AI時代の神経系「ネットワーク」、それを守る「セキュリティ」──2つの融合が企業生存の必須条件になる

ネットワークは事業・IT・AIのすべてをつなぐ“神経系”である

　国内では3年ぶりに開催され、1,400名以上が来場し盛況となったAccelerate Japan 2026。今年のフォーティネットジャパンが掲げたスローガンは、「セキュリティとネットワークの融合」、そして「サプライチェーン全体を守る・価値を高めるセキュリティ」だ。

　フォーティネット（Fortinet）といえば、ネットワークからセキュリティに至るまでの広範な製品ポートフォリオを有する、セキュリティ業界では最大手の一角だ。基調講演に登壇した日本法人社長の与沢和紀氏は、近年のネットワークとセキュリティを取り巻くトレンドの変化を振り返る。

　まずはネットワークの変化について。企業の端末環境は、かつてのメインフレームをはじめとする中央集権的なモデルが終わり、クラウド、国内外に無数に存在するサーバー端末、PC、モバイルといった分散型の環境へと移行した。この多様化の流れは今日ますます加速の様相を見せている。数年前まではクラウドへの移行がトレンドだったが、今は必ずしもすべてをクラウド化するのではなく、エンタープライズでは事業環境や要件ごとに最適化した独自のハイブリッド環境を構築することが一般的となっている。

　トラフィックの様相も大きく変化しつつある。かつては「出口から中へ」という“縦方向”のトラフィックが中心だったが、AIエージェントが登場したことにより、“横方向”のトラフィックが急増している。加えて、AIエージェントは人間が追えないスピードで縦横無尽かつ自律的に動き回る。そのため、発生しているトラフィックが「AIエージェントによる業務から発生したものなのか、それともラテラルムーヴメントを試みる攻撃者のものなのか」、見分けがつかない状態になっていると与沢氏は指摘する。

AI時代は「ネットワーク」と「セキュリティ」の融合が必須に

　ネットワークを可視化・管理する製品は様々なベンダーが提供しているが、問題はネットワーク単体でこの縦横無尽かつ高速なトラフィックの動きを見切ることが不可能になってしまった点にある。そこで、冒頭にフォーティネットが掲げた「ネットワークとセキュリティの融合」というコンセプトが重要となる。同社の製品ポートフォリオは、まさにネットワークとセキュリティの両方を、単一のOSとコンソールで一元管理し、統制し、脅威から保護する製品群となっている。

　ネットワークとは、すべてのシステムとデバイスをつなぐ“神経系”だ。クラウドもオンプレミスも、各拠点にあるサーバー端末や制御機器（OT）も、社員一人ひとりのPC・モバイルも、すべてネットワークによってつながっている。その所在は、リモートワークやハイブリッドワークの普及により境界がなくなってしまった。そして、無数のAIエージェントがその神経系を駆け回る。

　それによる負荷の増大も問題だ。副社長の竹内文孝氏は、世の中のAIエージェントの数が今年から来年にかけて10倍に増加するとの見方を示した。

　この数は年々、指数関数的に増え続けるだろう。AIエージェントは、人間が同じタスクをこなすよりも遥かに多くのトラフィックを発生させる。そうなれば、現行のネットワークのほぼすべてが、AI時代の負荷に耐えられずに終わりを迎えてしまう。

　これを刷新・統制・保護できずして、デジタルやITなしでは継続不可能となった今日の経営や事業に対し、責任を果たしていると言えるのだろうか。昨今、サイバー攻撃はAIにより大規模化・高速化していることは周知の事実だが、それにともないアイデンティティを狙った攻撃、インターネット上のエクスポージャー（露出）を狙った攻撃、さらにはAIを標的とした攻撃など、すべてのアタックサーフェスにおいて攻撃件数が急激に増加している。もはや、どの企業がいつ被害に遭ってもおかしくない状況だ。

AIを狙った攻撃への対応が急務だが、セキュリティ担当者にはもうリソースが……

　AI時代に新たに台頭した脅威やセキュリティの新常識についても、従来の認識を改める必要がある。今回、与沢氏が「黎明期から特に顕在化している攻撃手法」として挙げたのは以下の5つだ。

