行できるようになったことで、効率化に大幅に寄与した。

　また、バグハンティングの領域でもAIを常時稼働させる手法が一般化し、人間の作業量をはるかに超える規模でWebアプリケーションの脆弱性を継続的に発見する事例が確認された。

株式会社NTTデータグループ
エグゼクティブセキュリティアナリスト
新井悠氏
2000年に情報セキュリティ業界に飛び込み、株式会社ラックにてSOC事業の立ち上げやアメリカ事務所勤務等を経験。その後情報セキュリティの研究者としてWindowsやInternet Explorerといった著名なソフトウェアに数々の脆弱性を発見する。ネットワークワームの跳梁跋扈という時代の変化から研究対象をマルウェアへ照準を移行させ、著作や研究成果を発表した。2013年8月からトレンドマイクロ株式会社で標的型マルウェアへの対応などを担当。2019年10月、NTTデータのExecutive Security Analystに就任。近年は数理モデルや機械学習を使用したセキュリティ対策の研究を行っている。 2017年より大阪大学非常勤講師。著書・監修・翻訳書に『サイバーセキュリティプログラミング』や『アナライジング・マルウェア』がある。CISSP。

　2026年は、こうした自動化基盤を前提とした“AI駆動型サイバー防御”が本格的に定着する年になると見込まれる。攻撃側もAIを活用して自動化と高速化を進めているため、攻防のサイクルはさらに短期化し、競争は一段と激化するだろう。防御側は、MCPやAIエージェントを中核とした分析・検知・対応の統合オーケストレーションを強化し、複雑化する脅威に対して即応性を高める必要がある。

　加えて、量子コンピュータの実用化を見据えた耐量子暗号への移行準備や、ID／アクセス管理の高度化も引き続き重要なテーマとなり、組織のセキュリティ戦略全体を見直す契機になるだろう。

2025年、ようやく「制度」が出来上がった。来年は制度論を超えた「実装」が重要に（情報通信研究機構 伊東寛氏）

2025年の振り返り、2026年の展望

　2025年は日本にとって大きな転換点の年であったと思います。それは能動的サイバー防御に関する法制度が導入されたことです。すなわち、サイバー攻撃を受けてから対応するのではなく平時から被害を未然に防ぐという姿勢を明確に打ち出したのです。サイバー攻撃対処が「理念や掛け声。今やってます」から、「未然防止、その制度の確立と運用」の段階に入ったのです。

　一方で、制度ができたことで課題もより鮮明になりました。現場では、フェイクやランサムウェアをはじめとする多様なサイバー攻撃が日常化し、企業は常に「平時の中の有事」に直面しています。法律の存在だけで安全が確保されるわけではなく、実際に「検知し、対処し、次に備える」というような一連の運用がうまく回るかどうかが問われています。また、サイバーセキュリティは、事業継続と信用を守るための「前提条件」になったと言えるのではないでしょうか。特にサプライチェーン全体での対策が求められ、委託先や関連企業を含めた総合的な対応力が企業価値に直結する時代に入っています。さらに、急速に進歩するAIを利用したサイバー攻撃の増加にも目を離せません。量子技術の発達にも注視する必要があるでしょう。

独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 技術研究アドバイザリーボード委員
元陸上自衛隊システム防護隊長
伊東寛氏
慶應義塾大学大学院工学研究科修了後、陸上自衛隊に入隊。技術・情報・システム分野を中心に部隊指揮官および幕僚を歴任し、陸自初のサイバー戦部隊であるシステム防護隊の初代隊長を務めた。退官後は、外資系および国内のセキュリティ企業、政府機関等において、主席アナリスト、研究所長、審議官、最高情報責任者などを務め、官民両面からサイバーセキュリティの実務と政策に携わった。現在は国立研究開発法人情報通信研究機構主席研究員。政府有識者委員や学会理事、企業顧問等も併任。工学博士。著書に『「第５の戦場」サイバー戦の脅威』、サイバー・インテリジェンスほか多数。

　このような現状認識の中、2026年に向けて特に重要なのは制度論を超えた「実装」だと思います。官民連携の具体化、現場で使える基準やガイドラインの整備、国からの適切な支援。そして何よりもAIを前提とした新しい脅威への備えが重要・不可欠になります。
これからのサイバーセキュリティは、「適切な対応」ではなく、「継続できる態勢」をいかに作れるか。その成否が企業のみならず日本の安全を左右していくことになるのではないかと思います。