Advertise on podcast: ジョーシスサイバー地経学研究所(JCGR)

企業を狙うサイバー攻撃は、どのように変化しているのでしょうか。近年は大企業のランサムウェア被害が相次いで報じられる一方、その背後では、脆弱性が公表されてから攻撃が始まるまでの時間が短くなり、攻撃者側の分業化や組織化も進んでいます。さらに、取引先や海外拠点など、セキュリティ対策が比較的弱い場所を足がかりにする攻撃も見られます。 今回のゲストは、セキュリティーやネットトラブル、モバイルなどの動向を長年取材してきたITジャーナリストの三上洋さんです。前編では、日本のサイバー脅威の最新トレンドを入り口に、既知の脆弱性への対応がなぜ難しいのか、USBメモリーの管理から見える基本的なセキュリティ運用の課題、そしてサプライチェーンの周辺から大企業へと侵入していく攻撃の実像について伺います。 さらに、AIがサイバー攻撃をどう変えつつあるのかを取り上げます。三上さんが指摘する大きな変化は、攻撃の「速度」と「量」です。脆弱性情報の収集や攻撃コードの作成、ポートスキャン、パスワードリスト型攻撃などの自動化が進み、AIエージェントが既存の攻撃者の能力を増幅する可能性も見えてきました。攻撃側と防御側の双方がAIを使う時代に、企業はどのような現実を見ておくべきなのかを考えます。 ■□ ハイライト □■ ・大企業だけを見ていては分からない、サイバー攻撃の全体像 ・脆弱性が公表されてから攻撃までの時間が短くなっている理由 ・「パッチを当てればよい」では済まない、企業システム運用の難しさ ・取引先や海外拠点など、弱い場所から侵入するサプライチェーン攻撃 ・AIによって変わる攻撃の速度、量、自動化 ＜ゲスト・プロフィール＞ ITジャーナリスト 三上 洋（みかみ・よう）さん 東京都世田谷区出身、1965年生まれ。都立戸山高校、東洋大学社会学部卒業。テレビ番組制作会社を経て、1995年からフリーライター・ITジャーナリストとして活動。文教大学情報学部非常勤講師。専門ジャンルは、セキュリティ、ネット事件、スマートフォン、ネット動画、携帯料金・クレジットカードポイント。 ■□ 収録後記 □■ 大企業へのサイバー攻撃が報じられると、どうしても「その企業が狙われた」と考えてしまいます。しかし三上さんのお話から見えてきたのは、攻撃者が最初から一社だけを狙うというより、広く侵入機会を探し、その先にある価値の高い標的へ進んでいくという構図でした。実際、大阪急性期・総合医療センターの事例では、病院そのものではなく給食事業者側から侵入した可能性が指摘されています。 もう一つ印象的だったのが、AIについての三上さんの「忠実に黙って実行してくれる優秀な部下」という表現です。AIが突然まったく新しい攻撃を生み出すというより、これまで人間が行ってきた作業を速く、大量に、自動的に実行できるようになる。その変化の方が、企業にとっては身近で現実的な脅威として表れているように感じます。 次回の後編では、ランサムウェアが企業活動を長く止める理由と、サイバー詐欺への備えについて伺います。 （JCGR編集部）

パスキーの普及が進む一方、個人がスマートフォンで使う場合と、企業が業務で導入する場合では、その運用方法が異なります。端末間で鍵を同期できる「マルチデバイスパスキー」は利便性が高い一方、企業では端末やOSが統一されているとは限らず、スマートフォンが全社員に配布されているとも限りません。後編では、こうした認証技術を実際の業務でどう運用するのかを掘り下げます。 今回のゲストは、ユーザー認証を手がけるYubicoで、日本・韓国のコマーシャル営業を統括するセールスディレクター、大友淳一さんです。後編では、FIDO2やWebAuthnを基盤とするパスキーを、企業がどのように選び、運用していくのかを具体的な現場の視点から伺います。 個人向けに広がる同期型のパスキーと、秘密鍵を特定のデバイスで管理するデバイス固定型パスキーの違いから、スマートフォンを持たない従業員への対応、PINとパスワードの違い、外部事業者も出入りする工場でのアクセス管理まで議論します。さらに、セキュリティキーを紛失した場合にどう対応するのかなど、導入後の「ラストワンマイル」となる運用についても掘り下げます。 ＜ゲスト・プロフィール＞ 大友 淳一（おおとも・じゅんいち） Yubico Japanコマーシャル営業部 部長 IT業界で10年のエンジニア経験と18年の営業経験を持ち、インフラ、アプリケーション、ITセキュリティ分野に幅広い知識を有する。