レコーデッド・フューチャーが能動的サイバー防御の枠組み「ディフェンシブ・クロック」を解説

　サイバー脅威インテリジェンス企業のレコーデッド・フューチャー（Recorded Future）は2026年11月10日、記者向けの説明会を開いた。同社が提示したのは、能動的サイバー防御の実効性を測る枠組み「ディフェンシブ・クロック（Defensive Clock）」だ。ある組織で得た活用可能なシグナルが、別の組織で検証済みの防御措置につながるまでの時間を測り、法定報告や官民連携が「次の被害者」を守れているかを問う内容である。

　冒頭、日本カントリーマネージャーの柿澤光郎氏は、2009年設立の同社がこの業界で約18年サービスを提供し、日本法人は2019年設立だと紹介した。「現在100社以上のお客様に製品を導入いただいており、年率20％台後半の成長を続けている」と述べ、グローバルではFortune 100の半数以上、国内ではメガバンク3行中2行をはじめとする大手企業が利用しているとした。導入事例としては、トヨタ自動車、パナソニック、SOMPOジャパン、沖縄科学技術大学院大学（OIST）などを挙げた。

　直近のガートナーのマジック・クアドラントでは、新設カテゴリのCTI（サイバー脅威インテリジェンス）分野でリーダーに位置付けられたという。「このカテゴリは今年新設されたものであり、サイバーセキュリティにおいてインテリジェンスが今後大きな市場になっていく証左だと捉えている」と柿澤氏は語った。同社の最大の特徴は、100万以上のデータソースを収集・相関分析する独自の「インテリジェンス・グラフ」だ。AIを活用してリスクの背景情報（コンテキスト）や対策を提供し、「圧倒的な網羅性、リアルタイム分析、リスクの文脈把握が強み」だと説明した。導入後は、従来手動のトリアージで数日〜1週間かかっていたアクションを約30分に短縮するなど、運用自動化を支援しているという。

　柿澤氏は、「現在の攻撃側は、AIを活用して分単位・秒単位で攻撃を自動化している。一方で防御側はいまだに手作業が多く、非対称な戦いを強いられている」と指摘し、インテリジェンスを活用して防御を自律化（オートノマス・ディフェンス）させていくことが不可欠だと述べた。国内では政府による能動的サイバー防御の議論が進み、重要インフラ事業者における脅威ハンティングやセキュリティ強化の動きが加速しているとも説明した。加えて、AIによる脆弱性の発見・兵器化の高速化が顕著だとし、今年4月にAnthropicが発表した、脆弱性の発見能力に優れたAIモデル「Claude Mythos Preview」の衝撃にも触れた。「脆弱性の公開件数が増加するなか、実際に悪用されているものを迅速に見極めて対処しなければならない。脆弱性や攻撃を待つのではなく、インテリジェンスを活用して先手を打つ能動的サイバー防御の視点が必要だ」と強調した。

　基調講演を担った社長室副室長兼グローバル・アフェアーズ担当ダイレクターで、米戦略国際問題研究所（CSIS）の非常勤シニアアソシエイトも務めるアレクサンダー・レスリー氏は、「日本は新たなサイバー防衛権限を法制化し、報告を増やせる。しかしそれだけでは、次に狙われる組織が使えるエビデンスを待たされたままになる恐れがある」と述べた。ディフェンシブ・クロックは、有能なアナリストが判断材料として扱えた最初の痕跡を起点（t0）とし、影響を受ける別組織で対策が完了した時点（t6）までを測る。その間にシグナルが証拠となり、評価を経て警告として伝わり、防御が完了する。誰が証拠を持ち、どの判断を支え、どこで遅延し、次の組織に行動の時間が残っていたかを問う枠組みだと位置付けた。

　具体例として挙げたのが2023年7月の名古屋港の事案だ。コンテナターミナルシステムは7月4日午前6時30分頃に停止し、全ターミナルのゲート再開は約60時間後の7月6日18時15分だった。調査では侵入経路を特定できず、暗号化やVPNログバックアップの欠落、復旧過程での記録消失があったという。「約60時間はサービス停止の長さを示すに過ぎない。公表された証拠だけでは、他社を守る道筋は描けない」とレスリー氏は指摘した。復旧チームには顧客への責務がある一方、復旧を急ぐあまり他社が必要とする証拠が消える恐れがある。最初の被害者が証拠保全のコストを背負い、恩恵を次の被害者が受ける構造があり、証拠保全は復旧手順にあらかじめ組み込むべきだと述べた。

　同社の観測では、日本に影響したサイバーインシデント報告は2026年第2四半期の621件から第3四半期の918件へ48％増えた。深刻な侵害や業務停止にともなう報告の増加であり、攻撃成功の網羅統計ではないという。検知が進むと悪化したように見える一方、報告の少なさが強い防御か可視性の欠如かを判別しにくい、とも説明した。政治的な「非常事態」表現と、法制度が定める権限・義務を混同すると、保護の実効性や責任、必要な証拠が曖昧になるとも注意を促した。

　制度面では、能動的サイバー防御に関する法律（令和7年法律第42号・第43号）が2025年5月に成立し、2026年10月1日から報告・官民連携およびアクセス・無力化措置が動き出した。通信情報の活用は2027年秋予定だ。「報告の時計」は対象事業者が重大事案を合理的に認識した時点から動き、速報と認識から30日以内の詳細報告が枠組みになる。ランサムウェア等では認識から3〜5日以内、対象となるDDoSでは可能な限り速やかな報告がガイドラインで示されているという。レスリー氏は、警告を速く出しても受信側に変更可能な時間枠が残っていなければ防御完了は前倒しできないとし、「残された防衛機会」と「致命的な遅延」の測定が重要だと述べた。

　さらに、法律上の報告義務があっても有用な証拠へ直ちにアクセスできるとは限らない「カストディ・ギャップ」を指摘した。法的責任と、データを保全・抽出できる実務権限が一致しないケースがあり、証拠へのアクセスは事業者間の契約に左右されるという。IDCフロンティアの事案では約495の企業・自治体に影響が及び、2022年の小島プレス工業の障害ではトヨタの14工場28ラインが停止した。日本経済新聞社では侵害された正規アカウントから約9,000通の不審メールが送られ、パーク24では約146万件の身分証画像に外部送信の痕跡が確認された。いずれも中核組織そのものより、サプライヤーや委託先、正規の信頼関係が起点になりやすい構図だと紹介した。

　対談に加わったKPMGコンサルティングのパートナーでサイバーセキュリティ統括の澤田智輝氏は、同社サーベイ（420社回答）で被害経路として「国内の委託先・取引先」が最多だったと述べた。委託先向けセキュリティ指針を整備している企業は31％にとどまり、「自社だけを守ればよい時代は終わった」と語った。レスリー氏も、対応するインシデントの多くがサードパーティ起点だと述べ、親会社だけでなく委託先へインテリジェンスと防御を届ける必要があるとした。EUのNIS 2指令では重要インフラに情報共有義務がある一方、米国の重要インフラ向けサイバーインシデント報告法（CIRCIA）は完全発効に至っていないとし、「アクセス・無力化の枠組みでは日本が米国をリードし、米国が学ぶ立場にもなりうる」と述べた。

　ディフェンシブ・クロックの核心は、「ある侵入のエビデンスが、時間内に他組織を守れたか」にある、とレスリー氏は締めくくった。ピア組織（同じ脅威にさらされうる他の企業・組織）へ届くまでの時間と、そこで実行された検証済みの防御を測ることで、法定報告と官民連携が形骸化せず成果を出せているかを評価する枠組みだと位置付けている。