先日、社内で「ITエンジニアのためのサイバーセキュリティ基礎」という講義を担当しました（2026年2月）。対象は、セキュリティを専門にしているわけではない、ふつうに開発をしているエンジニアたち。
この記事は、そのときの資料をブログ用に書き起こしたものです。長くなったので前編・後編に分けてお届けします。
前編のテーマは、ひとことで言うと「99%は基本で防げる。ただし、攻撃者の目で自分を見たときに限る」です。
なぜ、エンジニアがセキュリティを学ぶのか
講義の冒頭で、私はいつもブレーキの話をします。
車のブレーキは、止まるために付いているのではありません。安心して速く走るために付いています。
セキュリティも同じです。「あれはダメ、これもダメ」と開発にブレーキをかけるための知識ではなく、アクセルを踏み込むための知識だと思っています。どこまでなら踏んでいいのかが分かっているから、思い切って攻められる。ブレーキのない車で全力疾走するのは、勇気ではなく無謀です。
先に、ひとつだけお願い
この記事では「攻撃者はどう考えるか」という視点を何度も使います。相手の思考を知らないと守れないからです。ただし——
大いなる力には、大いなる責任が伴う。
ここで書く内容は、自分と自分の組織を守るためのものです。他人のシステムに許可なく手を出せば、それは技術ではなく犯罪になります。手順そのものは書きませんが、この前提だけは共有させてください。
攻撃者の目 ① 銀行強盗と、空き巣
「自分の会社なんて狙われないでしょう」——これが一番よく聞く反応です。
たしかに、銀行の金庫を破るような攻撃は、周到な準備と高い技術を必要とします。狙われるのは、それに見合う価値のある相手だけです。
でも、攻撃者の大多数は銀行強盗ではなく空き巣です。空き巣は「あの家の資産価値」を調べてから入るわけではありません。鍵が開いている家を探して歩き、開いていたから入る。それだけです。
インターネットに公開されたサーバーは、常時スキャンされ続けています。そこに「うちは小さい会社だから」という論理は存在しません。狙われるかどうかではなく、開いているかどうかが問題なのです。
第1章 まず、全体像をつかむ
情報セキュリティと、サイバーセキュリティ
混同されがちですが、情報セキュリティのほうが広い概念です。紙の書類の管理も、鍵のかかるキャビネットも含まれます。その中で、ネットワークやコンピュータを介した領域を扱うのがサイバーセキュリティです。
情報セキュリティが守ろうとしているものは、伝統的に3つに整理されます。頭文字をとってCIAと呼ばれるものです。
- Confidentiality（機密性）— 見せてはいけない人に見せない
- Integrity（完全性）— 勝手に書き換えられていない
- Availability（可用性）— 必要なときに使える
「セキュリティ＝情報が漏れないこと」だと思われがちですが、サービスが止まること（可用性の喪失）も立派なセキュリティ事故です。ランサムウェアが恐ろしいのは、盗むだけでなく止めるからです。
脅威は、3つに分けて考える
脅威というと悪意ある攻撃者だけを想像しますが、実際には3種類あります。
- 意図的脅威— 攻撃、内部不正、不正アクセス
- 偶発的脅威— 操作ミス、設定ミス、紛失
- 環境的脅威— 災害、停電、機器故障
そして現場の感覚として、件数で見れば偶発的脅威のほうがはるかに多い。ここが重要なところです。
悪意がなくても、情報は漏れる
実際に起きているのは、こういうことです。
- メールの宛先をBCCではなくCCで送ってしまった
- クラウドストレージの共有設定が「リンクを知っている全員」になっていた
- ソースコードと一緒にAPIキーを公開リポジトリにコミットしてしまった
- 設定ファイルの入ったノートPCを電車に置き忘れた
どれも、悪意はゼロです。にもかかわらず、結果として起きることは「攻撃されたとき」と同じ。攻撃者は、こうしたミスが起きるのを待っているとも言えます。
で、被害はいくらになるのか
インシデントが起きたときのコストは、身代金だけではありません。調査費用、システムの復旧、業務停止による機会損失、顧客への通知と補償、そして信用の失墜。国内の事例でも、数千万円から数億円という規模の被害が報告されています。
「セキュリティ対策にコストをかけられない」という話をよく聞きますが、比較すべき相手はそちらです。
そして、この数字
マイクロソフトのレポートによれば、攻撃の99%は、基本的な対策で防げるとされています（Microsoft Digital Defense Report / セキュリティ衛生に関するガイド、2023年8月時点の公開情報）。
これは、私がこの講義でいちばん伝えたかった数字です。
裏を返せば——難しいことをやる前に、基本ができていないという現実がある、ということでもあります。
第2章 では、その「基本」とは何か
