EnterpriseZineニュース

国内金融業界は62.6％がWindows 10のまま利用／現場と情シスの“見えない分断”が浮き彫りに

2026/08/28 20:10

通知

　サイバーリーズンは2026年8月28日、国内企業405社を対象とした「セキュリティ成熟度ベンチマーク診断」の結果と、同社のグローバルSOC（GSOC）が観測した2026年上半期の最新インシデント分析データを公開。それにともない開かれた記者会見では、日本企業の構造的欠陥や運用現場における属人化の課題、およびフロンティアAI時代におけるサイバー攻撃の高速化に対する実用的対策などが語られた。

　会見前半には、グローバルSOC（GSOC）シニアマネージャーの渡邊弘実氏が登壇。GSOCが2026年1月から7月にかけて、同社のMDRサービスを提供する日系顧客環境で観測した重大インシデントの根本原因分析では、EDRを全社展開している環境であっても「一部のEDR未導入端末（センサー未導入端末）」を踏み台とされたケース、「外部公開サーバーの脆弱性を突かれた」ケースがともに25.0％を占め、両者が侵入要因のトップだった。

　攻撃者は高度な回避手法を用いるまでもなく、管理者の視界から外れた監視の死角を突いて侵入を果たしている。現場で確認された侵入経路の背景には、M＆A先や海外拠点の端末、部署が独自予算で購入した端末、開発・テスト用に構築されたのちに放置された“野良サーバー”、退職者の放置端末といったIT資産管理の漏れがあるという。

　また、工場のOT環境や医療機器、POSレジのように、専用ソフト・ハード一体型で、サードパーティ製セキュリティソフトを導入するとベンダーサポート対象外となる技術的制約や、作業員などが持ち込む端末を統制することの限界なども、死角を広げる要因となっている。

　たとえば、ある日本国内の製造業者は、管理外の野良端末を踏み台としてRemote Desktop Protocol（RDP）接続で横展開され、脆弱性をもつ正規ドライバーを持ち込んで特権昇格を図るBYOVD（Bring Your Own Vulnerable Driver）攻撃を受けた。また、ある情報通信事業者では、多層防御を施したDMZ内のSharePoint Serverの脆弱性（CVE-2026-58644）を公開直後に突かれ、Webシェルを設置された事例がある。

サイバーリーズン合同会社グローバルSOCマネージドサービス部シニアSOCマネージャー渡邊弘実氏

　そのほか、インシデント発生環境におけるOSのバージョン分布でも、弱点が顕在化した。日本拠点全般のWindows一般端末では、Windows 11の利用率が93.9％（全体傾向データでは93.1％）に達しているものの、重大インシデントに見舞われた環境ではWindows 10の割合が28.0％へと跳ね上がり、サポートが終了したWindows 7やWindows 8も1.3％残存していた。サーバー環境においては、インシデント発生環境の48.1％をWindows Server 2019、16.9％をWindows Server 2016が占めている。サポート期限内のOSであっても、その上で稼働するミドルウェアやアプリケーションが先にサポート終了を迎えることで、システム全体の防護力が低下する傾向がみられるとのことだ。

　業種別に比較すると、国内製造業におけるWindows 11の導入率は93.7％と欧米製造業の77.1％を上回る一方、一部でWindows 7や8の残存（0.3％）が確認された。一方、国内金融業界に目を向けるとWindows 11の導入率は37.4％にとどまり、欧米金融業界の83.9％と比較して大幅な遅れをとっていることが判明。渡邊氏は「インシデント寸前の事案を分析すると、その4分の1がセンサーの入っていない端末を起点としていた。攻撃者は高度な手法を使うまでもなく、企業が存在を忘れた野良端末や持ち込みPCという見えていない場所から入ってくることを認識すべきだ」と指摘した。

