なぜ、日本企業のセキュリティインシデントは多発し続けるのか～「他社の事故」から学べない組織の構造～

こんにちは。株式会社グローバル・パートナーズ・テクノロジーでシニアマネージャーをしている花垣です。
30年以上にわたりネットワーク設計、クラウド構築、セキュリティソリューションに携わり、複雑なIT環境を最適化する専門家として活動しています。

今回は、ランサムウェア被害が後を絶たない背景として、企業が他社のセキュリティインシデントを自社の教訓として活かしきれておらず、同じ原因による事故を繰り返している実態と、その改善の重要性について語りました。

1. 毎月届く「お詫びとお知らせ」

「弊社サーバーが第三者による不正アクセスを受け——」

この書き出しで始まる公表文を、あなたは今年に入って何通読んだだろうか。

ランサムウェアによる基幹システム停止、委託先経由の個人情報漏洩、クラウドサービスの設定不備、なりすましメールによる資金流出。

毎月のインシデントまとめ記事は、もはや「今月の顔ぶれ」を確認する定例行事のようになってしまった。

警察庁が公表した令和7年上半期のレポートによれば、国内のランサムウェア被害報告件数は統計開始以来の最多水準に並んだ。

IPAの「情報セキュリティ10大脅威」では、ランサムウェアが組織向け脅威の1位を11年連続で維持している。11年である。

1つの脅威が11年間トップに君臨し続けるというのは、脅威が強力だからではない。
私たちが11年間、同じ失敗を繰り返しているからだ。

私はセキュリティコンサルタントとして企業や公的機関の現場を見てきたが、この状況を「攻撃者が高度化しているから仕方ない」と総括する言説には、はっきりと異を唱えたい。

データが示す事実は逆である。

攻撃者は高度化などしていない。（少なくとも、ランサムウェアの被害に関しては）
10年前と同じ入口から、10年前と同じ手口で入ってきている。

変わっていないのは、守る側なのだ。

2. 侵入経路は、ずっと同じ場所に開いている

警察庁の統計を見れば、議論の余地はほとんどない。
ランサムウェアの侵入経路の約8割は、VPN機器とリモートデスクトップである。

原因として挙げられているのは、脆弱なID・パスワード、放置された脆弱性、そして退職者アカウントをはじめとする不要アカウントの管理不備。

被害企業の約半数は、既知の脆弱性に対するパッチを適用していなかった。

ここに、ゼロデイ攻撃も、国家背景の高度なAPTも、AIを駆使した未知の攻撃も登場しない。

公表済みの脆弱性と、使い回されたパスワードと、誰も棚卸ししていないアカウント。それだけである。

しかも、この構図は突然明らかになったものではない。

2022年、部品メーカー1社へのランサムウェア攻撃が、大手自動車メーカーの国内全工場を1日止めた。

2023年には港湾のコンテナターミナルシステムがVPN機器経由で侵害され、物流が数日間麻痺した。

2024年には大手出版・IT企業のグループ全体が長期のサービス停止に追い込まれ、2025年には誰もが知る飲料メーカーや通販物流企業が相次いで操業停止に至った。

いずれも大々的に報道され、詳細な分析記事が何本も書かれ、セミナーの題材になり、報告書が公開された。

つまり、教材はすべて無料で公開されている。

それでも翌月には、また同じ侵入経路、同じ原因の公表文が並ぶ。問うべきは「なぜ攻撃されるのか」ではない。
「なぜ、これだけの教材を目の前にして学べないのか」である。

3. 学べない理由①：他社のインシデントを「読み物」として消費している

多くの企業で、他社のインシデント報道は「ニュース」として消費されて終わる。

情シス担当者が記事を読み、「大変だなあ」と思い、せいぜい社内チャットに共有して、それで終了。
自社の環境に読み替えるという工程が、組織のどこにも存在しない。

本来やるべきことは単純だ。
「同業他社がVPN機器の脆弱性から侵入された」というニュースを見たら、次の問いに自社として答えることである。

• 自社のVPN機器の型番とファームウェアバージョンを、今この場で言えるか

• そのバージョンに既知の脆弱性はないか。最後にパッチを当てたのはいつか

• そのVPNに多要素認証はかかっているか。退職者のアカウントは消えているか

この3問に即答できない企業は、報道された企業と同じ穴が空いている可能性が高い。

だが実際には、この「読み替え」を業務プロセスとして定義している企業はごく少数だ。
他社の火事を眺める視聴者はいても、自宅の火の元を確認する当事者がいない。

「対岸の火事」なのではない。同じ長屋に住んでいるのに、対岸だと思い込んでいるのである。

4. 学べない理由②：日本企業の公表文は「謝罪文」であって「教訓」ではない

学べない責任は、学ぶ側だけにあるのではない。教材の側にも構造的な欠陥がある。

日本企業のインシデント公表文の多くは、法務とお客様相談室の作文である。

「第三者による不正アクセス」「原因については調査中」「再発防止に努めてまいります」——この定型句の羅列から、他社が学べる技術的教訓はほぼゼロだ。

侵入経路は何だったのか、初動で何に失敗したのか、どの対策が効いてどの対策が形骸化していたのか。本当に価値のある情報は、ほとんどの場合、最後まで公開されない。

これは海外との明確な差である。米国では規制当局への報告義務や訴訟リスクの副産物として、詳細なインシデントレポートが公開され、業界全体の知見として蓄積される仕組みが（不完全ながら）回っている。

