AIを巡る高度な脅威と企業の現実的な選択肢

まずは先月号に続いて、AIとセキュリティ関連について取り上げます。常に変化し続けるAIを巡るサイバーセキュリティ課題の最新動向を見ていきましょう。

革新的な反監視ウェア（anti-surveillance clothing）

幾何学的で高周波のパターンを用いた、公共空間におけるAIの人体・顔認識を混乱させる技術「反監視ウェア（anti-surveillance clothing）」が再び注目されている。世界中のインフラや地域社会に溶け込んでいるAI顔認証の対抗技術の広がりは、プライバシー懸念・AIガバナンスの観点で大きな議論を呼んでいる。

AI生成トラフィックに対するSASEの盲点

AIエージェントの普及によって、従来のSASE設計思想だけでは可視化・統制が難しいケースが議論されている。攻撃者はAIエージェントを悪用し、従来のSASEでは十分な可視化・統制が難しい通信で制御機能をすり抜ける。TLSインスペクションやURLフィルタリング、アプリ識別をすり抜け、機密データがAIツール上に送信・漏えいするリスクがある。

AI時代に多層防御を実現する方法

上記2例を踏まえると、顔認証システムやSASEといった防御システムのみではセキュリティが万全とは言えなくなっています。防御だけでなく、その後のアクセスや権限を適切に管理・統制することも重要です。

例えば、PAMなどは「誰が、どのシステムに、どの権限でアクセスし、どのような操作を行うのか」といった領域を管理・制御するツールです。通信経路のセキュア化・認証強化に加えて、権限管理・制御を組み合わせることで多層的なセキュリティを実現できます。

下記コンテンツでは防御システムとともに考えておきたい「アクセス管理」について解説しています。社内外のアクセス管理について理解を深めたい担当者の方はご一読ください。

教育業界・医療業界を襲うサプライチェーン攻撃

以前から特定業界を狙ったサイバー攻撃は繰り返されてきましたが、教育・医療分野では以下のような変化が起きています。

教育業界におけるサプライチェーン攻撃

教育業界は多数の個人情報や研究データを抱え、脆弱なセキュリティ・レガシーシステム・IT人材の不足といった課題もあり、依然として攻撃者の標的となっています。「Instructure（教育系SaaS基盤・Canvas運営企業）への攻撃」をはじめ、特にEdtechソフトウェアのサプライヤーを経由し、一度の侵害で多数の教育機関へ影響が波及する場合も目立っている。

医療分野におけるサプライチェーン攻撃

医療業界では、病院だけでなく病院請求代行会社・医療テックベンダー・ITプロバイダーなど周辺企業を巻き込むサプライチェーン攻撃が増加中だ。2026年7月には医療向け収益管理ソフトの提供企業「Craneware」が侵害を受けたほか、UMMC・Unimed・TriZetto・QualDermなどでもインシデントが発生している。単一の上流ベンダーが侵害されると、そこに紐づく一般病院が提供する医療サービスや診療業務へ影響を及ぼす可能性がある。

攻撃者に狙われ続ける背景や具体的な対策案とは

教育・医療を狙ったサイバー攻撃事例は枚挙にいとまがありませんが、昨今ではその構造がやや変化しています。近年では大学や病院だけでなく、それらを支えるテック企業や委託先も主要な標的になっています。大規模なサプライチェーン攻撃に対しては、業界全体として対策を講じる必要があるでしょう。

そもそもなぜ、両業界が攻撃者に狙われやすいのかの構造的背景や、自組織が実施すべき施策などは、下記コンテンツにてそれぞれ解説しています。同業界でセキュリティ対策に苦慮している担当者の方は、そちらも併読いただきセキュリティ対策の実践にお役立てください。

中小企業（SMB）に求められる厳格なセキュリティ要求

昨今では様々な業界の中小企業に対して、大手企業の取引先として一定水準のセキュリティ対応が求められています。2026年7月、中小企業を取り巻くセキュリティ政策に新たな動きがありました。

オーストラリアにて中小企業向けサイバーセキュリティ調査

オーストラリアにおいて、中小企業に対するサイバーセキュリティの実態について連邦政府主導で初の調査が開始された。調査ではセキュリティの成熟度・ガイダンスの適正・サプライチェーンへの影響などが検討されるという。

ENISA（EUサイバーセキュリティ機関）によるサイバーレジリエンス成熟度評価モデル

EUでは中小企業向けサイバーセキュリティ戦略の一環として、サイバーレジリエンス成熟度評価モデルを策定・公開した。CRA（サイバーレジリエンス法）の要件を考慮しつつ、ガバナンス・脆弱性およびパッチ管理・製品ライフサイクル管理などの基準で成熟度を評価するというものだ。

国内外で動きを見せる中小企業へのセキュリティ戦略

上記の動きは国内でも起こっており、公官庁や業界が策定したガイドラインをはじめ、中小企業にも一定のセキュリティ対応が求められています。しかし、中小企業では慢性的なIT人材の不足も相まって「自組織のどのシステムに、どのようなリスクが潜んでいるのか」ということも把握できていないことも多いです。

ガイドラインなどを遵守し、上流企業のセキュリティ要求に応じるためには、まず第一歩として自組織のIT資産の棚卸しを実施するのが賢明です。例えば、棚卸しによってVPNの設定ミスやファイアウォールの未更新など具体的なリスクを発見することで、適切なセキュリティ対策を効率的に実施し、限られた人的リソースの中でもセキュリティ要件に対応できます。

下記コンテンツでは、自組織のIT資産・セキュリティ状況を調査・把握するためのいくつかの方法を整理しています。いくつかあるモデルの中で何を選べば効率的にセキュリティ対策を進められるか、そういった観点で参考にしてみてください。

まとめ

7月の動向を見る限り、サイバー脅威は常に攻撃手段が変化し続けていることがわかりました。しかし、どれだけ未知の脅威が現れても、自社の状況を把握し、適切なアクセス管理や資産管理を継続的に行うという防御側の基本的な考え方は変わりません。

本レポートではSASEと特権管理の組み合わせ、自社のIT資産の調査・評価などを紹介しましたが、どれもIT・セキュリティ業界では広く知られています。もし、自社のセキュリティ対策に不安がありながらも、まだ具体的な施策を実施していない場合は、本文中に掲載している関連コラムなどで概要を確認のうえ、必要な場合は具体的なサービス・ソリューションをご検討ください。

IIJでは国内外問わず様々なセキュリティサービスを展開しています。サービスに関する問い合わせフォームのほか、無料でダウンロードできる資料なども多数ご用意していますので、ご興味ある場合はぜひ専用フォームにアクセスください。

サービスの詳細やお見積りなど担当者よりご返事します

フォームでのお問い合わせ

1

ご相談やご質問をお知らせください

2

担当者よりメールまたはお電話でご連絡いたします

今すぐ相談する ホワイトペーパー無料ダウンロードはこちら