脅威ハンティングという転換点【後編】～「何も見つからなかった」を評価できるか

第一の落とし穴——道具を買えば済むと思うこと

前編で、脅威ハンティングとは「有事に獲物を追い詰める狩り」ではなく、「平常を知る人による見回り」だと申し上げた。では明日から何をすればよいのか。ここから先が経営の話になる。

まず、最も多い誤解から片付けたい。その誤解とは、製品を買えば済む、という思い込みである。

「脅威ハンティングの普及促進・実施等に係る基本方針」は、この点に明確に釘を刺している。脅威ハンティング（異変察知の見回り）の実施にあたっては、情報資産管理を行い、リスクアセスメントによって組織が抱えるリスクを的確に把握・評価したうえで、必要なOSアップデートやセキュリティ製品の導入、適切なログ管理等を実施するなど、「従来のサイバーセキュリティ対策の実施状況を踏まえて、段階的に対策を高度化するアプローチが求められる」と。

つまり、順番があるのだ。

見回りをするには、まず見回る通路が整理されていなければならない。

倉庫を思い浮かべていただきたい。床一面に荷物が山積みで足の踏み場もない状態では、毎晩見回ったところで異変になど気づけない。誰かが山積みの中から1箱持ち去っても分からない。まず何がどこにあるかを把握し、通路を空け、記録をつける。この地味な作業を飛ばして高価な分析製品だけ買っても、宝の持ち腐れになる。

ただし——ここが面白いところなのだが、基本方針は逆方向の効果にも触れている。脅威ハンティングを実施することで得られる知見として、こう書かれているのだ。

必要なログの不足、管理されていない資産の把握、システムの設定不備等の対策不備の発見等

つまり、やってみると、自社の足りないところが見えてくるというのである。

これは私が実務家として、実感を伴って頷ける示唆だ。「ログを取っているつもりだったが、肝心の期間が残っていなかった」「誰も把握していないサーバーが動いていた」。こうした発見は、机上のチェックリストからはまず出てこない。実際に何かを追いかけようとして、初めて「追いかけられない」ことが分かるのである。つまりは、職場の整理・整頓から、もっと言えば、今は死語になっているかもしれない職場の5S（整理・整頓・清掃・清潔・しつけ）が改めて重要なのかもしれない。

だとすれば、完璧に整えてから始めるのではなく、試しに歩いてみて、見えないところを潰していく。この順番のほうが現実的だろう。最初から100点満点を目指す必要はない。基本方針も、組織の能力・体制等に応じて「段階的に取り組んでいくことが重要」と書いている。

第二の落とし穴——「何も見つからなかった」を失敗と評価すること

二つ目は、経営者にこそ考えていただきたい問題である。基本方針が、この問題を正面から書いているのが素晴らしい。少し長いが引用する。

脅威ハンティングにおいて、サイバー脅威を発見する機会は必ずしも多くなく、その取組の成果が可視化されにくいことから、組織は脅威ハンティングを担当する人材の意欲を維持させる工夫が求められる。

政府文書がここまで踏み込んだことを、私は率直に評価したい。これは現場の意欲の問題である以上に、経営の評価軸の問題なのである。

考えてみていただきたい。ある担当者が半年間、毎日ログを追い、環境を見て回った。そして、何も見つからなかった。この担当者を、あなたはどう評価するだろうか。

あるいは、自席のパソコンの起動時間が今朝は少し長かったという社員が、不審に思い連絡したが、システム管理者によるシステム保守や更新が行われていただけであった。この連絡してきた社員をどう評価するのか。

「何もしていない」「ちょっとしたことで連絡してきて面倒」と査定するなら、その組織で脅威ハンティングは絶対に根付かない。次から彼・彼女はどうするか。何も無いところに無理にでも何かを「発見」して報告するようになるか、あるいは、気になることがあっても見て見ぬふりをし、誰も読まない報告書を毎月きれいに埋めるだけの作業をするようになる。あるいは、本来の異変を見逃してしまう。いずれも組織にとって害でしかない。

工場の安全担当者を「今年は事故が起きなかったから成果ゼロ」と評価する会社はないはずだ。消防設備の点検担当者に「火事が一度もなかったので減給」と言う経営者もいない。ところが、なぜかITになるとこれをやってしまう。

