侵入の4分の1は「EDRが入っていない端末」から――国内405社調査が示す、守っているつもりの逆転構造

📝 Think IT編集部の見解 📝

数字の並びが示しているのは、投資の順序が現実と逆になっているという構図だ。

検知2.86、防御2.56に対して特定1.99。守るための道具は買ったが、何を守るのかを把握していない。順序として本来は逆であるはずだが、製品カタログに載っているのは検知と防御の側であり、資産管理は買って解決する類のものではない。予算がつきやすい方から先に埋まった結果と読める。

GSOCの実測データがこれを裏づけている。侵入の起点の25.0%が「EDRを導入済みでありながら一部のEDR未導入端末」だった。EDRを入れていない企業ではなく、入れている企業の中に残った穴から入られている。リリースが挙げる3つの背景——部署が独自に購入した端末や放置された野良サーバー、レガシーOSで動くため物理的に導入できない専門機器、委託先が持ち込む管理権限の及ばないPC——は、いずれもインフラ運用に携わる読者に心当たりのある話ではないだろうか。

最も示唆的なのは0.71ptのギャップだ。事業現場部門2.57に対して情報システム部門1.86。同じ会社の資産管理を評価しているのに、実態を知っている側ほど低く採点している。リリースはこれを「現場の対策が進んでいることを示すものではなく、両者の認識のずれ」と説明しており、事業部門の楽観が情シスの危機感を経営層から遮断していると指摘する。セキュリティ予算が通らない理由の一端が、この構造にある可能性は考えておいてよい。

一方で注意して読むべき点もある。この診断は担当者自身が設問に回答する自己評価方式であり、部門別スコアの差も自己認識の差である。情報システム部門が回答者の70.9%を占めている点も、全体スコアの水準に影響している可能性がある。またサイバーリーズンはMDRサービスの提供事業者であり、資産可視化の重要性を説くことは同社の事業と整合する。数字そのものは実測に基づくが、切り取り方には提供側の視点が入ることを踏まえて読みたい。

インシデントに遭った環境でWindows Server 2019が48.1%を占めるというデータも見逃せない。Windows Server 2016以降はサポート期間内だが、その上で動くソフトウェアやミドルウェアが先にサポート終了となればシステム全体の防御力は低下する。OSのEOLだけを管理していれば済む話ではないという指摘は、構成管理の実務そのものだ。

📰 リリースまとめ 📰

サイバーリーズン、国内405社の成熟度診断とGSOC観測データの分析結果を発表

AIを活用したサイバー攻撃対策プラットフォーム「Cybereason」を国内向けに提供するサイバーリーズン合同会社(本社：東京都中央区、代表執行役員社長：桜田仁隆)は2026年8月28日、企業のセキュリティ準備態勢における弱点と実際の被害現場における状況を明らかにするため、国内405社を対象とした「セキュリティ成熟度ベンチマーク診断」の結果を発表した。あわせて、同社グローバルSOC(GSOC)がMDRサービスを提供する国内顧客企業の環境で観測した2026年上半期のインシデント分析結果も発表している。

両調査に共通して浮かび上がったのは、日本企業がEDRなどの「検知」や「防御」を担うツールへの投資を進めている一方、自社の資産やアタックサーフェスを「特定」する力が著しく低いという構造だ。攻撃者は、この企業側が把握しきれていない領域、すなわち「侵入経路の死角」を正確に突いて侵入していることがわかった。同社は本調査結果を、日本企業のセキュリティ課題が「ツール導入の問題」から「組織とプロセスの問題」へ移行したことを示すものと位置づけている。

攻撃者のほうが企業より自社資産を把握している「非対称性」

セキュリティの成熟度診断は、米国国立標準技術研究所(NIST)の「サイバーセキュリティフレームワーク(CSF)2.0」を評価軸として、企業の担当者自身が設問に回答することで、「統治」「特定」「防御」「検知」「対応」「復旧」の6機能ごとの対策状況を5段階のレベルで数値化するものだ。本調査は2025年10月25日〜2026年8月6日に国内405社を対象として行われた。

調査の結果、異常の発生を特定するための適切な活動が行われているかを示す「検知」のスコアは平均2.86、情報を保護するための適切な防御策ができているかを示す「防御」は平均2.56となった。一方、自社の公開資産やアタックサーフェスを把握できているかを示す「特定」は平均1.99にとどまり、6機能のなかで最も低い水準だった。

ここから浮かび上がるのは「EDRや次世代アンチウイルスを入れて守っているつもり」でありながら、守るべき対象そのものを把握できていないという逆転構造だ。攻撃者にとっては、企業が認識していない資産こそが最も攻撃しやすい入口となる。

