サイバーリーヅンは2026年8月28日、国内405社を対象にした「セキュリティ成熟度ベンチマーク診断」の結果と、同社のセキュリティ監視組織であるグローバルSOC（GSOC）が2026年上半期に監視したインシデントの分析結果を発表した。同社は両調査の結果を、日本企業のセキュリティ課題が「ツール導入の問題」から「組織とプロセスの問題」へ移行したことを示すものと位置付けている。
検知ツールは一定の水準に到達も、資産把握が最大の弱点に
成熟度診断は、米国国立標準技術研究所（NIST）の「サイバーセキュリティフレームワーク（CSF）2.0」を評価軸に、「統治」「特定」「防御」「検知」「対応」「復旧」の6機能ごとの対策状況を5段階で数値化するものだ。調査の結果、端末上の不審な挙動を検知して対処するEDR（Endpoint Detection and Response）などのツールが担う「検知」のスコアは平均2.86、「防御」は平均2.56と、対策製品の導入は一定の水準に達していた。
それでも攻撃者は、対策製品を導入した企業への侵入に成功している。両調査が共通して示した根本原因は何か。
「特定」の低さが生む非対称性
両調査が共通して示した根本原因は、自社の資産やアタックサーフェス（攻撃対象領域）を把握する「特定」の弱さだ。成熟度診断では「特定」のスコアが平均1.99と、6機能の中で最も低かった。
EDRや次世代アンチウイルスを導入して「守っているつもり」でも、守るべき対象そのものを把握できていない。サイバーリーヅンはこの状態を、攻撃者の方が企業より資産を把握している「非対称性」と表現する。攻撃者にとっては、企業が認識していない資産こそが攻撃しやすい入り口になる。
GSOCが2026年1月から7月に、EDRなどのログを常時監視して対応を支援するMDR（Managed Detection and Response）サービスの国内導入環境で監視した、重大な被害に及ぶ恐れのあった事案の根本原因は次の通りだ。
- EDRを導入済みでありながら、一部のEDR未導入端末が攻撃された：25.0%
- 外部公開サーバーの脆弱（ぜいじゃく）性を突かれた：25.0%
- ネットワーク機器経由（VPNなど）：16.7%
- リモート管理ツール：16.7%
- フィッシング：8.3%
- その他：8.3%
脆弱性を突かれた事例では、国内の情報通信業の企業で、外部公開していたMicrosoftのコラボレーションソフト「SharePoint Server」の脆弱性が悪用された。脆弱性の公開報告から数日後の侵入だった。このサーバはファイアウォールやWAFなど多層のネットワーク防御で保護されたDMZ（DeMilitarized Zone）で稼働していたが、サーバ自体のパッチは未適用だった。
未管理端末の事例では、国内の製造業で、セキュリティ対策ソフトが入っていない「野良端末」を足掛かりに、攻撃者がRDP接続で社内の他の端末へ侵入を広げた。脆弱性を持つ正規のドライバを持ち込んで特権の奪取を試みる「BYOVD（Bring Your Own Vulnerable Driver）攻撃」も確認された。正規のドライバを悪用するため、一般的なセキュリティ製品では検知しにくい手口だ。
「見えない分断」と「レベル2の壁」
GSOCが現場で見た「死角」の背景は、主に次の3つに整理される。
- IT資産管理の把握漏れ：部門が独自に購入した端末、開発やテスト用に立ち上げられ放置された「野良サーバ」、M&A先や海外子会社の端末など、管理者が存在自体を知らないケース
- 技術面や契約面の制約：計測器や医療機器、POSレジなどで動くレガシーOSや、サードパーティ製ソフトを入れるとベンダーサポート対象外になる専用機器など、リスクを把握していても対策を導入できないケース
- 外部や委託先の持ち込み端末：業務委託先や保守ベンダーが持ち込む作業用PCなど、社内ネットワークに接続されるが自社の管理範囲の外にあるケース
脆弱性を放置できる猶予も消滅しつつある。同社の執行役員（グローバルSOC シニアマネージャー）は、最先端のAIモデル（フロンティアAI）が脆弱性の発見と悪用の速度を変えたと指摘する。公開されたパッチの差分をAIで解析することで、高度な技術を持たない攻撃者でも侵入手順を数時間で再現できるようになったという。
「フロンティアAIによって脆弱性の解析から攻撃コード作成までの時間が数分～数時間まで短縮された今、パッチ公開から侵入試行までの猶予は事実上なくなりつつある。資産の棚卸しと積極的なアップデート推進、および定期的なセキュリティ診断や侵入テストによる『死角の洗い出し』を、普段のうちに実施してもらいたい」（執行役員）
組織内にも残る課題
組織の内側にも課題が残る。「特定」のスコアを回答者の所属部署別に見ると、事業現場部署は平均2.57、情報システム部署は平均1.86で、0.71ポイントの開きがあった。実態を把握する情報システム部署ほど自社を厳しく評価しており、同社はこの差を、現場の対策の進捗ではなく両部署の認識のずれと分析する。事業現場部署の楽観視によって、情報システム部署が抱くリスクが経営層に正しく認識されない「見えない分断」が生じているという。
インシデント対応の体制では、全体の51.6%が「レベル2（属人化）」に該当していた。基本的な対策は実施しているが、運用が手動で担当者個人に依存する段階だ。「対応」のスコアは平均2.04、「復旧」は平均2.16と低く、検知後の踏み込みや復旧の手順が個人のスキルに委ねられている。
同社の有沢正和氏（執行役員 セールス・エンジニアリング統括本部）は、調査結果を次のように総括した。
「守る道具はそろえたが、守るべき対象を把握できていないという非対称な状況にある。この分断がある限り、情報システム部署の危機感は経営層に届かない。次の一手は新しい製品の導入ではなく、資産の可視化と、有識者に誰が何を判断するかを定めた組織的なプロセスの整備だ」（有沢氏）
