開催報告 - 公開シンポジウム2025

CSIJ公開シンポジウム2025開催レポート

止まらないランサム被害にサイバーレジリエンスをどのように高めていくか？

　　　～セキュリティベンダー各社の経験からの示唆、CSIJからの提言～

　止まらないサイバー攻撃被害を背景に、「サイバーレジリエンス」が注目を集めています。
　2025年7月24日に開催されたCSIJ公開シンポジウムでは、サイバーレジリエンスをテーマに、LAC西本氏をはじめセキュリティベンダー各社の経験に基づいた手法をお伝えしながら、様々な視点で議論を展開していきました。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

開会挨拶
基調講演：「サイバーセキュリティの未来を考える

　　　　　　　　～本当に守らなければならないものは何か～」

講演：「サイバーレジリエンスと組織のあり方」
活動報告（CSIJ評価分科会）

　　　　　「調査データから見えてきたセキュリティ対策の実態（仮）」

活動報告（CSIJ人材分科会）

　　　　　「改めて訴える、セキュリティマネージャー人材の必要性」

パネルディスカッション：

　　　　　「インシデントレスポンスから見えてくる

　　　　　　　　　サイバーレジリエンスの実態と改善点」

閉会挨拶

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

【開会挨拶】

　サイバーセキュリティに関する国際的な視点と、日本国内の現状を洞察しながら、ランサムウェアの進化とAIの活用により攻撃手法が高度化しており、単なる技術的対策だけでは限界があるとした。

　このため、被害の共有と政府・民間の連携が急務であるとともに、レジリエンス強化には、専門人材の育成とその活動の評価が不可欠であること。さらにはアメリカなどの先進的な取り組みを参考にしつつ、日本独自の強みを活かす必要性があるとした。

　　　　　　　　　　　　　　　　　　　　　［中尾会長］

【基調講演】

●サイバーセキュリティの未来を考える

　　　　　～本当に守らなければならないものは何か～

　最初に基調講演として、株式会社ラックの技術顧問　西本逸郎様より、ご講演をいただいた。
　サイバーセキュリティと犯罪の変化について、犯罪被害額が急増しており、特にネット関連の被害が顕著であること。さらにフィッシングや遠隔操作による証券会社の被害など、手口も巧妙化しており、高齢者が標的になるケースも増加している。

　AIとテクノロジーの進化により、インターネットの普及からAIの民主化の時代となってきており2025年は「AIカンブリア爆発」の年と位置づけられる。今後のAIの進化が制度面や人間の弱さを補完する可能性が出てきた。

　組織とリーダーシップの面でみると、セキュリティ対策にはリーダーシップとフォロワーシップの両立が必要であり、組織のパーパス（存在意義）を明確にし、信頼を築くことが重要。アンストラクチャー（構造化されていない）な脅威への対応力が求められる。

　このようなことから、経営者がAI防御システムを理解し、推進する必要性があり、対話的なセキュリティの定着が、組織の持続可能性に直結するだろう。

［株式会社ラック　西本様］

【講演】

●サイバーレジリエンスと組織のあり方

　登壇した、NRIセキュアテクノロジーズ株式会社の青田久人様は、サイバー空間の脅威が拡大しており、企業の事業継続性に深刻な影響を与える可能性があるとした。

　テレワークやクラウド利用の増加により、従来の境界型セキュリティモデルが限界に達している状況である。また、攻撃者の目的は金銭的利益であり、ランサムウェアなどの脅威が増加している。
　サイバーセキュリティは、火災対応に例えられ、予防（防火）、対応（消火）、復旧（再建）の3段階であるが、さらにサイバーレジリエンスは「予測力」「対応力」「回復力」「適応力」の4つの柱で構成される。
　攻撃を完全に防ぐことは不可能であるため、被害を最小限に抑え、事業継続を確保することが重要だ。
　そのためには人材と組織体制の強化が必要であり、専門人材の育成と役割分担が不可欠となる。OJTや外部支援を活用しながら、段階的に人材のスキルを向上させることが重要であり、そのためには組織横断的な連携とコミュニケーションが鍵となる。
　人材育成には対面・リモート両方での訓練が必要で、実際の攻撃シナリオを想定した演習により、対応力を高めることと、経営層の判断力も訓練対象とするべきだ。
　企業としては継続的な改善と体制の見直しに取り組む必要があり、サイバーセキュリティは企業価値向上のための戦略的投資ととらえて、外部ベンダーとの連携や、法的対応も含めた包括的な対策が必要となる。

［NRIセキュアテクノロジーズ株式会社　青田様］

【活動報告（CSIJ評価分科会）】

●調査データから見えてきたセキュリティ対策の実態（仮）

　評価分科会では、共通評価フレームワークを開発し、各企業の皆様に無償で利用いただいている。

　さらには、日本国内の組織がどのような状況なのかを調査しており、クラウド版と体制版の2つの調査報告を予定しており、調査結果について速報版をリリースしたほか、相関分析等を行った正式版のリリースに向けて準備中である。

　これらの調査結果を基にして、会員企業を通じて日本国内企業のセキュリティ体制の整備を進めるとともに、評価基準の明確化を進めている。

　調査の結果から見えてきた日本企業の状況については、インシデント発生時の対応体制や、内部的な記録の整備が課題であり、CSIJ会員企業を通じた提案や検証を通じて、商業的見地や合理性を踏まえた判断を踏まえながらリスクに対する対応力向上を目指している。