全体の半数超の企業の対策が属人的

インシデント発生時の対応態勢についても調査したところ、全体の半数を超える51.6%が、基本的な対策は実施しているものの、手動や属人的な運用にとどまる「レベル2(属人化)」に滞留している実態が明らかになった。検知されたインシデントに対してアクションを取る「対応」のスコアは平均2.04、その後回復力を維持して機能を修復する「復旧」は平均2.16と低い結果となっている。

実際のインシデント対応現場でも、ログや資産リスト・構成図がないために遮断すべき機器が判断できず全拠点停止を余儀なくされる、「業務を止める権利」を持つ責任者が不明確で判断が遅れる間に被害が全社へ拡大する、といった事象が確認されているという。

また「特定」スコアを回答者の所属部門別に見ると、事業現場部門は平均2.57、情報システム部門は平均1.86で、0.71ptの開きがあった。実態を把握している情報システム部門ほど自社を厳しく評価しており、この差は現場の対策が進んでいることを示すものではなく、両者の認識のずれを表しているとしている。

緊急インシデントの4分の1は「EDR未導入端末」が起点

GSOCが2026年1月から7月にかけて、MDRを提供する国内企業の環境で観測した、重大な被害に至る恐れのあった事案について根本原因を分析した結果は以下の通りだ。

GSOCが現場で見た「死角」の背景は、主に次の3つに整理される。

IT資産管理の把握漏れは、部署が独自に購入した端末、開発・テスト用に立ち上げられ放置された「野良サーバー」、M&A先や海外子会社の端末、退職者の放置端末など、管理者が存在自体を知らないケースだ。

技術的・契約上の制約は、工場(OT環境)の計測器、医療機器、POSレジなどで動くレガシーOS、サードパーティ製ソフトを入れるとベンダーサポート対象外になる専門機器など、リスクは把握していても物理的に導入できないケースを指す。

外部・委託先の持ち込み端末は、業務委託先や保守ベンダーが持ち込む作業用PCなど、社内ネットワークに接続されるが自社の管理権限が及ばないケースだ。

インシデント環境には旧世代OSが残存

国内のMDR顧客のWindows一般端末のバージョン分布を比較すると、日本拠点全体ではWindows 11が93.9%、Windows 10が5.8%であるのに対し、米国とEMEAも含めた全世界でインシデントに遭った環境ではWindows 10が28.0%、Windows 7も1.3%残存しており、旧世代OSの比率が顕著に高くなっていた。

サーバーについても、インシデントに遭った環境ではWindows Server 2019が48.1%、2016が16.9%を占めている。Windows Server 2016以降はMicrosoftのサポート期間内だが、その上で動くソフトウェアやミドルウェアが先にサポート終了となれば、システム全体としての防御力は低下する。

担当責任者のコメント

サイバーリーズン合同会社 執行役員 セールス・エンジニアリング統括本部の有賀正和氏は「守る道具は揃えたが、守るべき対象を把握できていないという非対称な状態にあります。さらに、半数を超える企業が有事の対応・回復を個人のスキルに依存する『レベル2の壁』に滞留し、事業現場と情報システム部門の間には0.71ptの認識ギャップが存在します。この分断がある限り、情報システム部門の危機感は経営層に届きません。次の一手は新しい製品の導入ではなく、資産の可視化と、有事に誰が何を判断するかを定めた組織的なプロセスの整備です」とコメントしている。

同社 グローバルSOC シニアマネージャーの渡邊弘実氏は「攻撃者は高度な手法を使うまでもなく、企業が存在を忘れた野良端末や、管理の及ばない持ち込みPCという『見えていない場所』から入ってきます。見えていないものは守れません」としたうえで、「フロンティアAIによって脆弱性の解析から攻撃コード作成までの時間が数分〜数時間まで短縮された今、パッチ公開から侵入試行までの猶予は事実上なくなりつつあります。資産の棚卸しと積極的なアップデート推進、および定期的なセキュリティ診断や侵入テストによる『死角の洗い出し』を、平時のうちに実施していただきたい」と述べている。

調査概要

セキュリティ成熟度ベンチマーク診断は、調査期間2025年10月25日〜2026年8月6日、有効回答数405社。回答者の所属内訳は情報システム部門70.9%、経営企画・DX推進部門7.7%、営業・事業・現場部門7.2%、セキュリティ専門部門5.9%、総務・人事・管理部門5.2%、経営層・役員3.2%。回答企業の業種内訳は製造27.2%、IT・情報サービス24.4%、流通・小売・飲食15.3%、金融・専門サービス13.8%、建設・インフラ・不動産8.4%、放送・メディア・出版6.2%、医療・教育・公共4.7%となっている。

GSOCインシデント観測データは、調査期間2026年1月〜2026年7月、日本を本拠点とするMDR顧客環境において、重大なセキュリティインシデントへ発展する恐れのあった事象を対象としている。

📎 一次情報・関連リンク　📎

• サイバーリーズン合同会社：https://www.cybereason.co.jp