新製品立ち上げの指揮、戦略的パートナーとの協業による市場開拓に強みを持ち、日本および韓国におけるYubicoのセールスリーダーとして事業拡大をけん引している。Yubico入社以前は、Gemalto、CA Technologies、Symantec、Veritasなどのテクノロジー企業でセールスリーダーや管理職を歴任。 ■□ 収録後記 □■ 後編で印象的だったのは、同じパスキーの技術でも、個人利用と企業利用では運用のあり方が異なるという点です。全社員がスマートフォンを持っているとは限らず、工場などではスマートフォンの持ち込みが制限される場合もあります。また、社員だけでなく外部の事業者がシステムを利用する現場では、契約終了時にアクセスを止める運用も必要になります。こうした環境に応じて、スマートフォンとセキュリティキーを使い分ける「適材適所」の考え方が紹介されました。 もう一つ興味深かったのは、セキュリティキーを「なくすこともある」という前提で運用を考えるという話です。紛失した場合には早く管理者へ報告し、登録されたキーを無効化したうえで、新しいキーへ切り替える。紛失を罰することで報告しにくくするのではなく、早期に対応できる運用のループをつくることが重要だと大友さんは話します。人とシステムをどう連携させるかも、実際のセキュリティ運用では重要になります。 （JCGR編集部） 【関連リンク｜Yubico公式】 ・三菱電機 導入事例 https://www.yubico.com/resources/reference-customers/mitsubishi-electric-case-study/ ・YubiKey 5 Series 製品・仕様 https://www.yubico.com/products/yubikey-5-overview/ ・Yubico 導入事例一覧 https://www.yubico.com/resources/reference-customers/ ・参考：YubiKeyの耐久性について（洗濯機・海水での事例） https://www.yubico.com/press-releases/yubikey-survives-ten-weeks-in-a-washing-machine/

生成AIの普及により、フィッシングメールや偽サイトは、自然な文章と精巧な画面を短時間で作れるようになりました。さらに、AIエージェントによる自動化が進めば、攻撃者は人手やコストを抑えながら、大量の標的に攻撃を仕掛けることができます。企業のサイバー防衛は、従業員が怪しいメールを見抜くことだけに依存できない段階に入っています。 今回のゲストは、ユーザー認証を手がけるYubicoで、日本・韓国のコマーシャル営業を統括するセールスディレクター、大友淳一さんです。Yubicoは2007年にスウェーデンで創業し、その後、米国のシリコンバレーへ拠点を移しながら事業を拡大してきました。 前編では、生成AIとAIエージェントによってサイバー犯罪がどのように巧妙化・自動化しているのかを整理します。そのうえで、従業員教育の必要性と限界、ワンタイムパスワードを使った従来型の多要素認証がフィッシングに破られる仕組み、FIDO2やWebAuthn、パスキーを支える公開鍵暗号方式について、身近な例を交えながら解説します。 ＜ゲスト・プロフィール＞ 大友 淳一（おおとも・じゅんいち） Yubico Japanコマーシャル営業部 部長 IT業界で10年のエンジニア経験と18年の営業経験を持ち、インフラ、アプリケーション、ITセキュリティ分野に幅広い知識を有する。新製品立ち上げの指揮、戦略的パートナーとの協業による市場開拓に強みを持ち、日本および韓国におけるYubicoのセールスリーダーとして事業拡大をけん引している。 Yubico入社以前は、Gemalto、CA Technologies、Symantec、Veritasなどのテクノロジー企業でセールスリーダーや管理職を歴任。 ■□ 収録後記 □■ 印象に残ったのは、「怪しいメールを見抜く」という判断自体が、個人の経験や職種、そのときの心理状態に左右されるという指摘です。差出人が上司や経営者に見えたり、急いでいるときに対応を求められたりすれば、普段は慎重な人でも判断を誤る可能性があります。AIが文章だけでなく、声や映像まで再現するようになれば、人の注意力だけに頼る防衛はさらに難しくなります。 一方で、強固な認証も「絶対に破られない」ということではありません。重要なのは、攻撃に必要な時間やコストを大きくし、犯罪者にとって狙いにくい環境をつくることです。従業員教育を続けながら、人が判断を誤っても被害につながりにくい仕組みを整える。その両方が、AI時代のセキュリティには求められています。 （JCGR編集部）