99%を止める基本対策は、驚くほどシンプルです。
- 多要素認証（MFA）を有効にする — パスワードは漏れる前提で考える
- OSとソフトウェアを最新に保つ — 既知の脆弱性が狙われる
- アンチマルウェアを導入する — 入口と端末の両方で
- 権限を最小限にする — 全員が管理者である必要はない
- データを分類して守る — 何が重要かを決めないと、守りようがない
目新しいものは一つもありません。知らないからできていないのではなく、知っているのにやっていない。ここが厄介なところです。
攻撃者の目 ② 攻撃は「準備」から始まる
攻撃者は、いきなり殴りかかってはきません。だいたい、こういう順番で進みます。
- 偵察 — 相手を調べる
- 攻撃仮説 — 「ここが弱そうだ」と当たりをつける
- 侵入 — 実際に入り込む
- 実行 — 目的を果たす
ここで大事なのは、攻撃者もコストを計算しているということです。偵察の段階で「これは手間がかかるわりに見返りが少なそうだ」と判断すれば、彼らは去っていきます。次の、もっと簡単な相手を探しに。
つまり守る側のゴールは「絶対に破られない要塞を作る」ことではなく、「割に合わない」と思わせることなのです。これは、かなり現実的で、達成可能な目標です。
偵察は、公開情報から始まる（OSINT）
偵察と聞くとハッキングを想像しますが、多くは公開されている情報を集めるだけです。これをOSINT（Open Source INTelligence）と呼びます。
- 会社のWebサイト — 組織構成、拠点、取引先
- 求人情報 — 「AWS / Kubernetes / 特定の製品名の経験者募集」＝使っている技術が分かる
- SNS — 社員の氏名、部署、行動パターン、写真の背景
- 技術ブログ・登壇資料 — アーキテクチャそのもの
どれも、公開して悪いものではありません。むしろ採用や技術広報のために必要なものです。ただ、それらを足し合わせると何が見えるかは、一度考えてみる価値があります。
その場にいるだけで、見えているもの
講義では、会場でその場で確認できることをいくつか紹介しました。ここでは手順は書きませんが、感覚だけ共有します。
スマートフォンのWi-Fi設定を開けば、周囲のアクセスポイント名が並びます。その名前が初期設定のままだと、機器のメーカーや型番が推測できてしまうことがあります。型番が分かれば、その機器に既知の脆弱性があるかどうかは、公開データベースを調べるだけです。
Bluetoothも同じです。「〇〇のiPhone」という名前が、そのまま持ち主の氏名を教えていることがあります。
誰も攻撃していません。ただ設定画面を開いただけです。それでもこれだけ見える。偵察とは、そういうものです。
結局いちばん狙われるのは、人
技術的な防御が固くなればなるほど、攻撃者は人を狙います。ソーシャルエンジニアリングです。
- なりすまし — 情報システム部を名乗る電話「パスワードのリセットが必要でして」
- 権威と緊急性 — 役員名義のメール「至急、この振込をお願いします」
- 親切心につけこむ — 荷物を抱えた人のために、入館ドアを押さえてあげる
3つめは技術がまったく登場しません。善意が突破口になる——ここが、この手口の嫌なところです。
偵察は、物理的にも行われる
カフェで開いたノートPCの画面は、後ろの席から読めます（ショルダーハッキング）。オンライン会議で共有した画面に、別のタブや通知が映り込むこともあります。
特別なことは何もしていません。ただ見えているものを見ただけ。それでも情報は漏れます。
攻撃は、段階的に行われる
ここまでの話をつなげると、こうなります。攻撃は偵察 → 侵入 → 内部での活動 → 目的達成という段階を踏んで進みます。
そして、基本対策の99%が効くのは「侵入」の段階です。MFAがあればパスワードが漏れても入られない。パッチが当たっていれば既知の脆弱性は使えない。権限が絞られていれば、入られても大したことはできない。
入口を固めるだけで、ほとんどの攻撃は止まる。だから「基本」なのです。
前編のまとめ
- セキュリティは、開発を止めるブレーキではなく、安心して速く走るためのブレーキ
- 攻撃者の多くは銀行強盗ではなく空き巣。狙われるかではなく、開いているか
- 脅威の多くは悪意ではなくミスから生まれる
- 攻撃の99%は基本的な対策で防げる（MFA・更新・アンチマルウェア・最小権限・データ分類）
- 攻撃者はコストを計算している。ゴールは「割に合わない」と思わせること
——では、残りの1%は？
基本を固めても止まらない攻撃が、たしかに存在します。そして、その1%と向き合うために生まれたのがゼロトラストでありサイバーレジリエンスという考え方です。
後編では、その1%の話から始めます。あわせて、AI時代のセキュリティ——攻撃者もまた、AIの恩恵を受けているという、少し背筋の寒くなる話にも触れます。
