EnterpriseZineニュース

8割の国内セキュリティ担当者が「燃え尽き症候群」に……日本特有の要因とは──ソフォス調査

2025/12/03 07:30

通知

　ソフォスは12月2日、サイバーセキュリティに関する調査報告書の結果や、10月末に発表したITDR（Identity Threat Detection and Response）の詳細などを紹介する記者説明会を実施。冒頭、同社代表取締役足立達矢氏が2024年度上半期のビジネスアップデートを紹介した。

　2024年度上半期における日本国内のビジネスは堅調に推移しており、特にMDR（Managed Detection and Response）サービスは前年同期比で83％増の成長を記録したという。ファイアウォール製品は35％増、エンドポイント製品を含むその他のカテゴリーも2桁成長を達成している。足立氏は、これについて「市場におけるソフォスのブランド認知向上と、MDRおよびXDR（Extended Detection and Response）技術に対する顧客の信頼の高まりを裏付けるものだ」と述べた。

　ソフォスは、2025年2月に買収を完了したSecureworksとの統合により、ソフォスの既存ポートフォリオにSecureworksのセキュリティ解析プラットフォーム「Taegis」を加えている。Taegisは、特にエンタープライズ規模の企業で多く採用実績があり、オープンXDRとして他社製品を含む多様なログソースを取り込める柔軟性が特徴だという。足立氏は、ソフォスが従来強みとしてきた中堅・中小企業市場に加え、Taegisの統合によってエンタープライズ市場への対応力が大きく向上すると力を込めた。

　また、Secureworksが有するレッドチーム演習や脆弱性診断といったアドバイザリーサービスも、ソフォスのサービスラインアップに組み込まれている。金融庁のガイドライン改定や製造業におけるサプライチェーンセキュリティの強化など、日本国内でもコンプライアンス要件が厳格化する中で、「単なるサイバーセキュリティ製品の導入だけでなく、リスク評価や診断といったコンサルティング領域の需要が急増している」と足立氏。MDRとアドバイザリーサービスを組み合わせることで、顧客のサイバーセキュリティレベルを継続的に向上させるための体制が整ったとした。

　そして、5年後を見据えたAI活用と人による専門知見の融合をさらに推進していくための戦略として、下図の「4層防御モデル」を示した。

　続いて登壇した、英ソフォスのギャビン・ストラザーズ氏は、同社が毎年発行している調査レポート「アジア太平洋地域のサイバーセキュリティの展望」の第5版に基づき、日本企業が抱える組織的な課題について解説した。

Sophos アジア太平洋日本地区担当シニアバイスプレジデント Gavin Struthers（ギャビン・ストラザーズ）氏

　同調査は、APJ地域のセキュリティ専門家926名（日本は約205名）を対象に実施されたもので、技術的な脅威だけでなく、現場の心理的負担や組織構造にも焦点を当てている。

　ストラザーズ氏が強調したのが、セキュリティ担当者の「燃え尽き症候群」だ。調査結果によると、APJ全体で86％、日本国内でも80％の組織で、セキュリティ担当者が疲労やストレスを感じている実態が明らかになった。日本は、APJ地域内では比較的低い数値ではあるものの、ストラザーズ氏は「5人に4人が燃え尽き症候群に陥っている事実は深刻だ」と警鐘を鳴らす。

　燃え尽き症候群の原因には、「リソース不足」に加え、日本独自の傾向として「不明確なセキュリティ戦略」がトップに挙げられた。これについて、ストラザーズ氏は「現場の担当者が経営層の方針や組織としてのゴールが見えないまま、日々の業務に忙殺されている状況を示唆している」として、セキュリティが技術的な問題である以前に、リーダーシップとガバナンスの問題であることを指摘する。

　また、AIの業務利用に関する調査結果も共有された。日本の80％以上の組織が何らかの形でAIツールを利用しており、63％の組織が正式なAI戦略やポリシーを策定している一方で、約50％の組織が「シャドーAI」の問題に直面。これにより、機密情報や顧客データが意図せず社外の言語モデルに学習されたり、流出したりするリスクが高まっているという。

　ストラザーズ氏は、「AIは防御側にとっても強力な武器である反面、適切なガバナンスなしに導入されれば、新たな脆弱性となる」として、経営層がリスクとリターンを正しく評価し、明確なガイドラインを策定する必要性を訴えた。

　予算に関する質問については、76％の組織が「セキュリティ予算を増額している」と回答しているにも関わらず、多くの現場が「リソースとスキルが不足している」と感じている実態が浮き彫りになったとする。これは、攻撃手法の進化にともなって導入すべきツールや対策が年々増加し、予算の増額分がそのまま新規ツールの導入コストや運用コストに相殺されてしまっているためであるとストラザーズ氏は分析する。こうした状況下では、単に予算を増やすだけでなく、外部専門家の活用や、インシデント対応計画の策定による有事の対応プロセスの明確化が不可欠であると同氏は提言した。

　最後に、英ソフォスのラジャ・パテル氏が登壇し、同社が10月末に発表した新ソリューション「Sophos Identity Threat Detection and Response（ITDR）」について技術的な解説を行った。

　パテル氏はまず、ランサムウェアやマルウェアといった従来の脅威に加え、攻撃者の侵入の手口が巧妙化している現状を指摘した。日本で増えている被害として、サイバーセキュリティチームやサービスプロバイダーを装ったメールを通して、ユーザーをランサムウェア感染に誘導する「FakeAlert」や、Webブラウザのアップデート通知を偽装してユーザーにマルウェアをダウンロードさせる「SocGholish」を挙げる。

　また、Secureworksの脅威インテリジェンスチームの研究成果として、日本企業を標的とする特定の攻撃グループ「BRONZE BUTLER（別名「Tick」）」の活動も明らかになったという。彼らは日本の製造業やメディア企業を執拗に狙っており、資産管理ソフトウェアの脆弱性を突いて侵入し、機密情報の窃取を試みているとした。

　パテル氏はまた、ランサムウェア・アズ・ア・サービス（RaaS）を展開する「Gold Feather」にも言及し、彼らが運用するランサムウェア「Qilin」がアサヒグループホールディングスを含むサプライチェーンに甚大な被害をもたらした事例を紹介した。

　こうした脅威に対抗するための新たなソリューションとして同社が発表したのが「Sophos ITDR」だ。パテル氏は「アイデンティティ（ID）こそが新たな境界防御線である」と定義し、従来のネットワーク境界防御だけでは防ぎきれないIDベースの攻撃への対策が急務であると説いた。

　ITDRの機能は、大きく分けて以下3つの要素から構成されるという。

アイデンティティ・ポスチャー管理：IDの設定ミスや過剰な権限付与を可視化し、攻撃される前に穴を塞ぐ予防的な機能
検知と対応：AIを用いてユーザーの行動パターンを分析し、通常とは異なる場所や時間帯からのアクセス、あるいは異常なデータ操作などをリアルタイムで検知して遮断する
ダークウェブ・モニタリング：外部に流出したクレデンシャル情報を監視し、漏えいが確認された時点で即座に対策を講じる機能

　パテル氏は、「ITDRがMDRサービスのアドオンとして提供されることで、従来のマルウェア対策やネットワーク監視に加え、IDの悪用という検知が難しい領域まで防御範囲を拡張できる」と説明。Secureworksの買収によって強化されたXDRプラットフォームとITDR、そして24時間365日体制のMDR運用が一体となることで、受動的なセキュリティから「攻撃の予兆を捉えて未然に防ぐ」能動的なセキュリティへの転換を顧客に促していくと述べた。