　さらには、シャドーAIや野良AIといった言葉が既にバズワードと化している。これらに対応すべく、「Security for AI（AIを守るためのセキュリティ）」の製品を各社が次々と市場に投入している。

　ただし、新たに対応すべき脅威が次々と出現しているにもかかわらず、セキュリティ担当者やIT部門は、日々発生する大量のイベントやアラートへの対応で手一杯だ。さらには、「自社のIT資産やアタックサーフェスの棚卸しも正確にはできておらず、ハイブリッドクラウド化やマルチベンダー化した環境のセキュリティ運用も統合できていない」と、米国から来日した主席セキュリティストラテジストのデレク・マンキー氏は指摘する。そのため、既存の脅威に対応するだけでも、運用の現場は限界を迎えているのが現状だ。

　そこで近年、防御側でもAIによる運用の自律化を試みる動きが活発化している。いわゆる「エージェンティックSOC」や「AI for Security（AIによるセキュリティ高度化）」などと呼ばれるトレンドだ。

　フォーティネットもまた、この環境変化やニーズの高まりに対し最新の技術で応える。同社の製品群の土台とも言える独自OS「FortiOS」は、最新バージョン8.0にて、シャドーAIのアプリケーションコントロールや、MCPプロトコルの検出機能が拡張された。たとえば、ユーザーの画面に表示される「AI Observability Center（AI可視化センター）」の機能を使用することで、ネットワーク上のあらゆるユーザー、AIエージェント、マシンがどのアプリケーションにアクセスしているのかを、中央のコントロールパネルですべて詳細に確認できる。各AIエージェントのログ監視・追跡や、即時のブロックも簡単だ。同社が提供するすべてのネットワークおよびセキュリティ製品は、このFortiOS上でシンプルな統合運用が可能となっている。

　フィールドCTOのジャック・チャン氏は、AIモデルそのものの保護からAIシステム／AIエージェントの行動・権限に至るまでの統制（Security for AI）、さらにはAIによるセキュリティ運用の自律化・自動化（AI for Security）も、すべてFortiOSを土台とする同社の製品群内で機能や製品を実装済みだと強調した。

「サプライチェーンをすべて守れる」ベンダーは本当に存在するのか？

　現在がセキュリティの転換期であることは言うまでもない。Mythosを発端とするフロンティアAIモデルの進化、量子コンピューティング時代の到来といった技術のパラダイムシフトに加え、日本における安全保障政策の面でも、政府の主導で能動的サイバー防御やセキュリティ・クリアランスの環境整備が進められている。そして産業界では、経済産業省が主導するサプライチェーンのセキュリティ対策評価制度（以下、SCS評価制度）がいよいよ施行される予定だ。

　特に、企業の経営者やIT部門・セキュリティチームの方は、SCS制度への対応で頭を悩ませていることだろう。サプライチェーン全体の可視化・保護が必須要件となれば、自社だけでなく関連会社、取引先、その他大勢のサプライヤーも見なければならなくなる。大企業であれば、本体一社がいかに最新のセキュリティ製品を導入していようが、グループ内の中小企業や取引先で対策が疎かな時点でサプライチェーンセキュリティが担保されているとは言えなくなる。

　そんなタイミングで、フォーティネットは冒頭に紹介したスローガン「サプライチェーン全体を守る・価値を高めるセキュリティ」を2026年度の事業方針に掲げた。これは、既に強固な地盤を築いている中堅・中小企業（以下、SMB）での圧倒的なシェア数とノウハウを土台に、エンタープライズへとさらに市場を開拓していくアプローチを意味する。多くのセキュリティベンダーは、これまでエンタープライズへのアプローチを主としていた。現在はSMBの開拓に苦労しているフェーズだろう。しかしフォーティネットは、その逆である。これにより、サプライチェーンの“弱い部分”を起点として、上流から下流まで真にカバーできるというのが同社の戦略だ。

