CTCサイバーセキュリティ・リサーチ・センターが目指すセキュアで快適な未来｜脅威の動向と対策のノウハウを社会の知見へ

伊藤忠テクノソリューションズ（CTC）
デジタルサービス事業グループ
サイバーセキュリティビジネス企画・推進本部
本部長
サイバーセキュリティ・リサーチ・センター長（当時）
吉井 稔勝

1. 企業システムの進化・発展が生むリスク

企業のシステムはいま、クラウドやAI利用の活発化に伴って大きな進化を遂げようとしています。

例えば、企業システムのクラウドシフトが進んだことで、インフラを調達・運用管理する工数は大幅に引き下げられ、かつ、ビジネス要求に応じて新たなシステムを立ち上げるスピードも向上しています。また、SaaS（Software as a Service）利用の活発化により、さまざまな業務領域で場所を選ばない働き方が可能になっています。

加えて近年では、ソフトウェア開発の現場でコンテナやコンテナオーケストレーションツール「Kubernetes(*1)」など、クラウドネイティブ技術の普及も進んでいます。これにより、開発の生産性は向上し、新機能のリリースや機能更新のスピードが向上しています。さらに今日では、生成AIやAIエージェントによって、ナレッジワークの在り方に革命的な変化が起ころうとしています。

このように、クラウドやAIの活用は、基本的に数々のメリットを企業・組織にもたらすものです。ただし一方で、サイバーリスクを膨らませてもいます。

── 吉井：クラウド利用やAI利用の活発化には、企業・組織のシステムを複雑化させ、守るべき仕組みと情報資産の範囲を広げ、分散化させてしまう側面があります。その中で、サイバー攻撃が年を追うごとに高度化・巧妙化し、多様化しています。結果として、企業・組織が重要なシステムや情報を守る難度は上がり、サイバーリスクは高まり続けています。

*1 Kubernetes：多数のコンテナ（コンテナ化されたアプリケーション）のデプロイ（配置）、スケーリング、管理を自動化するオープンソースソフトウェア

2. 企業・組織が直面している脅威とは

では具体的に、今日の企業・組織はどのような脅威、あるいはセキュリティ上の課題に直面しているのでしょうか。

独立行政法人 情報処理推進機構（IPA）の調査・分析を見ると、企業・組織が直面している深刻な脅威として「ランサム（ランサムウェア）攻撃による被害」「サプライチェーンや委託先を狙った攻撃」「AIの利用を巡るサイバーリスク」「システムの脆弱性を悪用した攻撃」「機密情報を狙った標的型攻撃」などが上位にランクされています（図1）。

図1：組織が直面している情報セキュリティの10大脅威
出典：独立行政法人 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（2026年3月12日発行）を基に作成

これらの脅威は（AIの利用を巡るサイバーリスクを除き）以前からあった問題です。それでも、深刻な脅威であり続けている、あるいは、その深刻度が増している要因はいくつかあります。以下、そのポイントを整理しておきます。

2-1. 誰でもサイバー攻撃が仕掛けられる時代に

旧来、サイバー攻撃は高度なITスキルを持った一部の犯罪者にしか行えないものでした。それが今日では、サイバー犯罪の組織化・分業化が進み、スキルのない犯罪者でも簡単に攻撃が仕掛けられるようになっています。

── 吉井：例えば、ランサムウェア攻撃であれば、攻撃に悪用できる脆弱性を見つけ出す人間と、攻撃用ツールを開発する人間、実際に攻撃を仕掛ける人間、さらには、データの身代金に関する交渉を担う人間が存在します。そして、闇市場にアクセスすれば、攻撃に必要なものがパッケージとしてすぐに入手できてしまいます。結果として、サイバー攻撃の難度が大きく下がり、無数の攻撃が絶えずランダムに実行されるようになっています。

2-2. AIの悪用による脆弱性探査・攻撃のスピードアップ

近年では、サイバー犯罪者による生成AIの悪用が一般化し、攻撃コードの作成や脆弱性の探索の自動化が進んでいます。これにより、新たな攻撃ツールの開発や脆弱性探索のスピードが飛躍的に向上しています。