「何が起きているか完全に分からない状態で、トップは意思決定を迫られる」――。これが、大規模なサイバー攻撃やパンデミックなど、現代の危機管理に共通する最も過酷な特徴です。原因が特定できないまま被害の全容も見えず、さらにはSNSによって情報が錯綜し世論や社内が混乱する中で、経営者や政策担当者には迅速かつ的確な結論が求められます。  前編（Apple | Spotify）に引き続きゲストにお迎えするのは、政策研究大学院大学教授の竹中治堅先生。日本の首相のリーダーシップや統治機構研究の第一人者であり、過去の金融危機や東日本大震災、コロナ禍といった国家レベルの危機対応の検証を数多く手がけてこられました。  後編では、情報が不完全な有事において「機能するリーダーと機能不全に陥るリーダー」の決定的な違いについて掘り下げます。最前線の指揮官とトップを結ぶ直通回路の重要性や、近年激変するサイバー安全保障の法整備の背景にある政治的環境の変化、そして最大のボトルネックである「文理分断」の解消に向けた社会人の学び直し（リスキリング）の必要性について、組織論の観点から深く切り込みます。 ■□ ハイライト □■ 最悪の事態を想定する決断力：金融危機やコロナ初期の対応から学ぶ、情報不足の中で批判を恐れず行動するトップの要件 現場と鑑定を結ぶ直通回路。：東日本大震災の事例にみる、間に入る解釈を排除した最前線とのコミュニケーションチャンネル 国会環境の変化と急速な法整備：セキュリティクリアランスや能動的サイバー防御が、短期間で法制化へ向かう政治的背景 文理分断の解消と経営層のアンテナ：「政治の時代」における国際情勢のインテリジェンスと、エンジニア用語を翻訳する統括機能 40代からの学び直しと大学の役割：統計学・データサイエンス・国際政治を社会人が再修得する、少子高齢化時代における教育ガバナンス ＜ゲストプロフィール＞ 竹中 治堅（たけなか・はるかた）さん 政策研究大学院大学教授。東京大学法学部卒業後、大蔵省（現・財務省）に入省。プリンストン大学で政治学博士号を取得。日本政治、比較政治の研究と教育に従事。関心は首相の指導力、コロナ危機への対応過程、参議院の役割など。著作に『コロナ危機の政治：安倍政権vs.知事』『参議院とは何か – 1947〜2010』（2010年度大佛次郎論談賞受賞）『首相支配 —日本政治の変貌』など。政府の様々な政策に有識者として関わる。 ■□ 収録後記 □■ 竹中さんが自身の大学でも9月からサイバー関連の授業を履修予定であると明かし、「知らずを知る、これを記すなり。学びを常にアップデートしてないとついていけない」と語る姿勢には、経営層やリーダー層が持つべき本来のガバナンス意識のあり方を示されたように感じます。  かつては大企業でも事業部ごとのサイロ化によるITリスクが懸念されていましたが、現代のサイバーリスクは株価の低迷やインフラの停止など、経営や政治の動向に直結するシステミックリスクへと拡大しています。専門用語のハードルを越え、理系側も経営や政治に関心を持ち、文系側も技術の基礎を学び直すという「共通言語」の構築こそが、これからの不確実な時代を生き抜く組織の防衛線になるという教訓となりました。  （JCGR編集部）

サイバー攻撃や大規模障害が発生したとき、誰が意思決定を行い、誰が現場を動かすのでしょうか。 近年、日本では能動的サイバー防御（Active Cyber Defense）やセキュリティ・クリアランス制度、国家サイバー統括機能の強化など、サイバー安全保障をめぐる制度改革が急速に進んでいます。しかし、どれほど制度や技術を整備しても、有事に組織が動かなければ危機対応は機能しません。 そこで今回お迎えしたのは、日本政治と危機管理研究の第一人者である政策研究大学院大学教授・竹中治堅先生です。竹中先生は首相のリーダーシップや統治機構の研究を長年続けるとともに、経済安全保障に関する政府の有識者会議にも参画されています。 前編では、竹中先生の著書『コロナ危機の政治』を手がかりに、「なぜ首相権限は強化されたのに危機時には十分に機能しなかったのか」という問いを掘り下げます。コロナ禍で露呈した国と地方の権限構造、内閣官房・内閣府・デジタル庁の役割、そして危機対応におけるトップダウンと現場の関係性を整理しながら、サイバー危機への示唆を探ります。 