サイバー攻撃の脅威がかつてないほど増大し、その手口は年々巧妙化しています。企業規模を問わず、ひとたび攻撃を受ければ、財務的な損失はもちろん、社会的な信頼の失墜、さらには事業継続そのものが危ぶまれる事態に陥る可能性もゼロではありません。しかし、多くの日本の企業では、増大する脅威に対して十分な対策が講じられているとは言えない現状があります。特に、実際の攻撃を想定した実践的なセキュリティテストであるペネトレーションテスト（侵入テスト）の実施は、海外と比較して遅れていると言わざるを得ません。
なぜ、日本の企業はペネトレーションテストの必要性を十分に認識し、実施に踏み切ることが少ないのでしょうか？ 本記事では、日本のサイバーセキュリティ対策の現状とその課題を掘り下げながら、ペネトレーションテストの真の重要性をお伝えし、現実的な対策への一歩を踏み出すことを強く推奨いたします。
増大するサイバー攻撃の脅威：企業を取り巻く過酷な現実
サイバー空間は、もはや遠い世界の出来事ではありません。企業がデジタル資産を持つ限り、常に攻撃のリスクに晒されています。実際に、日本の国家警察庁のデータによると、昨年のサイバー攻撃を含む不審なインターネットアクセスは1日平均9500件を超え、過去最高を記録しています。攻撃者は金銭的利益や情報の窃取を目的としており、メディア、e-commerce、金融、製造業（自動車を含む）など、価値の高いデータを扱う業界は特に狙われやすい傾向があります。
攻撃の手法も多様化、巧妙化しています。
•ランサムウェア: システムへのアクセスをブロックしたり、データを暗号化して身代金を要求するマルウェアです。古いソフトウェアの脆弱性、弱い認証情報、あるいはフィッシング攻撃を通じて感染することが多く、身代金が支払われるまでデータにアクセスできなくなります。カドカワ株式会社もランサムウェア攻撃の被害に遭い、多額の身代金を支払ったことが報告されています。
•フィッシング: 信頼できる個人や組織になりすまし、ユーザーを騙して機密情報（ログイン情報、クレジットカード情報など）を詐取したり、悪意のあるリンクをクリックさせたりする手口です。巧妙化しており、個人化された手口で油断しているユーザーを騙すこともあります。フィッシング詐欺は、個人情報の窃盗、金銭的損失、データ漏洩、システムの乗っ取り、顧客からの信頼失墜、企業イメージの悪化など、多大なリスクをもたらします。ランサムウェア感染の起点となることもあります。
•Broken Access Control: 攻撃者が認証や権限の制限を回避し、機密ファイル、ユーザーアカウント、あるいは管理者権限への不正アクセスを可能にする脆弱性です。クラウドシステムやリモートワークの普及に伴い、構成ミスによるアクセス制御の欠陥が狙われるケースが増えています。
•Stealer Malware: パスワード、財務データ、閲覧履歴など、機密情報を密かに収集し、盗み出すマルウェアです。フィッシングメールや悪意のあるダウンロード、感染したウェブサイトを通じて拡散され、盗まれた情報はダークウェブで売買されることもあります。
•サプライチェーン攻撃: 信頼されているソフトウェアプロバイダーに侵入し、悪意のあるコードを埋め込むことで、そのソフトウェアを利用する数千ものユーザーに被害を拡大させる攻撃です。SolarWindsの侵害事例は、サードパーティ製ソフトウェアの一つの脆弱性が広範な影響をもたらすことを示しています。
これらの攻撃は、大企業だけでなく、中小企業も例外なく標的となります。大企業が特定の標的型攻撃を受けることが多いのに対し、中小企業は無作為な攻撃の標的となり得ます。IPアドレスをスキャンし、見つかった脆弱性を悪用するような攻撃は、規模に関わらずあらゆる企業に及びます。残念ながら、中小企業の被害はあまり報道されないため、攻撃は他人事だと感じてしまう経営者もいるかもしれません。しかし、対策を怠れば、深刻な損害を受けるリスクは常に存在します。攻撃を受けたことに気づかないまま、静かに情報が抜き取られ、企業競争力が知らないうちに失われていく、といった事態も起こり得ます。
日本のサイバーセキュリティ対策の「ガラパゴス化」が招く危機
このようにサイバー攻撃の脅威が増しているにも関わらず、日本の多くの企業では十分な対策が進んでいないのが現状です。これは、日本の経済や社会全体のデジタル化の遅れと密接に関係しています。
