セキュリティ／多層防御多層防御の再設計――「入られる前提」で守りを四つの層に組み直す
サイバー攻撃の被害は、今も高い水準で続いています。多くの企業がウイルス対策やファイアウォールを備え、対策を尽くしているにもかかわらずにです。理由の一つは、守り方の前提が「侵入させない」に偏っていることにあります。攻撃を防ぐ努力はもちろん重要です。ただ、それだけでは追いつかない時代に入りました。
今、必要なのは「入られること」も前提に置いて、守りを層で組み直す発想です。
多層防御が求められる背景
きっかけは、外側と内側との二つから来ています。
外側の変化は、取引先や社会からセキュリティを問われる動きです。経済産業省は、サプライチェーン全体のセキュリティ水準を可視化する評価制度の整備を進めており、委託先を含めた備えが問われる方向に向かっています。
出典：「サプライチェーン強化に向けたセキュリティ対策評価制度」関連公表資料（経済産業省・IPA）
内側の変化は、脅威そのものです。警察庁の情勢報告でも、ランサムウェアなどによる被害は高い水準で続いています。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁・PDF）
どれだけ入り口を高くしても、侵入を完全には防ぎ切れません。この現実を受け入れ、「防ぐ」だけでなく「入られた後」まで見据えて設計し直す。それが、多層防御の再設計という考え方です。
入り口対策は浸透した。でも「入られた後」に追いついていない
多くの企業が、ウイルス対策やファイアウォールといった入り口対策を導入しています。近年はEDRの導入やバックアップに取り組む企業も増えました。基本的な備えは、着実に広がっています。
ただ、守りの重心は依然として「入り口」に置かれたままのことが少なくありません。
侵入を防ぐ層は厚くなっても、侵入された後に「気付く」「戻す」、そして持ち出された後のデータを「使わせない」といった層は手薄になりがちです。攻撃側が入り口を抜ける前提で動いている以上、守り側も入り口の内側とその先までを設計に含める必要があります。
守りの重心は境界防御からゼロトラスト、そして「データの暗号化」へ
守りの考え方は、この十数年で段階的に変わってきました。まず、その流れを押さえておきます。
かつては、社内と社外とをネットワークで分け、その境界の内側を信頼する「境界防御」が主流でした。1990年代から2000年代にかけては、業務システムは社内に置かれ、社員は社内ネットワークから使うのが当たり前だったためです。ファイアウォールで境界を固め、内側は安全とみなす。城と堀にたとえられる守り方です。
2010年代に入ると、この前提が崩れます。
クラウドサービスやテレワークが広がり、扱うデータもアクセスする場所も社外へ出ていきました。「社内」という境界そのものが曖昧になり、内側なら信頼するという発想が通用しなくなったのです。
そこで重視されるようになったのが「ゼロトラスト」です。
何も信頼せず、アクセスのたびに本人か、正しい権限かを確認する。境界ではなく、一つ一つのアクセスを起点に守る考え方です（米国NISTはこの考え方を「NIST SP 800-207」として整理しています）。
そして、その確認を突き詰めると、最後に残るのがデータそのものです。ネットワークやIDを固めても、ファイルはメールや共有で社外へ渡り、持ち出されもします。
近年は、データを盗み出して公開をちらつかせる手口も確認されており、データが「外に出る」前提は、既に現実になりました。だからこそ、ファイル単位で保護し、外に出ても中身を使わせない「データの暗号化」「データ流出対策」が、守りの最後のよりどころになります。
ここで押さえておきたいのは、これらが入れ替わってきたわけではないという点です。
境界防御が不要になってゼロトラストが登場したわけでも、ゼロトラストの代わりにデータ対策があるわけでもありません。入り口を固める守りは今も必須で、そのうえにゼロトラスト、さらにデータの層が積み重なってきました。時代ごとに必要な守りが増え、重なってきた。これが実際の流れです。
守りを四つの層で組み直す
再設計の全体像は、四つの層で捉えると分かりやすくなります。侵入をできるだけ防ぐ「入り口」、入られたことに気付く「検知」、止まった業務を戻す「復旧」、そして漏れても中身を使わせない「データ」。それぞれの層に、大塚商会が扱う具体策のページをご用意しています。
四つの層と、対策のページ
正規の通信に紛れる攻撃を、
中身まで見て入口で見分ける
防ぎきれず入られた後、
端末の不審な動きに気付く
被害が出ても業務を止めない。
「取っている」から「戻せる」へ
漏れても中身を使わせない、
ファイル暗号化
特に四つ目の「データ」の層は、入口・検知・復旧までは着手が進む一方で、手薄なまま残りやすい層です。多くの企業に共通する見落としやすいポイントであり、重点の候補になりやすい層といえます。ここを加えることで、守りは「流出後」までつながります。
制度の動きも「入られる前提」を後押ししている
守りを層で考える流れは、制度の面からも後押しされています。経済産業省は、取引先を含めたサプライチェーン全体のセキュリティ対策を評価する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。
この制度は、米国NISTのフレームワークを参考に、防御だけでなく「検知」「対応」「復旧」といった、侵入された後の備えまでを評価の対象に含める方向で設計されています。加えて、委託先を含めたサプライチェーン全体の管理も問われます。
出典：「サプライチェーン強化に向けたセキュリティ対策評価制度」関連公表資料（経済産業省・IPA）
つまり、制度そのものが「防ぎ切れない前提」に立ち、多層での備えを求めているといえます。取引先からセキュリティ体制を問われる場面は、今後増えていくと考えられます。
SCS評価制度は2026年度の開始が予定されており、対策レベルに応じた星（★）区分での評価が検討されています（2026年7月時点）。要求事項の詳細や運用ルールは今後公表される部分があるため、最新情報は経済産業省・IPAの公表資料をご確認ください。
全部ではなく、自社の「重点」から ― 最小の投資で最大のリスクヘッジ
中堅・中小企業のセキュリティで大切なのは、全てを一度に完璧にすることではありません。限られた予算のなかで、最小の投資で最大のリスクを抑えることです。そのためには、自社にとって重点的に守るべきところはどこかを見極め、そこに絞って手を打つ。この順番が現実的です。
重点的に対策すべき点は、企業ごとに異なります。扱う情報も、取引先から求められる水準も、すでにある備えも違うからです。だからこそ、どこも同じ画一的な対策ではなく、自社の業務と優先順位に合わせて、必要なところから柔軟に組み合わせることが要になります。
大塚商会は、特定のメーカーやサービスに縛られず、用途と優先度に応じて必要なところからご提案できる立場にあります。まずは四つの層で自社を見渡し、重点の高い層から着実に。
派手な新しさよりも確かに続く守りを。5年後も今日と同じように業務が回っている状態を一緒に設計していきます。
不安の大きいところから、順次対応・見直しを
四つの層それぞれの考え方と具体策は、各層のページでご紹介しています。全てを一度に確認するのではなく、自社の業務と優先順位に照らして、気になる層から確かめてください。各層の資料は順次ご用意しており、現在は入り口対策の2点と、検知の対策1点の資料がダウンロード可能です。