また、国家サイバー統括機能や能動的サイバー防御の議論にも触れながら、日本のサイバー安全保障政策がどこまで進化しているのか、そして制度整備の先にある「組織」と「人材」の課題についても議論します。 サイバーセキュリティは技術の問題であると同時に、意思決定と統治の問題でもあります。本エピソードでは、政治学の視点からサイバー危機対応の本質を考えます。 ■ ハイライト ・首相権限はなぜ強化されたのか──30年にわたる統治改革の変遷 ・コロナ危機で露呈した「国は動けても現場は動かせない」構造 ・都道府県知事・政令指定都市・東京23区が持つ意外な権限 ・内閣官房、内閣府、デジタル庁は何が違うのか ・サイバー有事では誰が意思決定を担うべきなのか ・能動的サイバー防御と国家サイバー統括機能の現在地 ・制度整備の次に必要となるサイバー人材育成 ＜ゲストプロフィール＞ 竹中 治堅（たけなか・はるかた）さん 政策研究大学院大学教授。東京大学法学部卒業後、大蔵省（現・財務省）に入省。プリンストン大学で政治学博士号を取得。日本政治、比較政治の研究と教育に従事。関心は首相の指導力、コロナ危機への対応過程、参議院の役割など。著作に『コロナ危機の政治：安倍政権vs.知事』『参議院とは何か　– 1947〜2010』（2010年度大佛次郎論談賞受賞）『首相支配 —日本政治の変貌』など。政府の様々な政策に有識者として関わる。 ■ 収録後記 　サイバーセキュリティの議論では、どうしても技術や制度に注目が集まりがちです。しかし今回の対話を通じて強く感じたのは、「危機対応を決めるのは組織であり、人である」という当たり前で重要な事実でした。 コロナ危機、金融危機、そしてサイバー危機。対象は異なっても、不完全な情報の中で意思決定を行い、平時のルールと有事の現実の間で組織を動かさなければならない点は共通しています。 サイバー攻撃への備えを考える際にも、技術対策だけでなく、「誰が決めるのか」「どこまで権限を委譲するのか」「有事を想定した訓練をしているか」という視点がますます重要になっていくのではないでしょうか。 後編は7月10日に公開予定。 （JCGR編集部）

2026年度中、中小企業のビジネスや取引要件を大きく変える可能性を秘めた新制度「サプライチェーンセキュリティ評価制度（SCS評価制度）」が本格始動します。これまでの形式的なチェックシートから、第三者評価を交えた「星（レベル）による可視化」へと移行する中、企業はどのように対応すべきなのでしょうか。 後半では、引き続き株式会社セキュアオンラインの角田優剛CEOと宮腰行生CTOをお迎えし、間近に迫る新制度の概要と、それが営業や受注活動に与えるリアルな影響について深掘りします。 さらに、社内で孤立しがちな「一人情シス」やセキュリティ担当者が、技術的・精神的な防御力を高めるために必要不可欠な「コミュニティと情報共有の価値」について、同社が仕掛けるユニークな啓蒙活動や交流会の実態とともにお届けします。 ＜お知らせ＞ セキュアオンラインでは、7月16日（木）にセキュリティ専門家交流会の開催を予定しています。専門家による講演に加え、参加者同士の交流会も実施します。ご参加を希望される方は、ぜひホームページをチェックしてください！ ■□ ハイライト □■ 2026年後半の重要テーマ： 取引要件や営業活動を左右する「サプライチェーンセキュリティ評価制度（SCS評価制度）」の概要自己評価から第三者評価へ： 「星」による可視化がもたらす、バラバラだったヒアリングシートの統一化と簡素化経営層への説得材料： 孤独な情シスが予算と人員を確保するための「共通基準」としての活用法精神的防御力を高める： 「自分の判断は正しいのか？」孤立しがちな担当者を救う横のつながりと秘密保持の安心感「サイバー課長」の啓蒙活動： 専門家が代わりに作る社内回覧用メディアが、社員のセキュリティ意識を変える＜ゲスト・プロフィール＞ 角田 優剛（つのだ・ゆうご）さん 株式会社セキュアオンラインCEO。2011年1月にWEBマーケティング会社、株式会社シーズ・クリエイトを設立。さまざまな業種・企業のWEBサイト構築、マーケティングに従事。2014年に「サイバーセキュリティ.com」を開設。月間100万PVを超える国内最大級のサイバーセキュリティ専門メディアに成長している。2020年4月に株式会社セキュアオンラインを立ち上げ、日本国内の企業におけるセキュリティ意識の啓発、セキュリティ人材育成などを提供。企業の資産となる「情報を守ること」のサポート事業を展開している。  