　脆弱性修正パッチの適用が遅れている背景には、日本企業特有の変更管理プロセスと業務停止に対する恐れがあるという。ソフトウェアやミドルウェアの動作検証は、代理店を経由することで確認に1〜2日を要し、自社検証を実施する場合はさらに時間を費やすことになる。また、パッチ適用にともなうシステムの再起動や障害発生による社内業務の停止、身近な関係者からの信頼失墜を恐れるあまり、脆弱性を把握しながらも修正の断行に踏み切れない現場の事情が浮き彫りとなっている。

　しかし、AnthropicのClaude 3.5 SonnetやOpenAIのGPT-4oに代表されるフロンティアAIの台頭により、脆弱性の検出からパッチの差分解析、リバースエンジニアリングによる侵入手順の再現およびエクスプロイトコードの作成までの時間が、数週間単位から数時間単位へと短縮されている。

　パッチが公開された時点で、すでに攻撃手順が攻撃者に共有されているのと同義であり、パッチ公開から数日以内に既知の脆弱性を狙ったNデイ攻撃が急増する。この攻撃速度の加速に対し、確認作業に数日を要する従来の変更管理手順では対抗できず、受動的な防衛体制は大きなリスクを孕んでいる。

　さらに、インシデント発覚時の現場ではネットワーク構成図や資産リストの不備、ログの未出力やアクセス権限の属人化により、遮断すべき端末の特定が遅れて全拠点停止を余儀なくされたり、業務を止める権利をもつ責任者が曖昧なために初動判断が遅れ、被害が全社へ拡大したりする事例が頻発している。渡邊氏は「資産の棚卸しと積極的なアップデート推進、および定期的なセキュリティ診断や侵入テストによる死角の洗い出しを、平時のうちに実施していただきたい」と語った。

　会見後半には、セールス・エンジニアリング統括本部の有賀正和氏が登壇。同社は、NISTの「サイバーセキュリティフレームワーク（CSF）2.0」の6機能に準拠した5段階評価（レベル1：初期、レベル2：属人化、レベル3：定義、レベル4：管理、レベル5：最適化）に基づき、国内企業のセキュリティ態勢を検証。その結果、同フレームワークで異常発生を認知する「検知（DETECT）」のスコアは平均2.86、情報を保護する「防御（PROTECT）」は平均2.56なのに対し、自社の公開資産やアタックサーフェスを把握する「特定（IDENTIFY）」のスコアは6機能中で最も低い平均1.99にとどまった。

　これは、多くの企業が高度な検知・防御ツールを導入して安全を確保していると錯覚しながら、保護すべき資産そのものの全体像を見失っている“非対称な防御”の構造に陥っていることを示しているという。さらに、侵入後の事後処理を担う「対応（RESPOND）」は平均2.04、「復旧（RECOVER）」は平均2.16と低迷しており、全体の51.6％に相当する209社が手動運用や担当個人のスキルに依存する「レベル2（属人化）」に滞留していることがわかった。

　所属部門別の意識調査では、「特定（IDENTIFY）」スコアにおいて、営業や製造などの事業現場部門が平均2.57を記録したのに対し、日常の運用作業を担う情報システム部門は平均1.86と、両者間に0.71ポイントの乖離が存在。現場部門が「自社の設備は自らが最も把握している」と過信しシャドーITを生み出している一方、情報システム部門は全体像が見えないままアラート対応に追われ、有事の対応不能に対する危機感を抱いている。

　この「現場の楽観視」と「情シスの疲弊」という“見えない分断”が、企業内のセキュリティリスクを放置する原因となっているのではないか。有賀氏は、「405社の診断データが示したのは、日本企業のセキュリティがツールの問題から組織とプロセスの問題へ移行したという事実だ。次の一手は新しい製品の導入ではなく、資産の可視化と有事に誰が何を判断するかを定めた組織的なプロセスの整備である」と述べ、ツール導入依存からの脱却と運用プロセスの標準化を訴えた。

この記事は参考になりましたか？