例えば、行政手続きにおけるオンライン化の遅れは象徴的です。コロナ禍以前の2019年時点で、約56,000種類の行政サービスのうちデジタル化されていたのはわずか7.5%でした。いまだにフロッピーディスクやFAX、そして「ハンコ」といった古い技術や慣習への依存が残っており、多くの人がデジタルよりもアナログな手続きを安心だと感じています。このような国民性や文化的な背景が、ITへの依存度を高めることへの抵抗感につながっている可能性があります。
企業のサイバーセキュリティ対策においても、同様の遅れや課題が見られます。
•低いセキュリティ意識と投資不足: 特に中小企業では、コスト面や専門知識の不足から、十分なセキュリティ対策を講じることが難しい現状があります。また、ITやサイバーセキュリティに対する予算や投資が十分に確保されていない企業も多いようです。経営層がITやサイバーセキュリティの重要性を十分に理解しておらず、投資判断が遅れることも課題です。
•人材不足: ITを使いこなすための社内機能や、それを支える人材が不足しています。IT部門があっても、保守・運用が中心となり、戦略的なセキュリティ強化に対応できる専門人材が少ない傾向があります。
•意思決定の遅さ: 伝統的に、日本の企業では複数の幹部による合意形成で物事が決定される傾向があり、リスクを取らない姿勢や、今動いているシステムを維持しようとする文化が根強くあります。新しいテクノロジーやセキュリティ対策の導入についても、意思決定に時間がかかり、改革が進みにくい一因となっています。ある日本の製造業では、アンチマルウェアソフトウェアの導入承認に2週間もかかった例があります。
•緊急時対応プロセスの未整備: 攻撃発生時の対応プロセスが十分に整備されておらず、復旧に数ヶ月から1年もかかる例が見られます。これは、他国が通常数週間、遅くとも1ヶ月程度で復旧させているのと比較すると、大幅な遅れです。経営層がITに不慣れであるため、状況把握や意思決定に時間がかかることが、この遅れの要因の一つとして指摘されています。
このような日本の企業で見られるサイバーセキュリティ対策の現状は、あたかも孤立した進化を遂げた「ガラパゴス」のようで、世界の脅威の進化スピードについていけていないと言えます。形式的なセキュリティチェックや、古い慣習に則った対策に終始し、現実のサイバー攻撃の脅威から自社を守る上で本当に有効な対策が取られていない可能性があるのです。サイバーセキュリティ評価の実施率を見ても、コロナ禍以前の日本企業は55%にとどまり、米国企業の8割以上と比較して低い水準でした。
ペネトレーションテストとは何か？ なぜ「現実的」で「意味のある」対策なのか？
このような状況において、日本の企業が喫緊に取り組むべき「現実的」で「意味のある」対策の一つが、ペネトレーションテスト（侵入テスト）です。
ペネトレーションテストとは、単なるシステムのスキャンやチェックリストに沿った検査ではなく、実際にシステムやウェブサイト、ネットワークなどに、認定された専門家（ホワイトハッカー）が攻撃者の視点から侵入を試みることで、潜在的な脆弱性を発見する手法です。
しばしば混同される脆弱性診断（Vulnerability Assessment, VA）は、ツールを使ってシステム全体の既知の脆弱性を網羅的に洗い出すことに重点を置きます。一方、ペネトレーションテストは、発見された脆弱性を攻撃者がどのように悪用するかをシミュレーションし、複数の脆弱性を組み合わせてシステム内部への侵入を試みるなど、より実践的なアプローチを取ります。VAがシステムの「健康診断」だとすれば、ペネトレーションテストは「実戦訓練」に近いと言えます。
ペネトレーションテストには、テスト対象やシステムに関する事前の情報の有無によって、いくつかの種類があります。
•Blackbox Test: 攻撃対象に関する事前情報がほとんどない状態で実施します。外部の攻撃者がゼロからシステムへの侵入を試みるシナリオを最も忠実に再現できます。
•Greybox Test: 攻撃対象について限定的な情報（システム構成の一部、低権限のユーザーアカウントなど）がある状態で実施します。内部犯行や、すでにシステムの一部に侵入した攻撃者をシミュレーションするのに適しています。
•Whitebox Test: 攻撃対象に関する詳細な情報（システム構成、ソースコードなど）が全て提供された状態で実施します。システム内部の深部に潜む脆弱性や、設計上の問題などを網羅的に、かつ効率的に発見できます。
