こんにちは。ネクストモード株式会社のたなすけです。
先日、IPA（情報処理推進機構）から今年の『情報セキュリティ白書2026』が公開されました。これからのセキュリティ対策を考える上で非常に重要なデータが詰まった素晴らしい資料なのですが……いかんせんページが大量！
毎日忙しく働いている情シス部門の方や経営陣の皆様が、数百ページに及ぶ専門用語の羅列を端から端まで読み解くのは、正直かなりしんどいと思います。
そこで今回は、半分趣味（？）としてセキュリティの動向を追っている私が、忙しい皆様の代わりに白書を読み、「要するに現場のシステムやクラウド環境にどういう危機が迫っていて、何をすべきなのか？」というリアルなポイントだけを3分で読めるようにざっくりまとめました。
結論から言うと、これまで私たちが信じてきた「ファイアウォール」や「スマホへのMFA通知」といった防衛線は、今、根本から崩れ去ろうとしています。
攻撃者はもう「侵入」しない。正規ユーザーとして「ログイン」してくる
これまでのセキュリティ対策は「社内ネットワークという城壁（境界）をどう守るか」が主眼でした。しかし現代の攻撃者は、城壁をよじ登るような苦労はしません。奪った「合鍵」を使って、正面玄関から堂々とログインしてくるのです。
ここで多くのお客様からいただくのが、「ウチは多要素認証（MFA）を入れているから大丈夫なのでは？」という疑問です。しかし、従来の「スマホに承認通知が来る」「SMSでコードが届く」といったシンプルなMFAは、現在以下の手口で容易に突破されています。
- MFA Fatigue（MFA疲労攻撃）
深夜や業務のピーク時に、連続して大量のログイン承認通知を送りつける手口。「うるさいからとりあえず承認してしまおう」「システムのバグかな？」という人間の心理的な隙を突きます。 - AiTM（中間者攻撃によるセッションハイジャック）
本物そっくりの偽ログイン画面を用意し、ユーザーと本物のシステムの間に入り込む手口です。ユーザーがスマホでMFAを承認しても、最終的に発行される「ログイン成功の証明書（セッションクッキー）」を中継地点で攻撃者が横取りするため、MFAが全く意味をなさなくなってしまいます。
このように、「人間の判断」に依存する認証システムは、すでに限界を迎えています。
クラウド時代の新たな死角：「非人間ID（NHI）」の放置リスク
もう一つ、現代のクラウド環境で致命的な弱点となっているのが「非人間ID（Non-Human Identity: NHI）」です。
非人間IDとは、APIキー、SaaS同士を連携するOAuthトークン、開発ツール（CI/CD）の認証情報など、「システムやプログラムが自動で通信するために使うID」のことです。これらは人間と違い、以下のような厄介な特徴を持っています。
- 強力な権限（管理者権限など）を持っていることが多い
- 人間のパスワードのように定期的に変更（ローテーション）されない
- 退職者が作った連携設定などが、誰にも管理されず数年間放置されがち
現在のハッカーは、ガチガチに守られた人間用のアカウントを狙うより、ソースコードやチャットツール内にうっかり残された「非人間ID（APIキーなど）」を拾い上げ、そこから社内システムやクラウド環境を縦横無尽に食い荒らします。「見えない特権アカウントが放置されている状態」こそが、今のクラウド環境における最大の盲点なのです。
生成AI悪用で高速化するサイバー攻撃
さらに状況を難しくしているのが、攻撃スピードの劇的な加速です。
最新の脅威レポートによれば、攻撃者がAIを駆使することで、システムへの初期侵入から内部での横展開（ラテラルムーブメント）を開始するまでの時間は、2024年の48分から、2025年にはわずか「29分」にまで短縮されたと報告されています。
これはつまり、深夜に攻撃を受けた場合、情シス担当者が朝出社してアラートに気づいた頃には、すでに手遅れ（社内システムがランサムウェアで暗号化され、事業が停止している状態）になっていることを意味します。「人間がアラートを見てから対応する」という運用では、もはや太刀打ちできないスピードです。
事業を存続・成長させるための3つの具体策
こうした高度な脅威に対し、「侵入されること・IDが狙われること」を前提とした次世代の防衛策が必要です。今すぐ企業が取り組むべき3つのステップにまとめました。
① 人間を介さない強固な認証「パスキー（FIDO2）」への移行
「スマホに通知が来るだけのMFA」から脱却し、モダンなIdP（統合認証基盤）を用いて、フィッシング耐性のあるMFA（パスキーなど）へ移行しましょう。
これは、アクセスしているサイトのURLが本物かどうかを、人間ではなく「裏側の暗号技術（デバイスとサーバー）」が自動で検証してくれる仕組みです。これにより、AiTMなどの巧妙な偽サイト攻撃を物理的にシャットアウトできます。
② 「VPNの廃止」とゼロトラスト化による被害の局所化
パッチ適用が遅れがちなレガシーVPNは、攻撃者の格好の標的です。「社内ネットワークに入れば安全」という古い境界型防御を捨て、IDと端末の安全性をアクセスごとに毎回検証するZTNA（ゼロトラスト・ネットワーク・アクセス）へ速やかに移行することが、事業継続（BCP）の観点からも急務です。
③ クラウドの可視化と自動応答の仕組み（CNAPP/EDR）
マルチクラウド環境やSaaSに散らばる「非人間ID（APIキーなど）」の過剰な権限を洗い出し、整理・監視する仕組み（CNAPP等）を導入しましょう。また、29分という攻撃スピードに対抗するため、EDRを全台に導入し、異常を検知した瞬間に「自動で該当端末をネットワークから隔離する」仕組みを作ることが不可欠です。
おわりに：セキュリティはビジネスを加速させる高性能なブレーキ
よく「セキュリティ対策＝業務の手間が増える、コストがかかる」と考えられがちですが、FIDO2/パスキーのような最新の仕組みは、「パスワードを入力する手間すら省き、かつ圧倒的に安全になる」という、ユーザビリティとセキュリティの両立を実現しています。
適切なセキュリティは、車でいう高性能なブレーキと同じです。しっかり止まれる安心感があるからこそ、企業はクラウドやSaaSというアクセルを思い切り踏み込み、ビジネスを前進させることができます。
「ウチのSaaS連携の設定、誰も把握していないかも…」
「記事を読んで少し不安になったが、自社の環境で何から手をつけていいか分からない」
もしそんなお悩みがありましたら、ぜひお気軽にお声がけください。お客様のビジネスを止めないための現実的なアプローチを、一緒に考えさせていただければ嬉しいです。
