相次ぐ情報漏えい事案と政府からの号令を整理　AI脅威に対抗するゼロトラストセキュリティのシン常識

個人情報保護委員会／JPCERT／経産省／IPA／国家サイバー統括室からの号令

　10月7日、個人情報保護委員会は、大量の個人データの漏えい事案に「接しています」と述べ、ガイドラインの見直しを先取りする形で技術的な安全管理措置の例を示しました。

　そのほか、10月8日のJPCERT/CCの注意喚起（9日更新）は、攻撃を4つのケースに分けています。

　対策には、

が並びます。攻撃は一つの共通する脆弱性ではなく、標的ごとに異なる既知の脆弱性や管理の不備を狙っている、というのが同注意喚起の見立てです。

　10月9日には3本が重なりました。経済産業省は、自社だけでなくサプライチェーン全体でセキュリティを管理するという認識の下で、次の項目を挙げています（項目は原文のまま）。

　IPAは、大量の個人情報や機微な情報を扱う事業者、特に経営者に向けて、至急の点検を求めました。

の3つです。強化策として、

を挙げています。国家サイバー統括室は、

の3本柱を示しました。「侵入を完全に防ぐことは困難です」としてログや監視、侵入検知の備えを求め、外部に公開しているシステムは「いつ攻撃を受けてもおかしくない」という前提に立っています。

　並べると、中心はパッチ、多要素認証、権限、ログ、API、棚卸し、委託先、データの最小化です。攻撃の入口における見立ても、脆弱性から外部公開のアプリやAPI、アカウント、委託先へ広がりました。国の要請は、まず「基本の徹底」です。

　ただ、基本の徹底には時間がかかります。その間にも、AIの進化スピードは止まらず、攻撃はますます速くなっていくでしょう。マシンスピードで進化する攻撃を前に、人の判断を要する守る側はあまりにも不利です。

海外で注目を集める対AI脅威の施策「サイバーデコイ」とは

　海外では、AIで攻撃が速くなることを前提においた対策方法として、「おとり（デコイ）」が挙がっています。Cloud Security Allianceなどが2026年4月に公開し、5月に改訂したCISO向けの緊急ブリーフィングは、優先アクションの9番目に「デセプション能力の構築」を置きました。リスクは「高」、着手の目安は「今後90日」、完了の目安は「6ヵ月」。同文書はこの時間表を草案としています。

　中身は、カナリアやハニートークンを置くこと、封じ込めの措置を事前に承認しておくこと、そしてマシンスピードで動く対応手順を用意すること。デセプションは攻撃ツールにも脆弱性にも依存しない、というのが同文書の見立てです。

　米CISAが2026年9月16日に公表したサイバーデコイの手引きは、以下の記事で紹介しました。同手引きは、修正が遅れる、あるいは難しい場所では、トリップワイヤを補完の制御として使う、としています。修正の期限を守れない入口にも、おとりで見張る手は打てます。

　英国NCSCは、121組織が関わった試験（2025年12月公表）から、デセプションは機能するがプラグアンドプレイではなく、設定を誤れば新たな脆弱性や誤った安心感を生む、と指摘しています。

　当方は、デセプションの価値を「確率的な検知」と「確度の高い検知」の違いとして整理しています。シグネチャや振るまいの検知が言えるのは、「怪しい」ことまで。誤検知が生じる可能性があるため、人の判断を待つ必要があります。正規の利用者が触れる理由のないおとりなら、触れたこと自体が侵害の確度の高い印になります。さらに、正規の利用が無い場所なので、誤検知は極めて少ない。人を待たずに動ける信号──自動の封じ込めの前提となる考え方です。