では、なぜこのペネトレーションテストが「現実的」で「意味のある」対策なのでしょうか。
1.現実的な攻撃経路の発見: 形式的なセキュリティチェックでは見つけられない、攻撃者が実際に悪用する可能性のある複雑な脆弱性や攻撃経路を発見できます。複数の脆弱性を組み合わせた攻撃など、より実践的なリスクを可視化できます。
2.潜在的被害の防止: 攻撃者が脆弱性を悪用して侵入する前に、問題を特定し、修正することができます。これにより、情報漏洩、システム停止、データ改ざんといった深刻な被害を未然に防ぐことが可能になります。
3.対策の優先順位付け: 発見された脆弱性の深刻度や、それが悪用された場合の影響度を評価することで、限られたリソースの中で、最もリスクの高い部分から優先的に対策を講じることができます。
4.セキュリティレベルの客観的な評価: 自社のシステムやネットワークが、現実のサイバー攻撃に対してどの程度耐性があるのかを、外部の専門家による客観的な視点から評価できます。
5.法的・規制遵守の支援: データ保護や情報セキュリティに関する国内外の法規制（日本のUU PDPなど）や、ISO 27001などの認証取得に向けた要件に対応するためにも、ペネトレーションテストは有効な手段となります。
6.対外的な信頼性の向上: 顧客や取引先に対して、サイバーセキュリティに真剣に取り組んでいる姿勢を示すことができ、ビジネス上の信頼獲得にもつながります。特に重要なインフラ企業などは、セキュリティ基準を満たせない場合、ビジネス機会を失う可能性もあります。
ペネトレーションテストは、攻撃による甚大な被害を防ぐための、いわば「転ばぬ先の杖」です。対策にかかるコストは決して安くはありませんが、攻撃によって被るであろう財務的な損失、事業の停止、信頼の失墜といった被害の大きさを考えれば、費用対効果の高い投資と言えるでしょう。
なぜ日本の企業はペネトレーションテストを実施しないのか？（想定される障壁）
ペネトレーションテストの重要性は明らかですが、多くの日本の企業、特に中小企業でその実施が進まない背景には、いくつかの障壁が存在すると考えられます。
•コストが高いというイメージ: ペネトレーションテストは高度な専門技術を要するため、高額な費用がかかるというイメージが根強くあります。特に予算が限られる中小企業にとっては、二の足を踏む大きな理由となります。
•専門知識・人材の不足: ペネトレーションテストの結果を理解し、その後の対策を実施するには、ある程度の専門知識が必要です。また、テスト自体を実施できる専門家を社内に抱えている企業は稀です。外部委託を検討するにも、どのベンダーを選べば良いのか、どのようなテストを依頼すれば良いのか分からない、といった状況も考えられます。
•自社は狙われないという誤った認識: 「うちは中小企業だから大丈夫」「うちには盗まれるほどの重要なデータはない」といった根拠のない安心感から、サイバー攻撃対策の優先順位を下げてしまうケースが見られます。しかし、先述の通り、中小企業も無作為攻撃の標的となり得ますし、サプライチェーンの一員であれば、取引先への攻撃の足がかりとして狙われる可能性もあります。
•新しい対策への抵抗、古い慣習への固執: デジタル化全般に見られる傾向として、新しいシステムや手法の導入に対する抵抗感があります。これまでセキュリティインシデントが起きていないのであれば、敢えてコストや手間をかけて新しい対策（特に実践的なテスト）を行う必要はない、と考えてしまう可能性があります。
これらの障壁は、日本の企業が抱えるデジタル化やIT投資、そして文化的な課題とも重なります。経営層のIT理解不足、変化よりも安定を好む文化 などが複合的に影響し、ペネトレーションテストのような実践的かつ予防的な対策への投資が後回しにされがちなのです。
意味のある対策へ：ペネトレーションテストのススメ
今こそ、日本の企業は「ガラパゴス化」したサイバーセキュリティ対策から脱却し、現実の脅威に即した、真に「意味のある」対策へと舵を切るべき時です。そして、そのための最も効果的な第一歩が、ペネトレーションテストの実施です。
ペネトレーションテストは、単にツールで脆弱性をリストアップするだけでなく、攻撃者の思考や手法を理解した専門家が、実際にシステムに侵入を試みることで、貴社のセキュリティ体制が現実の攻撃に対してどの程度耐性があるのかを、実践的な視点から評価します。これにより、表面的な対策だけでは見つけられない、巧妙に隠された脆弱性や、複数の弱点を突いた攻撃経路を発見し、本当にリスクの高い箇所から優先的に対策を講じることが可能になります。