宮腰行生（みやごし・ゆきお）さん 株式会社セキュアオンライン CTO / 株式会社アクシス 代表取締役。国家資格「情報処理安全確保支援士（登録セキスぺ）」を保有し、数多くのインシデント現場やランサムウェア被害の最前線に立ち向かってきた実務家。技術と経営の両面から企業の守りを固めるコンサルティングを得意とする。 ■□ 収録後記 □■ 宮腰さんの「技術的な防御力だけでなく、精神的な防御力も高めるコミュニティが必要」という言葉に、深く頷かされました。自社だけで抱え込み、時に自分の責任だと押しつぶされそうになる現場の担当者にとって、同じ目線で「うちはこう判断した」と言い合える仲間の存在は、何よりの救いになるはずです。 角田さんが紹介してくださった、ペラ1枚の「サイバー通信」を社内回覧するアイデアも秀逸でした。情シスが社内でいくら叫んでも響かない警告が、外部メディアという「第三者の声」になるだけで、すんなり受け入れられる。新制度への対応もコミュニティの活用も、まずはアレルギーを捨てて「専門家に一歩相談してみる」ことから、新しい守りの形が始まるのだと感じる配信でした。 （JCGR編集部）

「セキュリティ人材が足りない」「何から対策を始めればいいのかわからない」――。これは、現代の多くの中小企業や情報システム部門（情シス）が直面している切実な叫びです。マクロなデータで「人材不足」が叫ばれ始めてから10年以上が経過した今もなお、現場と経営のギャップは埋まっていません。 今回のゲストは、サイバーセキュリティのWebメディア運営や人材マッチング事業を展開する株式会社セキュアオンラインの代表取締役・角田優剛さんと、同社CTOであり情報処理安全確保支援士（通称、登録セキスペ）として現場のコンサルティングを数多く手がける宮腰行生さん。 前編では、PCのキッティングやプリンターの修理に追われながらセキュリティ対策まで手が回らない「一人情シス」のリアルな課題や、巧妙化するサプライチェーン攻撃の実態、そして限られた予算の中で中小企業が賢く専門家を頼るための新基盤「セキュリティエージェント」の価値について深掘りします。 ■□ ハイライト □■ 「のび太がドラえもんを呼ぶよう」な情シス現場の忙しさと人材不足の解像度学習時間が取れない！最新知識のアップデートを阻む「環境の壁」有資格者のみが登録。必要な時に必要な分だけ頼れる「オンデマンド専門家」の仕組み「まさかうちの会社が…」ニュースにならない中小企業が狙われるサプライチェーンの盲点全方位投資は不要！高額なツールに頼る前にやるべき「リスクアセスメント」と現有資産の設定見直し ＜ゲスト・プロフィール＞ 角田 優剛（つのだ・ゆうご）さん 株式会社セキュアオンラインCEO。2011年1月にWEBマーケティング会社、株式会社シーズ・クリエイトを設立。さまざまな業種・企業のWEBサイト構築、マーケティングに従事。2014年に「サイバーセキュリティ.com」を開設。月間100万PVを超える国内最大級のサイバーセキュリティ専門メディアに成長している。2020年4月に株式会社セキュアオンラインを立ち上げ、日本国内の企業におけるセキュリティ意識の啓発、セキュリティ人材育成などを提供。企業の資産となる「情報を守ること」のサポート事業を展開している。  宮腰行生（みやごし・ゆきお）さん 株式会社セキュアオンライン CTO / 株式会社アクシス 代表取締役。国家資格「情報処理安全確保支援士（登録セスペ）」を保有し、数多くのインシデント現場やランサムウェア被害の最前線に立ち向かってきた実務家。技術と経営の両面から企業の守りを固めるコンサルティングを得意とする。 ■□ 収録後記 □■ 角田さんの「手を挙げればセキュリティがわかると言う人は多くても、本当に信用できるかを担保する基準が必要」という言葉や、宮腰さんが指摘する「すべての対策を自社で常時雇用して抱え込む必要はない」という現実的なアドバイスには、ハッとさせられるものがありました。 モデレーターの川端さんが「自動車を買う前にプロに相談するのと同じで、ライフスタイルに合わせたセキュリティ設計が重要」と例えたように 、慌てて高額なシステムを導入して重複投資になる前に、まずは信頼できる「相談相手」を見つけることこそが、現代の中小企業におけるITガバナンスの第一歩なのだと感じさせられる内容です。 （JCGR編集部）