── 吉井：以前はシステムへの侵入からデータの窃取までに1～2週間かかるのが一般的でした。いまでは1日か2日、場合によっては数時間でデータの窃取に成功してしまいます。加えていえば、企業のシステムに潜在する脆弱性を発見するスピードも、当該企業よりも犯罪者のほうが総じて早くなっています。

2-3. 技術トレンドの変化がもたらす新たな脅威

昨今では、コンテナやAPI連携、AIといった技術が、企業・組織の間で広く使われるようになっています。その潮流も新たなリスクを生んでいます。

例えば、コンテナに関していえば、コンテナイメージ（*2）内に脆弱性が潜在していることに開発者が気づかず、コンテナのデプロイ後に攻撃者に突かれるリスクがあります。生成AIやAIエージェントについては、アカウントの乗っ取りにより、さまざまなデータソースから機密情報が容易に抜き取られるリスクがあります。さらに、APIは認証・認可の不備やデータの過剰公開といった設定ミスによって脆弱性を生みやすく、それが攻撃の標的にされるという問題があります。

2-4. システムの複雑化とアタックサーフェスの拡大

先に触れたとおり、企業・組織へのクラウドの普及は、企業・組織が守るべきシステムと情報資産を広い範囲に分散化させています。加えて、上で触れたとおりコンテナやAPI、AIの普及によって新たなリスクも生まれています。それは、サイバー攻撃のアタックサーフェスが拡大していることを意味し、守りの難度を高めるものです。

この問題に関連した脅威として、吉井が特に注意を呼び掛けているのがサプライチェーンリスクです。

── 吉井：大手企業が万全のセキュリティ対策を講じていても、取引先や委託先の対策が十分でなく、システムの脆弱性を修正できずにいれば、そこがサイバー攻撃の突破口になります。しかも、攻撃者らはサプライチェーン上で最も脆弱なところを見つけ出し、本丸の大手企業のシステムに侵入する方法を熟知しています。そのため、子会社がサイバー攻撃の踏み台にされ、本社の工場が停止に追い込まれるようなインシデントがたびたび起きているのです。

*2 コンテナイメージ：アプリケーションの動作に必要なコード、ライブラリ、設定ファイル、ランタイム環境などを一つにまとめたテンプレートパッケージ

3. CSRCが目指すもの

以上のような脅威の深刻化を背景に、2025年11月にCTCが立ち上げたのがCSRCです。

──吉井：本センターを設立した狙いは、長年にわたるセキュリティ対策の実装・運用を通じてCTCが蓄えてきた豊富な知見と、脅威リサーチを組み合わせて『机上の理論』ではなく『現場にとって真に役立つ知見』を提供することです。

CSRCのミッションは大きく二つあります。一つは、国内外の脅威動向をいち早く調査・分析して発信することです。もう一つは、既存のソリューションでは対応し切れない新たな脅威を発見した際に、それを新たなセキュリティサービスの企画・開発へと速やかにつなげることです。

── 吉井：リサーチを単なる情報発信で終わらせるのではなく、セキュリティサービスの高度化につなげることが、企業・組織、そして社会のセキュリティレベルを高めるうえで、きわめて重要です。脅威動向のレポートは市場に多く存在し、セキュリティベンダーによるソリューション提案も相当数あります。ただ、脅威の調査・分析と、それに基づく具体的なソリューションの実装・運用を、その費用対効果まで踏まえて提案・提示できる企業はほとんどありません。CSRCの設立は、我々がその希有な存在となるためのものでもあります。

4. 調査・分析・発信──CSRC活動の実際

CSRCの中核となる活動は、日本の企業・組織への影響の大きな脅威の動向をピックアップし、いち早くその情報を発信することです。

そのための主な情報源は二つあり、一つはCTCのSOC （Security Operation Center）が日々監視している膨大なインシデントログです。もう一つは、脆弱性診断・脆弱性管理サービスを通じて得られる知見です。現在、SOCを情報源とした「CTC-SOC 攻撃観測レポート」と、脆弱性診断・脆弱性管理サービスを情報源とした「脅威・脆弱性情報レポート」を定期的に提供しています。