サイバー攻撃による被害は、企業の存続そのものに関わる問題です。そのリスクを最小限に抑えるためには、自社の「弱点」を正確に把握し、先手を打って対策を講じることが不可欠です。ペネトレーションテストは、まさにそのための最適な手段なのです。
株式会社lanjutがお手伝いできること
「ペネトレーションテストの重要性は分かったけれど、コストが高い」「社内に専門家がいないから難しい」と感じている日本の企業の皆様に、株式会社lanjutは現実的なソリューションを提供します。
株式会社lanjutは、インドネシアをはじめとする東南アジア市場で豊富な実績を持つLOGIQUEと提携し、高品質なペネトレーションテストサービスを、日本の企業、特にこれまでコストや専門知識の壁を感じていた中小企業にも導入しやすい低価格で提供しています。
私たちのサービスの強みは以下の通りです。
•中小企業でも導入しやすい低価格: 通常、高額になりがちなペネトレーションテストを、1対象あたり50万円からのリーズナブルな価格設定で提供しています。これにより、コストを理由にセキュリティ対策を後回しにしていた企業様でも、本格的なテストを始めることができます。
•確かな品質と国際的な実績: ペネトレーションテストは、LOGIQUEがインドネシア市場で培ってきた専門技術と豊富な実績を基に行われます。金融機関やIT企業など、特に高度なセキュリティが求められる分野での経験も豊富です。大企業向けの高価格帯サービスと同等の品質をお約束します。
•国際認定資格を持つ専門家が実施: ペネトレーションテストを実施するのは、CEH、CPENT、LPTなど、サイバーセキュリティに関する国際的な認定資格を保有する経験豊富なホワイトハッカーたちです。彼らの高度な技術力と実践的な知見によって、潜在的な脆弱性を徹底的に洗い出します。
•詳細なレポートと無料再テスト: テスト結果は、発見された脆弱性の詳細、リスクの深刻度、そして具体的な修正方法を明確に記した日本語のレポートとして提出します。さらに、レポートに基づいてお客様またはお客様の既存ベンダー様が脆弱性の修復を行った後、一度だけ無料での再テストを実施し、問題が正しく解消されたことを確認します。これにより、対策の確実性を高めることができます。
•専門知識は不要: 社内にITチームやセキュリティ担当者がいなくても問題ありません。当社のプロフェッショナルチームが、ヒアリングからテスト実施、レポート作成、再テストまでを一貫してサポートいたします。必要に応じて、お客様と契約している既存のITベンダー様と直接連携を取ることも可能です。
株式会社lanjutのペネトレーションテストは、単に脆弱性を「見つける」だけでなく、それを適切に「修正し、対策を強化する」という一連の流れをサポートし、お客様のデジタル資産を現実の脅威から強力に保護することを目指しています。
まとめ：ガラパゴスから脱却し、現実的なセキュリティ対策を
日本の企業が直面しているサイバーセキュリティの脅威は、もはや無視できないレベルに達しています。デジタル化の遅れや文化的な背景からくる「ガラパゴス化」した対策は、高度化する攻撃手法の前には無力になりつつあります。
今こそ、形式的なチェックに終始するのではなく、実際の攻撃を想定した実践的なセキュリティテスト、すなわちペネトレーションテストを実施し、自社の真の脆弱性を客観的に把握することが求められています。これは、サイバー攻撃による多大な被害を未然に防ぎ、企業の持続的な成長と社会からの信頼を確保するために不可欠な投資です。
株式会社lanjutは、コストや専門知識の壁を感じていた中小企業を含め、より多くの日本の企業が、高品質で実践的なペネトレーションテストを実施できるよう支援いたします。インドネシアをはじめとする多国での豊富な実績と、国際認定資格を持つ専門家チームの知見を活用し、貴社のサイバーセキュリティ強化を全力でサポートいたします。
「なぜ日本の企業はペネトレーションテストを実施しないのか？」という問いに対する答えは、複雑な要因が絡み合っていますが、もはやそれを課題として認識し、具体的な行動に移す時が来ています。貴社の貴重なデジタル資産を守るため、現実的な対策への第一歩として、ぜひペネトレーションテストをご検討ください。
株式会社lanjutのペネトレーションテストサービスにご興味のある方は、どうぞお気軽にお問い合わせください。