サイバーセキュリティ対策も新たなステージに

高まるサイバーリスク

2026年4月、最新AIモデル「Claude Mythos」が米国のAI企業Anthropic社から公表されました。「Claude Mythos」は、LinuxやFirefoxなどの主要なシステムにおける深刻な脆弱性をわずか1か月で10,000件以上洗い出すだけではなく、オープンソースである「OpenBSD」で27年間、「FreeBSD」で17年間も放置されていた深刻なバグを自律的に発見するなど、人間が気付くことができなかった未知の脆弱性を発見する卓越したサイバーセキュリティ・ハッキング能力を有します。進化が早いAI領域において、今後短期間で「Claude Mythos」並みのAIモデルが開発、悪用される可能性が高まっています。

このような中、2026年4月、脆弱性情報を公表する米国国立標準技術研究（NISTは、急増する脆弱性報告に対応するため情報の取り扱い方針を変更し、脆弱性のうち緊急性が高い情報に公表を限定する運用に変更しました。NISTが公表する脆弱性情報には深刻度スコアや影響を受ける製品などの詳細情報が付与されており、セキュリティ担当者は対応優先度を判断し脆弱性の対応をしてきましたが、その運用にも影響を与えます。

公表される脆弱性の件数も年々増加する中（上記の図参照）、今まで顕在化していなかった潜在的な脆弱性が高度なAIモデルによって顕在化すること、脆弱性への対応にも限界が生じることから、サイバーリスクが高まっています。

サイバーリスクの顕在化と事業への影響

サイバーリスクによる1次被害としてランサムウェアなどによる事業停止リスクがあり、被害企業では被害を止めるための調査対応費用や事業停止による売上減少など幅広い財務負担が発生する可能性があります。

また、2次被害として情報漏洩が発生すると、
①個人情報の場合は個人情報保護委員会への報告や本人への通知、②委託先の情報の場合は取引先に対する損害賠償の支払や取引停止、③自社の機密情報の場合は事業に影響を与える可能性があり、④取引先情報が漏洩した場合、取引先企業が踏み台攻撃を受け、サプライチェーン全体の停止につながる可能性があります。特に、上場企業の場合、1次被害と2次被害の結果、業績の悪化、決算の遅延、株価の下落など影響は広範に及ぶ可能性があります。

サイバー攻撃手法の変化

このような中、データを暗号化せずにデータを盗み出し「公開されたくければ身代金を払え」と脅迫する攻撃手法（ノーウェアランサム）が増加しています。従来型の「暗号化による身代金要求」は大量のデータを暗号化する手間と時間が発生するため、情報窃取と漏えい脅迫を中心とした「データ恐喝型」へ急速に移行しており、暗号化を伴わない攻撃がスタンダードな攻撃手法になっています。

従来型のサイバーセキュリティ対策の限界とパラダイムシフトの必要性

AIの進展により高まるサイバーリスクとそれが顕在化することによる広範な影響を踏まえると、それを低減するサイバーセキュリティ対策が重要となります。このような中、「技術的セキュリティ」（脆弱性管理・アクセス制御・Firewall・WAF・EDR・多要素認証・SOCによる監視など）や、「人的セキュリティ」（メール訓練・セキュリティ教育・ガイドラインの策定など）が強化されています。

しかし、高度化するサイバーリスクと脆弱性対応の課題からサイバー攻撃は100％防止できません。この点、従来型の「侵入防止」を前提とする従来型の管理型セキュリティ対策では、新たな対策が要求され続ける攻撃と対策のイタチごっごとなり、絶え間ないセキュリティ投資と対策・対応を行う人材の負担・疲弊が発生します。

このように、従来型の「侵入防止」を前提とする管理型のセキュリティ対策は、AIの進化と攻撃手法の多様化、セキュリティ製品の脆弱性の存在、及び、人による対応の課題（人はミスをする）から限界があります。また、攻撃と対策のイタチごっこで投資や人的負荷の増加を招くことから、サイバー攻撃は100％防止できないことを前提とした新たな価値判断に基づくセキュリティ対策が必要となります。

新たなサイバーセキュリティ対策の必要性と秘密分散技術

その1つに、サイバー攻撃による侵入を前提に、万が一情報漏洩が起きてもデータが無意味化され実害が発生しないという「秘密分散技術」があります。
これは、火災リスクに対する予防対策（火事が起きないように火災探知機、監視カメラ、見回り等の対策）から、不燃化建築による対策（火事が起きることを前提に火災の実害が発生することを防止）と似た考えになります。
サイバーリスクは重要な経営リスクであり、その発生可能性と影響は高まっています。特に、企業経営を行う取締役は会社法上、善管注意義務を負うことから、サイバーリスクへの対策の限界を理解し、「秘密分散技術」など新しい価値判断に基づくセキュリティ対策を検討することが重要になります。