ITインフラ事業者Kyndrylの日本法人であるキンドリルジャパンは2026年9月8日、「フロンティアAIが変えるサイバー攻撃と防御」をテーマにしたメディア向け勉強会を開催した。Kyndrylのクリス・ラブジョイ氏（ストラテジー グローバル責任者）と、キンドリルジャパンの北條成人氏（理事 CCSO チーフサイバーセキュリティオフィサー）が登壇した。
フロンティアAIがもたらす脅威の変化
フロンティアAIは、最先端で最も高性能なAIモデルの総称だ。攻撃手法そのものは従来と変わらない一方、脆弱性の発見からエクスプロイト（攻撃コード）の生成までがほぼリアルタイムで進むようになり、防御側の対応が追い付かない状況が生まれているという。
こうした脅威の変化を受けて、金融庁と日本銀行は2026年5月22日、金融機関などに9項目の短期対応を要求した。キンドリルジャパンにも、金融機関を中心に相談が相次いでいるという。
「1秒も止められない」を覆す1項目
9項目の多くは、パッチ適用の体制整備やベンダー契約の確認といった従来の対策の延長にある。しかし1項目だけは、「1秒も止めてはならない」という金融システム運用の信条を覆すものとして現場に衝撃を与えていると、北條氏は語る。
その1項目が、サイバー攻撃を受ける前に経営判断でシステムを止める備えを求める「優先サービス等の停止に備える」（要求項目8）だ。要求は「各種対策を講じてもサイバー攻撃を防御できない可能性を前提に」、優先的に対応すべきサービスやITシステムを「自動的に停止させざるを得ない場合についても経営トップはあらかじめ選択肢として検討しておくべきである」としている。
北條氏によると、この項目は金融機関に「コペルニクス的転換」として受け止められている。金融システムは社会基盤であり、可用性を最優先に運用されてきた。要求が求めるのは、攻撃の蓋然性が高まり防御やパッチ適用が間に合わないと判断した段階で、顧客資産の保護を優先して自らサービスを止める判断肢の準備だ。
実務上の課題とCyber FPCONの枠組み
実務の課題は「どうやって止めるのか」「誰が停止を意思決定するのか」「停止後にどう復旧させるのか」にある。インターネットバンキングやATMが前触れなく止まれば利用者は混乱し、顧客への説明や監督当局との連絡も必要になる。
そこでKyndrylは金融機関向けに、米国防総省や米軍が用いる防護態勢「FPCON」（Force Protection Condition）を応用した「Cyber FPCON」のフレームワーク例を作成した。脅威の高まりに応じて通常状態から警戒、緊急事態までの段階を定義し、段階ごとに発動条件と主要対応、解除条件、決定者を事前にルール化する。脅威レベルが上がるにつれて、決定者はSOC（セキュリティオペレーションセンター）責任者からCISO（最高情報セキュリティ責任者）、CIO（最高情報責任者）、CEO（最高経営責任者）へと引き上がる設計だ。
基準を事前に整備し、ガバナンス承認を得ておけば、実際に停止した際にも「社内のCyber FPCONが事前に決めたレベルに達したため、顧客資産保護を目的に予防的停止を適用した」という形で、顧客や金融庁に明確な説明責任を果たせると北條氏は述べた。
停止後の復旧と経営判断の重要性
停止の後に問われるのが、安全かつ迅速な復旧だ。北條氏が講演で示したデータでは、被害企業のうち取得済みのバックアップから復元できていない企業は8割以上に上る。復元できなかった要因は、バックアップ自体の陳腐化が62%、復旧手順の不備などの運用不備が22%だった。
北條氏は、バックアップを定期的に取得するだけでは不十分だと指摘する。バックアップデータが暗号化されていないかを振る検知などで早期に見極め、クリーンなデータを本番環境へ迅速に復元させるプロセス全体の整備が必要になる。ツールの導入だけでは成り立たず、組織とコミュニケーション、復旧方針と手順、ツールの3つの軸を統合し、経営層の意思決定プロセスやCIOとCISOの連動体制を設計した上で、定期的な訓練を重ねることが重要だと述べた。
復旧体制の整備は、パッチ適用の高速化とも関わる。検証期間を十分に取らずに緊急パッチを適用すれば、障害という二次リスクを抱える。すぐに切り戻せるリカバリーの仕組みがあるからこそ、一定のリスクを受け入れて高速なパッチ適用に踏み切れると北條氏は説明した。
最後に北條氏は、人、モノ、金が有限である日本企業にとって、守るべき最重要システムを見極めて優先度を決め、段階的に取り組むことが現実解だとまとめた。