AI時代のスピードに追従すべく、3つの運用アプローチを組織に実装せよ

　転換期に適応し、新たな時代でも生き残るべく、竹内氏はサイバーリスクマネジメントの3つのポイントを参加者へ送った。

　第一に、従来のセキュリティ対策と「アジャイル・ガバナンス」の融合──いついかなる時でも脅威にさらされる可能性があるAI時代には、中央集権的でトップの判断を待たねばならない従来のガバナンス体制ではなく、現場で自律的に判断を下して即応し、説明責任を果たすガバナンス体制が必要ということだ。

　「現場レベルで継続的かつ能動的に改善を繰り返し、その場で脅威を抑え込むことで大事故への発展を防ぐ、『賢いガバナンス』を機能させるのです」（竹内氏）

　第二に、先制的なサイバーセキュリティ──これは、先手を打って弱点を可視化し、制御するアプローチだ。システムの脆弱性をゼロにするのは不可能である。Mythosのような、どんなシステムでも脆弱性を発見してしまう技術が出現したとなればなおさらだ。となれば、自分たちの弱点を先に発見し、外部にさらさない環境構築が必要である。また、弱点が攻撃されてしまった場合に、どう対応・制御するのかを事前に準備しておくことも、その後の復旧速度を劇的に速めることにつながる。

　そのためには、まず組織全体のセキュリティ意識を高めること、そして現状の自社が恐れるリスクを把握することは当然必要だ。次に、敵を知ること。他社はどんな被害に遭っているのか、世界ではどのような脅威アクターが活発化しているのか。また、サイバー空間での攻撃増加を招くような紛争、政治的緊張といったインテリジェンスも収集するとよいだろう。その際に重要なのは、“攻撃者の目線”で分析することだ。どんなIT資産や重要情報が露出してしまっているのか、あるいは闇市場に出回っているのか、攻撃者が普段見ている景色を知ることで、先手を打つことが可能となる。予兆にもすぐに気付ける。

　そして第三に、サイバーレジリエンスの強化だ。何年も前から言われていることではあるが、いよいよ本腰を入れなければ手遅れになる可能性が高い。事前対策による保護から、復旧などの事後対策まで一連の対策を講じることで、「止まらないシステム・事業」「すぐに復旧するシステム・事業」を築き上げよう。

　実は、準備しておいたバックアップやリカバリー施策が、いざ有事の際に機能しなかったり、復旧後の脆弱性改善が放置され再被害に遭ったりするケースが非常に多いことがわかっている。攻撃されない（≒失敗しない）ことももちろん大切だが、AI時代にそれはほぼ不可能と言ってよいだろう。攻撃はどんな組織でも受けてしまうというのが、新たな常識だ。となれば、失敗と反省を蓄積し、改善へとつなげる運用のサイクルを構築しなければ、「説明責任を果たせるレジリエンス施策を講じていた」と胸を張ることはできない。それこそ、改善のサイクルにAIを活用することも有効だ。現在のセキュリティ用AIは、脆弱性を迅速に発見し、対策をレコメンドし、パッチを自動生成してくれる。

　ここまで述べたようなセキュリティ運用は、フォーティネットの製品群を導入すればすべて実践できる。一気にすべての製品を導入する必要はない。まずはネットワークの制御から始めてみる、あるいは部分的なゼロトラストへの移行にチャレンジしてみる。もしくは、脅威の検知・分析といった煩雑な業務をAIに置き換えてみるといった、様々な入口を検討してみるとよいだろう。

三菱電機グループは“Security for AI／AI for Security”を本格推進中

　ここまで述べたようなフォーティネットが提唱するアプローチを、今まさに実践する2社のセキュリティリーダーが登壇した。まずは三菱電機デジタルイノベーションだ。同社は、三菱電機の社内IT部門およびセキュリティ部門と、グループ内のIT事業会社3社が統合して2025年4月に設立された。

　セキュリティ事業を統括する手束裕司氏は、最初に三菱電機グループが直面するサイバー脅威について明かした。かつては1日当たり、多い日で約20万件の攻撃を検知・ブロックしていたが、現在は1日30万件を超える日もあると手束氏。そして三菱電機は、2020年に2度の大々的な不正侵入被害を受けた経験もある。