──吉井：我々が大切にしているのは、脅威の動向を伝えるだけではなく、レポートを読んだ方が『自分たちはどうすべきか』の判断材料を併せて提供することです。

また、各国の法規制への対応支援もCSRC活用の重要なテーマであり、CSRCでは「法規制・制度レポート」も提供しています。

──吉井：例えば、EU（欧州連合）のサイバーレジリエンス法（CRA *3）など、グローバルでセキュリティ規制が強化される方向にあります。そうした各国の動きを伝えるだけではなく、日本の企業・組織としてどう対応すべきかを示したレポートを発信しています。

*3 CRA：Cyber Resilience Actの略称。EU市場で販売される、インターネットに接続される機器（IoT機器やIoTソフトウェア、など）に対して、所定のサイバーセキュリティ対策を義務付ける法規制。2024年12月に発効され、2027年に完全適用される予定

5. サイバーリスクをDX推進の足かせにさせない取り組みを

CSRCによるリサーチ活動と、調査会社によるそれとの決定的な違いは、ゴール設定にあります。調査会社によるセキュリティ関連のリサーチは、トレンドを伝えて市場への注意を喚起することに目的があります。

それに対し、CSRCによるリサーチは、サイバー攻撃による実害を可能な限り減らすことを最終的なゴールとしています。「だからこそ、単に脅威情報を伝えるのではなく、当該の脅威にどう対抗すべきかの具体案を提示することにこだわっています」と吉井は語り、「そうした提案ができるのは、数多くのセキュリティ案件を手がけ、現場の実情を深く知るCTCならではの強みといえます」と続けます。

セキュリティ対策を積み上げてきた企業でも、特定の部分に抜け漏れがあったり、逆に過剰投資をしていたりすることが珍しくありません。ゆえに、セキュリティ強化の出発点として、自社の状況をセキュリティのプロによる客観的な視点で可視化することが重要となります。同様に、そうしたプロの視点から脅威の動向をとらえ、実効性の高い対応策を提示することも大切となります。

CSRCでは今後、サイバー攻撃による実害を減らすべく「AIのセキュリティ」「生産系のOT（Operational Technology）ネットワークのセキュリティ」「量子コンピュータがセキュリティに与えるインパクト」「セキュリティ運用の自動化」といったテーマの研究に力を注ぐとしています。

このうち、OTネットワークは、デジタルトランスフォーメーション（DX）の潮流の中で情報系のITネットワークやインターネットに接続されることが一般化し、サイバー攻撃の脅威にさらされています。

── 吉井：万が一、OTネットワークがサイバー攻撃による実害を被り、生産ラインが停止に追い込まれたときのダメージは大きく、企業の存亡にもかかわる問題になります。ゆえに、CSRCとしても、OTネットワークのセキュリティをどう強化すべきかの研究を重ねていきます。

一方、量子コンピュータに関しては、その社会実装が進むことで暗号化などの既存のセキュリティ技術が無力化されることが想定されています。「そんな近未来に対し、どう対処・対応すべきかの研究に注力していきます」と吉井は明かし、さらに、セキュリティ運用の自動化について次のような研究方針を示します。

── 吉井：サイバー攻撃者は、攻撃プロセスの自動化をすでに進めています。それに対抗するうえでは、守り手側もAIなどの技術を駆使しながら、脅威の検知・分析・対処・復旧のプロセスを可能な限り自動化しなければなりません。そのためのソリューション研究を深めていきます。

これらの計画を踏まえながら、吉井はCSRCの今後について次のようにまとめます。

── 吉井：量子コンピュータにせよ、クラウドやAIにせよ、すべてのテクノロジーは企業や組織、そして社会を利するものです。それらの技術を使ったDXの取り組みが、サイバーセキュリティの脅威によって阻害されるようなことは避けなければなりません。その観点から、お客様が脅威に過剰に萎縮することなく、必要な対策を無理なく適切に講じるための情報を発信していきたいと考えています。