の回答・AIによるまとめ
攻撃側は生成AIなどを用いて、脆弱性探索やフィッシング作成を自動化している。企業側では防御対象が拡大する一方、運用が追いついていないと回答者は見ている。
「攻撃は速くなったのに、守る側の運用は昔のまま」
直近の企業対策として、外部公開されたVPNやルーターを含むIT資産を把握し、更新漏れを解消することを挙げた。多要素認証と、取引先・委託先を含む権限の見直しも対象にしている。
「自社のIT資産（特にインターネットに面したVPN・ルーター等）の棚卸しとパッチ適用、多要素認証の徹底」
中長期では、境界で防ぐ仕組みだけに依存せず、侵入後を想定した監視と初動対応を運用に組み込むべきとしている。単発導入ではなく、継続的な予算を確保する経営判断にも言及した。
「セキュリティを『一度導入して終わり』ではなく継続的な運用予算として確保する経営判断」
中小企業は必要性を理解していても、予算と人材の制約で対策を後回しにしやすいという。政府には最低限の基準と補助に加え、着手順の支援や被害情報を共有しやすい仕組みを求めている。
「ガイドラインはあっても『どこから手をつければいいか』まで落とし込んだ支援や、被害情報を共有しやすくする仕組みが不足している」
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
ご専門や現在のお立場に最も近いものを教えてください。
IT企業で、法人顧客向けにネットワーク・セキュリティの提案を担当しています（事業者側・SIer/ベンダー寄り）。
最近の大規模な情報流出が相次ぐ背景で、いちばん大きく変わったと思うことは何ですか。
攻撃側の効率が大きく上がったことです。生成AIなどで脆弱性探索やフィッシング文面の作成が自動化され、少人数でも大量・高速に攻撃できるようになりました。一方で企業側はクラウド・SaaS・リモートワークで守る範囲が広がり、VPN機器など境界部分の古い機器やパッチ未適用の機器が狙われやすくなっています。「攻撃は速くなったのに、守る側の運用は昔のまま」というギャップが一番大きいと感じます。
企業・国・個人のうち、現時点でいちばん手を打つべき主体はどこだと思いますか。
企業
企業が、半年程度までに最優先で着手すべきことは何ですか。
自社のIT資産（特にインターネットに面したVPN・ルーター等）の棚卸しとパッチ適用、多要素認証の徹底、取引先・委託先を含めた権限の見直しです。
1〜3年で企業が取り組むべきことは何ですか。
境界防御だけに頼らないゼロトラスト型への移行、ログ監視と侵入を前提にした初動対応の訓練、そしてセキュリティを「一度導入して終わり」ではなく継続的な運用予算として確保する経営判断です。
国と個人についても、いちばん大事な対策をそれぞれ一言で伺えますか。答えやすい方だけでも構いません。
国：中小企業でも実行できる最低限の基準づくりと、その導入を後押しする補助。個人：パスワードの使い回しをやめ、多要素認証を有効にすること。
国、特に政府の対策で、現状いちばん足りていないと感じることは何ですか。
中小企業への支援です。提案の現場では、必要性は分かっていても予算と人材がなく対策が後回しになるケースが多く、そこがサプライチェーン攻撃の入口になります。ガイドラインはあっても「どこから手をつければいいか」まで落とし込んだ支援や、被害情報を共有しやすくする仕組みが不足していると感じます。
現場の知見を政策に活かすため、今後チームみらいから追加のインタビューをお願いする場合があります。その場合、ご連絡を差し上げてもよろしいでしょうか？
もちろん、お断りいただいてもまったく問題ございません。今回いただいたご回答は、大変貴重なものとして参考にさせていただきます。
はい、ご連絡いただいて構いません。
ありがとうございます。お手数ですが、こちらのフォームから連絡先をご登録ください：https://forms.gle/9DPkbpoS2EkiWmF3A
※お名前や連絡先は、このチャットには書き込まないでください。登録情報は公開されません。