　2021年、同社はセキュリティ強化に向けた5ヵ年プロジェクトを編成した。約500億円を投じ、端末監視から通信、クラウド認証に至るまでの多層防御を構築したのである。2026年3月にこのプロジェクトは終了し、現在は次のステップとしてAIセキュリティ対策への取り組みを開始しているという。

　組織体制としては、CIO/CISOの直下に情報セキュリティ統括室を配置し、その下にCSIRT、PSIRT、FSIRTを擁する。また、各事業部にも情報セキュリティ責任者が配置されており、先ほど竹内氏が推奨したアジャイル・ガバナンスを実践している。本体である三菱電機との横串体制も出来上がっている。

　かつては、各国・地域の拠点ごとに個別のセキュリティ／ガバナンス体制を敷いていたが、現在ではグローバルCISOを配置し、各拠点でもリージョナルCISOを任命することで、グローバル全体の統制を効かせる体制づくりを進めているとのことだ。また、2022年にはSOCの上位組織として「サイバーフュージョンセンター」を設立し、脅威分析や先制的な対処の能力を大幅に強化した。

　三菱電機を本体とする製造業ならではの注力分野として、手束氏は外部向けに提供するOTセキュリティのフルマネージドサービスを紹介した。アセスメントからIT・OTの境界分離、通信の可視化、端末接続制御、持ち込み媒体対策、SOCによる監視までをトータルで提供している。このうち、境界分離にはフォーティネットの技術が活用されている。

　Security for AI／AI for Securityの施策については、直近では以下3つを推進中とのことだ。

トヨタ自動車が全社を巻き込んで進めるセキュリティの文化醸成

　次に登壇したのは、トヨタ自動車で情報セキュリティ・トラスト部長を務める寺澤知昭氏だ。同社では2022年頃、従来型の境界防御に限界を感じ、単に守るだけでなく以下3つのアプローチ実装に向けたアクションを定義した。

　当時は、日本企業や製造業全体でミスが許されない文化・風土がより強く残っていた。そんな中で、より便利で快適、かつ低コストなインフラを構築せねばならず、モダナイゼーションの必要性に迫られていたという。最終的には、約4年強の歳月をかけて以下のアーキテクチャ変更が進められた。

　加えて、IT-BCPの整備や体制構築にも注力している。インシデント発生から完全復旧宣言に至るまで、「絶対にIT部門だけで進めない」体制を構築しているようだ。IT部門だけで事業を元に戻すことは現実的に不可能なため、経営層と事業部門を巻き込んだトップダウンの体制を作る。そして復旧プロセスでは、IT以外の部門が尽力すべき領域を定義し、IT部門はそれぞれの部門に寄り添いながらBCP整備や訓練のサポートを行うパートナーとしての役割を明確化したという。

　寺澤氏は、流行りのツールを部分的に導入して満足する「戦略なき対策」や、自己点検だけで終わる「形だけの対策」を防ぐため、以下のサイクルと組織文化を重視して、今後も戦略的なセキュリティ対策を実践していくと述べた。

　盛りだくさんな基調講演が終わると、会場の参加者たちは同日に展開された様々な技術セッションや分科会に足を運び、各々のセキュリティ対策やインフラ刷新に役立つ知見を持ち帰った。まずは、自社が守りたいもの、セキュリティの先に見据えるビジョンや目標を定めよう、戦略なき対策に走ってしまわないために。

　その次に、目標を達成するためにどんな技術が必要なのか、どのような体制を築くべきなのか、施策のロードマップを描いていこう。皆さんの組織で最初に必要な施策は何だろうか。ゼロトラスト移行か、IT・OT資産の可視化・制御か、シャドーAIの統制か。また、セキュリティ運用をAIで自動化・自律化すれば、新たな施策や取り組みの糸口をつかめるだろうか。あるいは、運用のサイロ化を解消するのが先だろうか……。フォーティネットは、そのすべてに対する答えを持っている。