　今回の講演タイトルにもあえて（仮）を付けたのは、調査報告書についてはリスク評価も行いながら正式版のリリースに向けて準備中であるためである。公開時にはぜひ参考にしていただきたい。

［株式会社ラック　岡本氏］

【活動報告（CSIJ人材分科会）】

●改めて訴える、セキュリティマネージャー人材の必要性

　サイバーセキュリティにおいては、市場や組織の動きが限定的な中で、どのように意思決定や展開を進めるかという課題意識がある。
　一般的に、成功している企業は意思決定が早く物事が素早く進むが、逆にうまくいかない企業は対策が遅れ、パフォーマンスが低いのではないか。そこには経営層と現場の橋渡し役となるマネージャーの役割があるのではないか。
　現場に近い立場でありながら、経営の意図を理解し、実行に移す存在であり、「万能型人材」としての期待が高いが、多くの組織で育成や支援が追いついていないのが実情である。
　サイバーセキュリティの場面でも、橋渡し役となるセキュリティ統括の必要性があり、経営層のサポート機能としてのセキュリティマネージャーの存在が求められる。
　ただし、セキュリティマネージャーが「何でも屋」になってしまわないように、組織としての役割分担や支援体制の再構築が必要だ。

［エムオーテックス株式会社　小関氏］

【パネルディスカッション】

●インシデントレスポンスから見えてくる
　　　　　　　　　　サイバーレジリエンスの実態と改善点

　セキュリティインシデント対応している会員企業からパネリストが参加し、実際の現場で起こっていることについてのディスカッションを行った。

　まずインシデントの増加と質の変化について、2016年頃は年間数件の対応件数だったのが、今では数百件規模になっている。攻撃の手口が多様化・高度化しており、個人から企業まで広範囲に影響が出ている他、未成年者による攻撃など、攻撃者の裾野が広がっている。

　VPNや古いアカウントの放置など、インフラの管理不足が原因となるケースが多いが、「止めるタイミングがない」「チェックができない」といった現場の声がある。サポート詐欺など、電話やリモート環境を使った巧妙な手口も増加してきており、被害の広がりと対応の難しさがパネリストからも上がった。

　また、リソース不足で対応しきれないケースも出てきている。一方で「なんでもできます」という業者もいることから、信頼できるパートナーの重要性など、業界全体での連携の必要性が出てきている。信頼できる事業者選定など、中小企業や個人事業主への啓蒙活動の必要性もあるかもしれない。

［　左より、

グローバルセキュリティエキスパート株式会社　武藤氏

株式会社ラック　遠藤氏

NECセキュリティ株式会社　岡田氏

株式会社ブロードバンドセキュリティ　板垣氏

グローバルセキュリティエキスパート株式会社　鈴木氏　］

　セキュリティインシデント対応における主要課題と提言として、まず初めに「わかっているけどできていない」構造的課題を理解する必要があるとし、守るべき対象が不明確であったり、設定はあるが実態が伴っておらず運用が追いついていない。さらにはリソース不足で優先順位がつけられず、対応が後回しになっているという課題があるとした。
　次にインシデント対応の限界と誤解があるという。顧客には「インシデント対応すれば何でも解決できる」という誤解があるが、実際には事前準備（棚卸し・ログ管理・権限管理）が不可欠で、ログがなければ原因追跡もできず、法的対応も困難であるとした。
　さらに３点目として攻撃の高度化と裾野の拡大である。未成年者による攻撃、サポート詐欺、海外からの国家的関与などがあり、多要素認証すら突破されるケースも増加している。「技術的に守る」だけでは限界で、運用・教育・連携が必要である。
　４点目は、企業側の意識と対応のギャップである。「やっているつもり」でも実態が伴っていないケースが多く、法令遵守のためのデータ保持要件なども理解が浅い状況で、被害が出てから初めて「本気になる」構造が変わっていない。

　最後にお客様へ伝えたいこととして、セキュリティ対応のステップを確認した。
　まずは、何を持っているか、どこにあるか、誰が使っているかを明確化による資産の棚卸しが必要である。そこでは「死んでも守るべき」データと「止まってもいい」業務の切り分けといった重要度の分類が重要である。
　次に、ログの整備として保持期間・容量・取得範囲の見直し（特に認証ログ）が必要だ。
　運用面でも、設定と実態のギャップを定期的にチェックし、常に運用の見える化をおこなっておくことだ。
　対応は、IT部門だけでなく、事業部門も巻き込む必要があることから、意識改革のための社内連携と教育を定期的に行う必要がある。
　すべてが社内で対応できるわけではないため、アウトソースを見据えた態勢をとる必要があるが、業者選定では「なんでもできます」ではなく、役割分担と責任の明確化で、信頼できるベンダーとの連携が重要となって来る。

【閉会挨拶】

　最後に、CSIJ運営委員を務める佐藤　健氏が、閉会の挨拶に立った。

［佐藤 CSIJ運営委員］

　本シンポジウムでは、サイバー攻撃やデジタル空間の課題、レジリエンス強化、企業の教訓など多角的なテーマを取り上げ、情報共有を行った。

　今後は、CSIJとしてセキュリティ人材育成や業界連携を推進し、企業の防御力向上を支援してまいりたい。

　また、メタバース関連の情報共有や分科会活動も進行中であり、業界内の連携強化を図っているので、今後もCSIの活動にぜひご注目いただきたい。とし、CSIJへの参画を呼び掛けて締めくくった。