何も起きなかったことが成果である。何もないのに連絡があることが成果である。

この当たり前を、経営者が言葉にして、評価制度に落とし込めるかどうか。ここが最初の分水嶺だと私は思う。

さらに言えば、これは投資判断の問題でもある。基本方針は「これらの実施に当たっては、相応の投資・時間を要するため、組織の能力・体制等に応じて段階的に取り組んでいくことが重要」とし、「脅威ハンティングを実施する意義のみならず、費用対効果等の面でも経営層の理解を得ることが不可欠」と書いている。

費用対効果。悩ましい言葉である。何も起きなかったことの経済価値を、どう計算するか。

私は、こう考えることを提案したい。保険料と同じ発想では足りない、と。保険は事故が起きた後にお金が戻ってくる仕組みだが、見回りは事故そのものを起こさせない営みである。事業が止まらなかった、取引先を巻き込まなかった、報道されなかった——この「起きなかったこと」の価値を、経営者自身が言語化して社内に示すしかない。 誰も代わりに計算してはくれない。また、専門家に任せる前に自社の見回りでできることはある。

第三の落とし穴——丸投げ

三つ目は、私が10年以上言い続けてきたことである。

自社だけで見回りを実施できない場合、外部委託は当然の選択肢だ。基本方針もそれを認めている。ただし、こう続く。

外部委託する際には外部組織を適切に管理・監督できるだけの知識・能力を自組織内に保持することが重要である。

「丸投げ文化」への警告が、ついに政府文書に書かれる時代になった。感慨深いと言うべきか、10年経っても変わっていないと嘆くべきか。

見回りを警備会社に頼むのは、合理的な判断である。専門の人員を自前で抱えるより安く済むことも多い。基本方針も、政府による支援も含め、外部の力を借りることの合理性に触れている。

しかし、である。「うちにとって何が異常か」を、警備会社が知っているはずがない。

夜10時にあの部屋の明かりがついているのは、経理の月次締めだから普通なのか、それともおかしいのか。裏口から搬入しているのは、いつもの業者なのか。これを判断できるのは自社の人員だけだ。ここを渡してしまうと、報告書は毎月届くが誰も読めない、という状態になる。実によくある光景である。

そしてもう一つ、基本方針が指摘する重要な役割がある。

セキュリティ上の課題を経営課題や事業運営の観点に置き換えて経営層に伝える役割を担う橋渡し人材の存在が必要である。

技術の言葉と経営の言葉を、両方しゃべれる人である。

この人がいない組織で何が起きるか。現場が異変に気づく。報告しようとする。しかし「不審な通信が観測されました」としか言えない。経営者には、それが年商にどう響くのか分からない。だから判断できない。判断できないから「引き続き監視を」となる。そして時間だけが過ぎていく。

現場は伝えている。しかし意味が伝わらない。経営上の脅威が具体化できないのである。私はこれを、組織の「難聴」と呼んでいる。耳は聞こえている。声も届いている。しかし意味が伝わらない。

そして、経営者の側にも切実な事情がある。異変の報告を受けて、システムを止める、取引先に一報を入れる、外部に調査を頼む——こうして動いた結果、何も出てこなかったとき、経営者には必ず「振り回された」という声が返ってくる。空振りの責任は、現場ではなく経営者が負うのである。だから迷う。そして迷いは、そのまま遅れになる。

ここで要るのは、胆力だけではない。「なぜそう判断したか」を残す習慣である。いつ、誰から、どんな報告を受け、何を根拠に、何を選び、何を選ばなかったか。これさえ残っていれば、空振りは失敗ではなく判断の記録になる。逆にこれがなければ、当たっても外れても「あのときの社長の勘」で終わり、組織には何も蓄積されない。

船長が霧の中で減速を命じる。結果的に霧が薄く、到着が遅れただけだったとしても、その判断を責める船会社はない。航海日誌に、なぜ減速したかが書かれているからである。

かつて私は、利用部門・情報システム部門・セキュリティ部門が上意下達の縦関係になっている構造を問題視し、三者が権限を持って牽制し合う「三権分立」を提唱した。基本方針が書く橋渡し人材の話は、その延長線上にある。現場の異変を経営判断につなぐ回路があるかどうか。経営判断を裏付けるエビデンスがあるか、これは内部統制システム上の問題でもある。

見つけた人が損をする社会でいいのか

ここで、正直に困っていることを申し上げたい。

このコラムを書くにあたり、私は参考になる国内事例を探した。ところが、まず出てこないのである。

理由は明白だ。脅威ハンティングが成功すると、事故にならないからだ。事故にならなければ、公表義務も生じない。誰も発表しない。メディアも報じようがない。「A社は今日も異変に気づいて静かに対処しました」というニュースは、成立しないのである。