前編に引き続き、経営コンサルタントとして30年以上のキャリアを持つ、CIC Japan会長・A.T.カーニー日本法人前会長の梅澤高明さんを迎え、松本恭攝ジョーシス株式会社CEOとの対談をお届けします。 前編はこちら ⇒ Apple Podcasts | Spotify 後編では、前編で浮き彫りになった「手作業によるSaaS管理の限界」に対する解決策として、ジョーシスが提供する「AIを活用した自律型SaaSマネジメント」の全貌に迫ります。AIがいかにして企業のITガバナンスを自動化し、情報システム部門を「コストセンター」から「戦略部門」へと進化させるのかを深掘りします。 さらに、日本発スタートアップが世界基準で戦うための「ボーン・グローバル」戦略や、M&Aを成功に導くIT統合の要諦など、次世代の経営者やリーダーに求められる「ITアーキテクト」としての哲学を語り尽くします。 ＜キーワード＞ オンプレミスからSaaSまで、データを一元化する「3つのAIエンジン」の仕組み   AIエージェント「オーナーファインダー」が実現する、管理者の自動特定と権限取得  情報システム部門の劇的な進化最初からエコシステムに組み込まれる「ボーン・グローバル」設計と、世界標準の戦い方   M&Aの失敗を防ぐ、異なるITインフラを即座に統合するジョーシスの強み   これからの経営者に求められる「フレキシビリティとレジリエンスを備えたデータ設計」    今回は梅澤さんのVoicy「イノベーションの流儀」とのコラボ企画で、松本CEOが起業家としてのストーリーを語っています 。本編とあわせてぜひお聞きください。＜ゲストプロフィール＞ 梅澤高明さん（うめざわ・たかあき） 東京大学法学部卒、MIT経営学修士。KEARNEYのコンサルタントとして日米で30年にわたり、戦略・イノベーション・マーケティング・組織および都市開発のテーマで企業を支援。2014〜2026年、A.T.カーニー日本法人会長。2019年からCIC Japan会長、国内最大級の都心型イノベーション拠点「CIC Tokyo」の立上げを主導。内閣府「知的財産戦略本部」本部員、観光庁「地方における高付加価値なインバウンド観光地づくり検討委員会」座長。ほか、クールジャパン、税制などの政府委員会で委員を務める。一橋ICS（大学院国際企業戦略専攻）特任教授。『NEXTOKYO Project』を主宰し、東京の将来ビジョン・特区構想を産業界・政府に提言。著書に『NEXTOKYO 「ポスト2020」の東京が世界で最も輝く都市に変わるために』（共著、日経BP社）、『最強のシナリオプランニング』（東洋経済新報社）など。 松本恭攝さん（まつもと・やすかね） 2008年慶應義塾大学卒業後、A.T.カーニーに入社。2009年ラクスル株式会社を設立、代表取締役CEOに就任。ラクスルは2018年に東証マザーズ（現グロース市場）、19年に東証一部（現プライム市場）に上場。事業の多角化を推進し、15年に物流シェアリング事業「ハコベル」を、20年にTVCM事業「ノバセル」を、21年にITデバイス&SaaSの統合管理システム「ジョーシス」を立ち上げる。22年には自ら立ち上げたジョーシスの経営に専念するため事業をカーブアウト、ジョーシスCEOに就任。23年にラクスルのCEOを退任し、会長に就任。 ■□ 収録後記 □■ 「今日の話を経営者にそのまま聞いてもらうのが一番早い」という梅澤さんの言葉が、後半のすべてを物語っています。AIがシステムのメンテナンスから社内の権限確認までを自律的に行う時代において 、特定のツールに依存せず、柔軟なデータレイヤーの設計ができる「ITアーキテクト」の育成は、一企業を超えた国としての重要課題だと再認識させられました。情報システム担当として孤独な戦いを続ける皆様、そして決裁を行う経営陣にこそ届いてほしいエピソードです。 （JCGR編集部）

今回のゲストは、経営コンサルタントとして30年以上のキャリアを持つ、CIC Japan会長・A.T.カーニー日本法人前会長の梅澤高明さんを迎え、松本恭攝ジョーシス株式会社CEOが企業が抱えるITガバナンスの課題とジョーシスのソリューションと世界観について語ります。 前編では、SaaS導入時の形式的な審査だけでは防げないリスクの正体や、多くの企業で「手作業の限界」により放置されている退職者・外部委託先のアカウント（オーバーアカウント）問題など、今日から見直すべき現場のリアルな課題と、それを解決するプロダクトの役割について深掘りします。ITガバナンスをめぐるビジネスリーダーだちの議論に注目です。 ＜キーワード＞ DXの裏側で進む「SaaSの指数関数的増加」と管理の形骸化「手作業の限界」が招く退職者・外部委託アカウントの放置サイバー攻撃・内部不正の温床となる「オーバーアカウント」の危うさジョーシスが実現する「入り口から出口まで」の自動化と統制「守り」から「攻め」のインフラへ。