アサヒ・アスクル事案が示した現実： 従来型の「侵入防御依存」ではランサムウェアは止められない

アサヒグループのランサムウェア被害に関する記者会見以降、どのようにすればランサムウェアから自社を守ることができるのか？という議論が様々なメディアで沸き起こっています。

私はこうした議論が起こることは良いことだと思っています。様々な方法論がある。特効薬のように見える方策もある...。

しかし、アメリカ政府機関等のITシステムを指導している省庁が推奨しているランサムウェア対策があるのならば、まず、それを検討してみるのが正攻法ではないか？と考えます。

特に日本では「英語の壁」があって、米国の最新の技術が日本で普及するまで2年はかかる現実があります。（フレッシュな英語の技術文書を読みこなすことができる人材がごく限られているため。技術文献が翻訳されないと日本のITコミュニティ全体で共有されません）

遅いスピードでローカライズされた米国の侵入防御ツールの資料を読まされる前に、アメリカの政府機関の1つであり、アメリカ政府各機関にランサムウェア等の被害を受けないように助言している省庁である

Cybersecurity and Infrastructure Security Agency

が推奨している、ジョン・キンダーバーグのゼロトラスト思想に基づく、ゼロトラストアーキテクチャの導入を第一に検討してみるべきではないかと思うのです。アサヒグループは抜本的な対策としてこれに舵を切りました。

ランサムウェア犯罪集団も日夜技術を磨いている世界水準の犯罪集団です。日本企業の対策も世界水準に合わせることが必須です。

お金もかかります。それは日本企業が日本水準の防御策を導入してきた従来があるからで、頭を切り替えて、世界水準のアーキテクチャを導入する。それには従来の数倍のお金が必要になる。それは世界水準だから、対策も世界水準のインテグレーターで相応の工数をかけて行う。そのように発想すべきです。

かけたお金よりも、ランサムウェア被害によって失う金額の方が2桁も多いことは、色々と調べてみればわかるはずです。ChatGPT 5.1もいいアドバイザーになります。

関連投稿：

アサヒグループが導入する「本家・米国式ゼロトラスト」は日本のなんちゃってゼロトラストとは決定的に違う

日本企業がアサヒグループ並みの米国本家ゼロトラストを導入するには今の3〜5倍のIT予算が必要

米国政府系標準のゼロトラストを構成する「5本柱」【ランサムウェア被害に遭わない米国最新DX】

まず「何を守るのか？」を考える。保護対象領域/Protect Surfaceの明確化【ランサムウェア被害に遭わない米国最新DX

1. 「境界を守れば安全」という前提は、静かに崩壊している

日本企業の多くは、長年「侵入さえ防げば安全である」という前提の上に、情報システムを築いてきました。
ファイアウォール、アンチウイルス、VPN、IPS、メールゲートウェイ。
これらの積み上げが"安全な企業"をつくると信じられてきました。

しかし、アサヒグループホールディングスやアスクルの事案が示したのは、
「防御を講じていても、侵入は起きる。そして侵入後の横移動（ラテラルムーブメント）を止められなければ、被害は拡大する」
という、極めてシンプルで、しかし重い事実です。

両社が"無防備だった"わけではありません。
それでも被害は発生し、業務停止や顧客影響へとつながりました。
この現実を、私たちは冷静に見つめ直す必要があります。

2. 事案の本質は「侵入された」ことではない。問題は「侵入後に何を許してしまったか」である

多くの報道では「侵入」の事実が強調されます。
しかし、ランサムウェアの本質は 侵入そのものではありません。

攻撃者は次の順序で動きます。

1. 侵入（多くの場合、フィッシング・脆弱性・不正ログイン）

2. 認証情報の窃取（Mimikatz 等）

3. 社内アカウントのなりすまし

4. Active Directory やファイルサーバへの横移動

5. 暗号化・情報窃取の同時実行

つまり、本当の勝負は「侵入後」にあります。

アサヒ・アスクルの事案が象徴したのは、
"侵入後の活動を封じ込める仕組みが、日本企業にほとんど存在しない"
という現実です。

3. 経営者が誤解している３つのポイント

（1）「対策をしていれば侵入は防げる」

→ 防げません。
入口の脆弱性、漏洩パスワード、ゼロデイ、メール添付など、入口は無数にあります。

（2）「重要サーバは社内にあるから安全」

→ 内部ネットワークこそ攻撃者にとっての"理想の環境"です。
多くの企業では AD/ファイルサーバ／基幹系が同じ平面ネットワーク上に存在し、
一度内部に入られた瞬間、攻撃者は自由に動けてしまいます。

（3）「EDR を入れたから安心」

→ EDR は重要ですが、"横移動を防ぐ設計"がない限り決定打にはなりません。
攻撃者は EDR 未展開領域や特権アカウントを狙い、監視の空白を突きます。

4. なぜアサヒ・アスクル級の企業でも止められなかったのか。日本企業全体が抱える「構造的弱点」

大企業だから対策が万全だった、というわけではありません。
むしろ 日本企業に共通する弱点が、そのまま突かれている と言えます。

● ① 内部ネットワークが"平面的"で、横移動が容易

社員PCから基幹サーバに"物理的に到達できてしまう"構造は、攻撃者にとって理想的です。

● ② Active Directory の権限管理が複雑化

特権アカウントが棚卸されず、不要権限が残り、攻撃者に奪われやすい。

● ③ EDR／ログ監視の"未展開領域"