これは構造的な問題だ。成功事例が流通しないから、次の組織が「どうやればいいのか」を学べない。学べないから広がらない。広がらないから、ますます事例が出ない。

しかも、この分野には「正直者がバカを見る」という日本の悪しき風土が重なる。私は繰り返し書いてきた。攻撃を受けた事実を公表した組織が叩かれる社会では、誰も本当のことを言わなくなる。そして社会全体の抵抗力が落ちていく。脅威ハンティングでは、この問題がさらに厄介な形で現れる。

考えてみてほしい。見回りをして、5年前から潜んでいた侵入者を見つけてしまった組織があったとする。この組織が正直に公表すれば、世間はどう反応するか。おそらく「5年間も気づかなかった会社」として叩かれる。担当者は責められ、経営者は頭を下げる。黙っていれば、何も起きない。見つけた人が損をする。

これでは、誰も真面目に見回らない。あるいは、見回っても報告を上げない。「藪をつつくな」という空気が、組織の中に静かに広がっていく。私が最も恐れているのは、この事態である。せっかく政府が号令をかけても、これでは形だけの活動になってしまう。

「空振りの記録」と「早期のハンティング事例」こそ、持ち寄る値打ちがある

では、どうするか。

私は、ここでこそ業界ごとの情報共有・分析センター（ISAC）や日本シーサート協議会（NCA）のような組織が本領を発揮すべきだと考える。

NCAには、現在650を超えるチームが加盟している（同協議会サイト、2026年8月現在）。金融ISAC、交通ISAC、ICT-ISACなど、業界別の情報共有組織も着実に育ってきた。こうした場の値打ちは、「表に出せないが、仲間には言える」情報の流通経路であることだ。

世間に公表すれば叩かれる話も、同業の実務者同士なら共有できる。「うちはこういう見方をしたら、こういうものが出てきた」「その手口ならうちにもあった」。この会話が成立するかどうかで、業界全体の目の付けどころが変わる。

基本方針も、サイバー対処能力強化法により新たに設立される協議会等の活用を掲げ、こう書いている。

対象組織間において脅威ハンティングに関する知見が相互に共有されることは、脅威ハンティング能力の底上げに寄与すると考えられる。

方向は正しい。そのうえで、私から一つ提案したい。

共有すべきは、派手な事件のてん末だけではない。「発覚前に手を打てた記録」と「空振りの記録」である。特に「発覚前に手を打てた記録」はなかなか共有できないものだ。なぜならば侵入されたことは事実だからである。また、「空振りの記録」の中には実は成功例もあるはずだ。あまりにも早期に気づいた場合は侵入そのものにも発展しないために、うまくいったことの証明も難しいのである。

なので、「こういう視点で見回ったが、何も出なかった」――この情報にこそ、価値がある。なぜなら、次の組織が同じ視点をそのまま採用でき、しかも「そこはすでに誰かが見た場所だ」と分かるからだ。医療の世界で、陰性の検査結果が診断に不可欠であるのと同じである。「この検査は陰性だった」という情報がなければ、医師は同じ検査を繰り返すしかない。また、見回ったからこそ、攻撃者が近づかなかったのかもしれない。

空振りを持ち寄れる場をつくること。そして、空振りを持ち寄った人を笑わずに評価すること。

これは制度設計というより、作法の問題だ。法律で決められることではない。ISACや協議会にしかできない仕事だと、私は思う。

そしてこれは、会社の中でも同じである。「今月は何も見つかりませんでした」という報告を、経営者がどんな顔で聞くか。社内の空気は、そこで決まる。

サイバーセキュリティ2.0

ここまで書いてきて、脅威ハンティングは、数ある対策手法の一つとして棚に並べるべきものではない。むしろ、セキュリティの考え方そのものを組み替える基軸ではないかと思う。

これまでのセキュリティは、おおむね2段構えだった。

第一に、防御。入られないように壁を高くする。第二に、インシデント（トラブル事案）への対応。破られたら、検知して駆けつけて封じ込める。

この2段構えの前提は「破られた瞬間が分かる」ことである。警報が鳴る、画面が真っ赤になる、データが暗号化される——何らかの明確な事件が起きて、そこから対応が始まる。多くの企業のセキュリティ体制も、訓練も、この前提の上に組み立てられてきた。

