日本のサイバーセキュリティ意識 — デジタル時代の重大な課題

東京でペネトレーションテストの仕事をしていて、繰り返し感じることがあります。 日本企業のデジタル化は確実に進んでいる。しかし、その速度にセキュリティが追いついていない。

コロナ禍以降、多くの企業がDXに取り組みました。システムは新しくなり、業務はオンラインに移りました。 ところが、その資産をどう守るかという部分だけが、しばしば議論から抜け落ちています。

なぜ知識の差が生まれたのか

理由のひとつは、言語だと考えています。

サイバーセキュリティの一次情報 — 脆弱性レポート、攻撃手法の解説、実務的なトレーニング教材 — の多くは英語で書かれています。日本語に翻訳されるものは一部で、しかも時間差があります。 その結果、「攻撃を受けたあとに何が起きるのか」という具体的な理解が、 現場に届きにくい構造ができてしまっています。

「平和だった過去」は終わっている

日本は歴史的にサイバー犯罪の発生率が低い国でした。 その経験が、「うちは狙われない」という前提を残してしまった側面があります。

しかしデジタル化が進めば、地理的な距離は意味を持ちません。 攻撃者にとって、東京のサーバーもロンドンのサーバーも等距離です。 実際、国内での被害は増え続けています。

とりわけ目立つのが、ペネトレーションテストの不足です。 新しいアプリケーションや公共性の高いWebサイトを公開する前に、 攻撃者の視点で検証する。多くの国では標準的な工程ですが、 日本ではこの用語自体が共有されていない現場が少なくありません。

整理しておきたい用語

ここは実際によく混同されるところなので、分けて説明します。

攻撃者の立場による分類（ハットの色）

• ホワイトハット — 許可を得て、防御側のために脆弱性を見つける人
• ブラックハット — 許可なく、悪意を持ってシステムを攻撃する人

これはその人の立場と動機の話です。

テストの進め方による分類（情報の与え方）

• ホワイトボックステスト — 内部構造やソースコードへの完全なアクセス権を持って行う検証。いわば「設計図を見ながら」調べる方法
• ブラックボックステスト — 事前情報なしで、外部の攻撃者と同じ条件から行う検証

これは手法の話であり、ホワイトハットがブラックボックステストを行うことは普通にあります。 この2つは別の軸です。

内部チームと外部チーム

• 内部セキュリティチーム — 日常の運用と監視を担います。自社システムへの理解が深く、継続的に見られるのが強みです
• 外部セキュリティチーム — 第三者の視点が入ります。内部では前提になってしまっている構造的な問題を見つけられるのが強みです

どちらかではなく、役割が違います。

レッドチーム — 実際の攻撃を再現する

さらに進んだ取り組みとして、レッドチーム演習があります。 個別の脆弱性を探すのではなく、実際の攻撃者と同じようにゴールを設定し、 組織全体の防御力と検知能力を試します。

「脆弱性があるか」ではなく「侵入されたとき気づけるか」を測る工程だと考えてください。

土台としてのCIAトライアド

あらゆる対策の基礎になる考え方です。

• 機密性（Confidentiality） — 権限のある人だけが情報にアクセスできる状態
• 完全性（Integrity） — データが不正に改ざんされない状態
• 可用性（Availability） — 必要なときにシステムとデータが使える状態

新しい施策を検討するとき、「これはCIAのどれを守るのか」と問うと、 優先順位の判断がしやすくなります。

まとめ

デジタル化は日本企業に大きな機会をもたらしました。同じだけのリスクも一緒に来ています。

必要なのは、特別なことではありません。 ペネトレーションテストの基本を理解し、検証を工程に組み込み、 内部と外部の体制を整えていくこと。

まずは「自社のシステムが、攻撃者の視点でどう見えるか」を一度確かめるところからです。