経営戦略としてのIT管理今回は梅澤さんのVoicy「イノベーションの流儀」とのコラボ企画で、松本CEOが起業家としてのストーリーを語っています。 ＜ゲストプロフィール＞ 梅澤高明さん（うめざわ・たかあき） 東京大学法学部卒、MIT経営学修士。KEARNEYのコンサルタントとして日米で30年にわたり、戦略・イノベーション・マーケティング・組織および都市開発のテーマで企業を支援。2014〜2026年、A.T.カーニー日本法人会長。2019年からCIC Japan会長、国内最大級の都心型イノベーション拠点「CIC Tokyo」の立上げを主導。内閣府「知的財産戦略本部」本部員、観光庁「地方における高付加価値なインバウンド観光地づくり検討委員会」座長。ほか、クールジャパン、税制などの政府委員会で委員を務める。一橋ICS（大学院国際企業戦略専攻）特任教授。『NEXTOKYO Project』を主宰し、東京の将来ビジョン・特区構想を産業界・政府に提言。著書に『NEXTOKYO 「ポスト2020」の東京が世界で最も輝く都市に変わるために』（共著、日経BP社）、『最強のシナリオプランニング』（東洋経済新報社）など。 松本恭攝さん（まつもと・やすかね） 2008年慶應義塾大学卒業後、A.T.カーニーに入社。2009年ラクスル株式会社を設立、代表取締役CEOに就任。ラクスルは2018年に東証マザーズ（現グロース市場）、19年に東証一部（現プライム市場）に上場。事業の多角化を推進し、15年に物流シェアリング事業「ハコベル」を、20年にTVCM事業「ノバセル」を、21年にITデバイス&SaaSの統合管理システム「ジョーシス」を立ち上げる。22年には自ら立ち上げたジョーシスの経営に専念するため事業をカーブアウト、ジョーシスCEOに就任。23年にラクスルのCEOを退任し、会長に就任。 ■□ 収録後記 □■ 梅澤さんの「リスクは指数関数的に増えている」という経営的な警鐘と、松本さんが語る「アカウント削除漏れ」という現場のリアリティが重なり、ITガバナンスがもはや現場だけの問題ではないことが浮き彫りになりました。 特に「業務委託が終わっても中のデータが見えてしまう」というエピソードは、多くの企業が抱える「手作業による管理の限界」を象徴しています。効率化と安全性をいかにテクノロジーで両立させるか。そのヒントが詰まった対談です。 （JCGR編集部）

前回（前半）は、AIが単なるツールから自律的な「デジタル社員（AIエージェント）」へと進化するパラダイムシフトについて伺いました。 前半はこちら ⇒ Apple Podcasts | Spotify 後半となる今回は、AIエージェントが普及した「その先の未来」を予見します。人間が画面を操作するUI（ユーザーインターフェース）から、AIが直接ソフトウェアを操作するAPI主体の時代へ 。これに伴い、従来のユーザー単位の課金モデルから、タスクの処理量や生み出した価値に基づく「成果ベース」へとビジネスモデルが進化していく可能性について深掘りします 。 チェック・ポイント・ソフトウェア・テクノロジーズ日本法人社長の佐賀文宣さんが、AI時代の新たなインフラの姿と、人間に見えないサイバー攻撃から組織を守り抜くための経営戦略を語ります。 ■□ ハイライト □■ UI（画面）からAPIへ：ソフトウェアの役割が「機能」へ進化する:  人間が画面を介さず、AIエージェントがAPIを通じてソフトウェアを直接操作する世界が到来しています。これにより、ライセンス形態も従来の「社員数単位」から、エージェントの数や処理単位（トランザクション）に応じたモデルへと変化し始めています。 「間接的プロンプトインジェクション」という新たな脅威: メールの中に人間には普通の文章に見える「AIへの命令文」を埋め込む、人間に見えない攻撃手法が登場しています。AIを騙して情報を流出させたり、不正なメールをばらまかせたりするリスクに対し、動作を検知して止める「ガードレール」の重要性が高まっています。 サイバー攻撃の「工業化」とサプライチェーンの自分事化:  AIによって攻撃が自動化・大規模化（工業化）され、企業規模や知名度に関係なく無差別に弱点が狙われる時代です。ティアの深いサプライチェーンの一角が狙われるだけで全稼働が止まるリスクを、すべての経営者が自分事として捉える必要があります。 AIを「正しく可視化する力」が企業の競争力になる: どのAIがどのようなデータにアクセスし、何を判断しているのか。