ところが前編で見たLOTL攻撃は、この前提を崩す。事件が起きないのだ。

正規のツールで、正規の権限で、静かに5年。破られた瞬間などない。じわじわと染み込んでくるだけである。壁を高くしても意味がなく、警報も鳴らない。だから、こちらから見にいくしかない。

つまり脅威ハンティングとは、防御とインシデント対応の間にある巨大な空白を埋める営みである。私はこれを、こう言いたい。

平時の中に、常時の営みを置く。

これまで我々は「平時」と「有事」を分けて考えてきた。平時は防御を固める時間、有事は対応する時間。BCPもその発想で作られている。しかし今必要なのは、平時の日常業務のただ中で、ゆらぎを感じ取り、脅威の芽を摘み取り続けることである。

有事になってからでは遅い。というより、有事だと分かった時点で、すでに5年遅れているのかもしれないのだ。

この転換を、私は「サイバーセキュリティ2.0」と呼んでもよいと思っている。

1.0が「守りきる」だとすれば、2.0は「気づき続ける」。1.0の主役は壁と警報だが、2.0の主役は平常を知っている人である。1.0は事故が起きたら負けだが、2.0は気づかないことが負けである。

念のため断っておくが、この「サイバーセキュリティ2.0」という整理は、あくまで私の勝手な見立てであり、政府方針にそう書かれているわけではない。ただ、基本方針が対象組織に求めているものを組織運営の言葉に翻訳すると、結局こういうことになる、というのが私の理解である。

経営が迫られる三つの覚悟

そして、この転換により経営が迫られる覚悟は、実は技術に関することではない。

第一に、「何も起きていないこと」に投資できるか。これは経営の胆力の問題である。目に見える成果が出ないものに、毎年予算をつけ続けられるか。

第二に、「気づいて報告した人」を守れるか。これは組織風土の問題である。悪い知らせを持ってきた人が損をしない社内でいられるか。

第三に、「見つかったこと」を叱らず、「見なかったことにした」を叱れるか。これは評価制度の問題である。何を成果と定義するかで、現場の行動は決まる。

私は2015年の日本年金機構の情報流出事件以前から、こう言い続けてきた。セキュリティで問われるべきは、侵入されたことではない。異常や違和感に気づきながら、報告も相談もしなかったことである、と。

10年経って、同じことをもう一度書いている。技術は変わった。攻撃者も変わった。政府の体制も、法律も整った。しかし、組織が抱える病は変わっていない。

丸投げ、先延ばし、無関心。私が長年指摘してきたこれらは、いまも生きている。脅威ハンティングという新しい言葉は、この古い病を照らし出す光でもある。

明日の経営会議で、聞いてみてほしいこと

最後に、明日から社内で確認できることを整理したい。難しい話ではない。

第一に、「うちにとっての普段」を、誰が知っているか。

社内のシステムが、平日の何時ごろに、誰が、どのくらい使っているか。夜中に動いているものがあるとすれば、それは何のためか。この質問に即答できる人がいるなら、その人が御社の見回りの起点である。誰も答えられないなら、そこが出発点だ。異常を語る前に、正常を知らなければならない。

第二に、記録がどれだけ残っているか。

いつのログが、どこに、どれだけの期間保存されているか。半年前に何が起きたかを、いま調べられるか。基本方針も「様々なログをある程度の期間にわたって取得し分析を行う必要がある」と書いている。記録がなければ、見回りようがない。ここは経営判断であり、金額もはっきりする話である。

第三に、「気づいたとき、誰に、どう言えばいいか」が現場に伝わっているか。

これが一番大事なことだ。異変を感じた社員が上司に言えるか。上司が経営に上げるか。上げたときに叱られないか。ここが詰まっている組織では、どんなに高価な道具を入れても無駄になる。報告が上がらないのは下が悪いのではない。上の責任である。

そのうえで、経営会議で一度、こう問うてみていただきたい。

「うちは、いつから侵入されていないと言えますか」

この問いに、根拠を持って答えられる会社は多くないはずだ。答えられなくても構わない。答えられないと分かったことが、最初の一歩である。

政府が方針を出したから始めるのではない。取引先も、従業員も、顧客も、御社が「気づける会社」であることを前提に付き合っている。その前提に応えられるかどうか、という話だ。

見回りは、地味である。何も見つからない日が続く。報告書には「異常なし」と書かれ続ける。

それでも歩き続けた組織だけが、ある日、いつもと違う音に気づく。