一部端末に EDR が入っていない、管理外PCが存在する、ログが相互連携していない──
こうした隙は、攻撃者にとって最短ルートとなります。

● ④ 侵入後を想定した"保護対象（Protect Surface）"が未定義

どの資産が最優先で守るべきものかが定義されていないため、
「侵入後の最初の 24〜72 時間」を設計できない。

これらは個社の問題ではなく、
"日本企業の標準構造そのもの" に根付いた課題です。

5. 結論：ゼロトラストは"入口対策の強化"ではない

守る場所を最小化し、その内部を分断する再設計である

ゼロトラストを、SASE や ZTNA といった「製品の名前」と誤解している企業がまだ多くあります。
しかし、本来の Zero Trust Architecture（ZTA）は"ネットワークの再設計思想"です。

その中心にあるのが Protect Surface（守るべき最小単位） です。

ZTAの基本要素

• Protect Surface を定義する（顧客データ・基幹サーバ・AD など）

• その領域をマイクロセグメンテーションで"分断"する

• 最小権限でアクセスをコントロールする

• 内部移動を検知するログ基盤を整備する

• 暗号化されても事業が止まらない WORM バックアップを構築する

つまり ZTA は
「侵入後に会社が止まらない設計を、最初からつくる」
という思想です。

これこそが、侵入防御中心のサイバー戦略と決定的に異なる点です。

6. 経営者へのメッセージ：「侵入をゼロにする」から「侵入されても止まらない会社」へ

ランサムウェア対策は、もはやセキュリティ部門だけの問題ではありません。
サプライチェーン、物流、工場、生産、営業、顧客基盤──
被害は経営そのものに直結します。

アサヒ・アスクル事案は、次のことを明確に示しました。

• 侵入防御だけでは、企業は守れない。

• 本当に重要なのは、侵入後の最初の 24〜72 時間の設計である。

• ZTA は"新しい製品"ではなく、"事業継続のための経営判断"である。

日本企業がこの構造的弱点を乗り越えられるかどうか。
それが、ランサムウェア時代における企業価値の分岐点になっていくでしょう。

【セミナー告知】QilinやRansomHouseの被害から完全防御：米国政府推奨ゼロトラストアーキテクチャによるランサムウェア対策セミナー

-経営企画室が主導するアメリカ基準のランサムウェア対策-

主催 一般社団法人 企業研究会

お申し込みはこちらの企業研究会Webページからどうぞ。

今泉追記：

11月17日に第一回目を実施し、大変に好評を博したセミナーです。充実したA4 50ページの資料を配布し、その後、補充板としてさらに30ページの資料を受講者の皆さんに企業研究会経由でお送りしました。

特に力点を入れたのは、以下の点です。

・ジョン・キンダーバーグの思想に基づく米国の本家本元のゼロトラストアーキテクチャの理解。（日本のゼロトラスト商品は表層的なものであり、いざランサムウェア犯罪集団の標的になると脆く崩れ去る可能性が高いものがほとんであると分析しています。）

・推奨できる世界的なフォレンジック会社5社。これらのフォレンジック会社に依頼するにはどうすればいいのか？

・ランサムウェア犯罪集団は「世界スタンダード」であり、ゼロトラスト導入対策もそれに対抗できる「世界スタンダード」であるべき。残念ながら日本の最大手システムインテグレータ等のランサムウェア対策は「日本スタンダード」であり、アサヒグループやアスクルのような結果になってしまう。では、「世界スタンダード」を自社に導入するには、どのような世界レベルのシステムインテグレータにどうやってアクセスすればいいのか？座組みの問題。

・サイバー保険の基礎知識。

・世界スタンダードのゼロトラストアーキテクチャを導入するには、世界スタンダードの予算が必要。これを社長にどう納得して貰えばいいか？

・従来の情報システム部門では、このような予算を取ることは難しい。経営企画部主導で進めるべき。

・米国水準のAWS基盤を使ったゼロトラストアーキテクチャ導入プロジェクトの技術面の詳細資料。

【開催にあたって】

アサヒグループやアスクルが被害に遭っているランサムウェアは、犯罪集団の手口が高度化しており、多くの上場企業が潜在ターゲットになっています。従来サイバーセキュリティはCIO/情報システム部門が管掌していましたが、アサヒに見るように全社規模の営業損失になりかねないことから、対策には経営者の意思決定が不可欠になっています。

このセミナーでは経営者の意思決定を支援する経営企画室が主導するアメリカ水準のランサムウェア対策について、ChatGPT 5を活用した情報収集から現行社内システムに堅固なランサムウェア防御策を組み入れるプロジェクト詳細まで、ノウハウを伝授します。