一方の日本では、公表は「世間へのお詫び」という儀式であり、情報共有は「恥の上塗り」とみなされる。

インシデントを起こした企業が詳細を語らず、語らないから他社が学べず、学べないから同じ事故が起きる。

この沈黙の連鎖こそが、インシデント多発の隠れたエンジンだと私は考えている。

被害企業を責めたいのではない。

むしろ逆で、詳細な報告書を公開した企業は「正直に語った企業」として評価されるべきだし、私たちコンサルタントやメディアも、公表の丁寧さを減点法でなく加点法で扱う文化を作る責任がある。

5. 学べない理由③：「対策済み」の定義が、製品の購入で止まっている

現場でもう一つ痛感するのは、「対策した」という言葉の中身の空洞さだ。

EDRを買った。
SOCサービスを契約した。
標的型メール訓練をやった。
だから対策済み——

この論法が、驚くほど多くの企業で通用している。
だが、EDRのアラートを誰が何分以内に見るのか決まっていない。

SOCからの深夜の電話に出る当番がいない。
メール訓練の開封率は測るが、開封した後の報告率は誰も見ていない。
製品の導入は対策の開始であって、完了ではない。

この当たり前が、稟議書の世界では「導入＝完了」にすり替わる。

さらに深刻なのは、その手前の問題だ。
多くの企業は、守るべき資産の一覧すら持っていない。

どのサーバーが外部に公開されているのか、VPN機器が何台あるのか、退職者のアカウントがいくつ残っているのか——

資産管理とID管理という、セキュリティの土台中の土台が崩れたまま、その上に高価な監視ツールを積み上げている。
基礎工事をせずに免震装置を買っているようなものである。

侵入経路の8割が「管理されていないVPNと放置されたアカウント」であるという統計は、この転倒の必然的な帰結だ。

6. 学べない理由④：セキュリティが経営の言葉に翻訳されていない

そして最後に、最も根深い問題。日本企業の多くで、セキュリティは依然として「情シスの仕事」であり、経営課題になっていない。

警察庁の統計では、ランサムウェア被害からの復旧に1,000万円以上を要した組織が6割近くに達し、復旧まで1か月以上かかるケースも珍しくない。

工場が止まれば逸失利益は日単位で億に届き、株価とブランドへの影響はさらに長く尾を引く。

これは明白に経営リスクであり、財務リスクである。

にもかかわらず、多くの経営会議でセキュリティは「コスト削減の対象」として議題に上がる。

CISOは不在か、情シス部長の兼任。
取締役会でサイバーリスクが定量的に報告される企業は少数派だ。

他社のインシデントが報道されたとき、経営者が「うちは大丈夫か」と一言聞くだけで、現場の優先順位は劇的に変わる。

その一言すら出ない組織で、担当者レベルの努力だけに「学び」を期待するのは酷というものだろう。

組織は、経営者が問うことしか学習しない。
インシデントから学べない企業とは、突き詰めれば、経営者がインシデントについて問わない企業である。

7. 明日からできる「他社の事故に学ぶ」ための3つの習慣

批判だけで終わらせないために、実務として提案したい。
高価なツールは一つも要らない。

（1）月次で「インシデント読み替え会」を30分やる
その月に公表された他社インシデントを1件選び、「自社で同じ攻撃を受けたらどこが破られるか」を情シスと事業部門で議論する。
結論は「自社の該当箇所」と「宿題」の2点だけでいい。これを議事録に残し、経営層に回覧する。

（2）四半期に一度、外部公開資産とアカウントの棚卸しをする
インターネットから見える自社の入口（VPN、RDP、公開サーバー、クラウド管理コンソール）をリスト化し、パッチ適用状況と多要素認証の有無を確認する。
退職者・休眠アカウントを削除する。

統計上、これだけで国内ランサムウェア被害の主要因の大半を潰せる。

（3）経営会議の定例議題に「サイバーリスク」を1行入れる
報告内容は「今月の他社事例1件と、自社への示唆」だけで構わない。
重要なのは中身より、経営が毎月問い続けるという事実そのものである。

8. おわりに——次の公表文の主語は誰か

セキュリティインシデントは確率の事象であり、どれだけ備えてもゼロにはならない。それは事実だ。

しかし、いま日本で起きている被害の多くは「防げなかった事故」ではなく、「他社が既に払った授業料で防げたはずの事故」である。

教材は毎月、無料で公開されている。

それを読み物として消費するか、自社の点検表に翻訳するか。
その差が、1年後にお詫び文を出す側と出さない側を分ける。

「弊社サーバーが第三者による不正アクセスを受け——」

次にこの書き出しを使うのが自社でないと言い切れるか。
他社のインシデントに学ぶとは、この問いから逃げないことに尽きる。

参考：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」、IPA「情報セキュリティ10大脅威 2026」

株式会社グローバル・パートナーズ・テクノロジーは、システム発注の常識を変え、IT投資の恩恵を享受する組織を増やし、ひいては日本の発展に貢献することを目指しています。
システム発注でお困りごとがあれば、下記の問い合わせフォームからお気軽にご相談いただければと思います。

また、すべてのシステム発注の成功に役立つメディアとして「IT調達ナビ」も運営しております。気になる方はぜひご覧ください。

執筆者：花垣 直樹（ハナガキ ナオキ）
株式会社グローバル・パートナーズ・テクノロジー
シニアマネージャー、InbaDreamFactory合同会社 代表社員。
ネットワークインテグレーションを中心に、Total System Design、クラウド設計・構築支援、セキュリティ設計・ソリューション選定などを実施。
ネットワーク機器メーカー、Webツールベンダー、データセンター事業者、セキュリティコンサルタントなど多様な業種で経験を積み、豊富な実績を有する。