アサヒ・アスクル事案が示した現実： 日本企業の「侵入防御依存」ではランサムウェアは止められない
作成中です。ごめんなさい。他に保存の仕方がないので、過去ブログとして保存します。あしからず...
アサヒグループのランサムウェア被害に関する記者会見以降、どのようにすればランサムウェアから自社を守ることができるのか？という議論が様々なメディアで沸き起こっています。
私はこうした議論が起こることは良いことだと思っています。様々な方法論がある。特効薬のように見える方策もある...。
しかし、アメリカ政府のITシステムをスーパーバイズしている省庁が政府機関等に推奨している方策があるのならば、まず、
1. 「境界を守れば安全」という前提は、静かに崩壊している
日本企業の多くは、長年「侵入さえ防げば安全である」という前提の上に、情報システムを築いてきました。
ファイアウォール、アンチウイルス、VPN、IPS、メールゲートウェイ。
これらの積み上げが"安全な企業"をつくると信じられてきました。
しかし、アサヒグループホールディングスやアスクルの事案が示したのは、
「防御を講じていても、侵入は起きる。そして侵入後の横移動（ラテラルムーブメント）を止められなければ、被害は拡大する」
という、極めてシンプルで、しかし重い事実です。
両社が"無防備だった"わけではありません。
それでも被害は発生し、業務停止や顧客影響へとつながりました。
この現実を、私たちは冷静に見つめ直す必要があります。
2. 事案の本質は「侵入された」ことではない。問題は「侵入後に何を許してしまったか」である
多くの報道では「侵入」の事実が強調されます。
しかし、ランサムウェアの本質は 侵入そのものではありません。
攻撃者は次の順序で動きます。
-
侵入（多くの場合、フィッシング・脆弱性・不正ログイン）
-
認証情報の窃取（Mimikatz 等）
-
社内アカウントのなりすまし
-
Active Directory やファイルサーバへの横移動
-
暗号化・情報窃取の同時実行
つまり、本当の勝負は「侵入後」にあります。
アサヒ・アスクルの事案が象徴したのは、
"侵入後の活動を封じ込める仕組みが、日本企業にほとんど存在しない"
という現実です。
3. 経営者が誤解している３つのポイント
（1）「対策をしていれば侵入は防げる」
→ 防げません。
入口の脆弱性、漏洩パスワード、ゼロデイ、メール添付など、入口は無数にあります。
（2）「重要サーバは社内にあるから安全」
→ 内部ネットワークこそ攻撃者にとっての"理想の環境"です。
多くの企業では AD/ファイルサーバ／基幹系が同じ平面ネットワーク上に存在し、
一度内部に入られた瞬間、攻撃者は自由に動けてしまいます。
（3）「EDR を入れたから安心」
→ EDR は重要ですが、"横移動を防ぐ設計"がない限り決定打にはなりません。
攻撃者は EDR 未展開領域や特権アカウントを狙い、監視の空白を突きます。
4. なぜアサヒ・アスクル級の企業でも止められなかったのか。日本企業全体が抱える「構造的弱点」
大企業だから対策が万全だった、というわけではありません。
むしろ 日本企業に共通する弱点が、そのまま突かれている と言えます。
● ① 内部ネットワークが"平面的"で、横移動が容易
社員PCから基幹サーバに"物理的に到達できてしまう"構造は、攻撃者にとって理想的です。
● ② Active Directory の権限管理が複雑化
特権アカウントが棚卸されず、不要権限が残り、攻撃者に奪われやすい。
● ③ EDR／ログ監視の"未展開領域"
一部端末に EDR が入っていない、管理外PCが存在する、ログが相互連携していない──
こうした隙は、攻撃者にとって最短ルートとなります。
● ④ 侵入後を想定した"保護対象（Protect Surface）"が未定義
どの資産が最優先で守るべきものかが定義されていないため、
「侵入後の最初の 24〜72 時間」を設計できない。
これらは個社の問題ではなく、
"日本企業の標準構造そのもの" に根付いた課題です。
5. 結論：ゼロトラストは"入口対策の強化"ではない
守る場所を最小化し、その内部を分断する再設計である
ゼロトラストを、SASE や ZTNA といった「製品の名前」と誤解している企業がまだ多くあります。
しかし、本来の Zero Trust Architecture（ZTA）は"ネットワークの再設計思想"です。
その中心にあるのが Protect Surface（守るべき最小単位） です。
ZTAの基本要素
-
Protect Surface を定義する（顧客データ・基幹サーバ・AD など）
-
その領域をマイクロセグメンテーションで"分断"する
-
最小権限でアクセスをコントロールする
-
内部移動を検知するログ基盤を整備する
-
暗号化されても事業が止まらない WORM バックアップを構築する
つまり ZTA は
「侵入後に会社が止まらない設計を、最初からつくる」
という思想です。
これこそが、侵入防御中心のサイバー戦略と決定的に異なる点です。
6. 経営者へのメッセージ：「侵入をゼロにする」から「侵入されても止まらない会社」へ
ランサムウェア対策は、もはやセキュリティ部門だけの問題ではありません。
サプライチェーン、物流、工場、生産、営業、顧客基盤──
被害は経営そのものに直結します。
アサヒ・アスクル事案は、次のことを明確に示しました。
-
侵入防御だけでは、企業は守れない。
-
本当に重要なのは、侵入後の最初の 24〜72 時間の設計である。
-
ZTA は"新しい製品"ではなく、"事業継続のための経営判断"である。
日本企業がこの構造的弱点を乗り越えられるかどうか。
それが、ランサムウェア時代における企業価値の分岐点になっていくでしょう。