これを見えないまま使うことは大きなリスクを伴います。AIの挙動を可視化し、管理できる状態にしておくことこそが、これからの企業のAI戦略における核心です。 「禁止」ではなく「使いこなしながら守る」経営視点 : AIの使用を禁止しても、従業員は個人IDで「野良AI」を使い続けてしまいます 。経営者に求められるのは、AIが万能ではないことを理解した上で、いかに可視化・管理し、活用と防衛を両立させるかという視点です。 ＜ゲスト・プロフィール＞ 佐賀 文宣（さが・ふみのり）さん チェック・ポイント・ソフトウェア・テクノロジーズ株式会社 日本法人代表取締役社長 チェック・ポイント日本法人の拡大を主導し、顧客およびパートナーとの継続的な信頼の上、チェック・ポイントの戦略的方向性である「You Deserve the Best Security（お客様である企業や組織に最高のセキュリティを構築する）」の実現をミッションとする。直近では、ZVC Japan 株式会社 (Zoom Video Communications, Inc.の日本法人)にて、社長を務めビジネスを大きく成長させた。ZVC Japan入社前は、2013年からヴイエムウェア株式会社でパートナービジネスを統括。2006年から2013年にかけては、シスコシステムズ合同会社にて、同社が買収したWebexのパートナー開拓に携わる。1992年に日本アイ・ビー・エム株式会社へ入社し、大和研究所にてThinkPadの開発部門に配属。1992年北海道大学工学部修士課程を修了。 ■□ 収録後記 □■ 佐賀さんのお話を通じて、AIを「導入するかどうか」という段階は終わり、いかに「高い透明性を持って使いこなすか」というフェーズに入ったことを痛感しました 。特に、AI同士が連携することで組織の境界が曖昧になるという指摘は、従来のIT管理の常識を大きくアップデートするものです 。 攻撃が「工業化」される厳しい現実があるからこそ、AIの行動を可視化し、リスクをコントロールする技術が企業の真の武器になります 。「AIは間違えることもある」という前提に立ち、それを見守りながら活用する。この誠実な管理の姿勢が、AI時代の勝者を分けるのだと感じました。 （JCGR編集部）

毎週のように新しいツールやモデルが発表される現在のAIシーン。何を使えば正解なのか、ツールが多すぎて追いつけない。そんな「AI疲れ（AI Fatigue）」を感じている方も多いのではないでしょうか。 今回のゲストは、チェック・ポイント・ソフトウェア・テクノロジーズ日本法人社長の佐賀文宣さん。佐賀さんは、現在の混乱を「AIの限界」ではなく、AIが単なるツールから「企業の競争力を左右するインフラ」へと変貌する、本格的な普及期の入り口であると指摘します。 前編では、主要なAIプレイヤーの特性整理から、今まさに起きている「AIエージェント」への進化、そしてAIを「デジタル社員」としてどうマネジメントすべきか、その本質的な向き合い方を深掘りします。 ■□ ハイライト □■ 「AI疲れ」の正体は、仕事の仕組みが変わる「混乱」 現在の状況は、特定の課題を解くだけだった過去のAIブームとは異なります。AIがアプリケーションとして人間のワークフローに自律的に入り込み始めたことで、既存の仕事の仕組みが根底から揺らいでいることへの戸惑いが「疲れ」として表れているのです。 主要AIプレイヤーが構築する「インフラ化」の波 単なるモデルの性能比較ではなく、APIを通じて広がるOpenAIのエコシステム、検索やGmailと統合されたGoogleのGemini、長文読解と安全性に長けたAnthropicのClaude。AIが「選んで使うもの」から、ビジネスを支える「基盤」へと変わりつつある現状を整理します。 ツールから「AIエージェント（デジタル社員）」へ 目標を与えれば自ら計画を立て、実行し、評価まで行う「AIエージェント」の登場。それはもはや単なる道具ではなく、専門性を持ったチームや「デジタルなインターン」に近い存在です。1つのスーパーAIではなく、小さなエージェントを組み合わせて組織化する未来像を語ります。 「堂々と間違えるインターン」をどう管理するか AIはハルシネーション（もっともらしい嘘）をつくことがあります。優秀に見えても、時には現場の機微を理解せず間違える。この「自律的に動くがミスもする」存在をブラックボックス化させず、可視化し、ガバナンスしていくことが経営の鍵となります。 ＜ゲスト・プロフィール＞ 佐賀 文宣（さが・ふみのり）さん チェック・ポイント・ソフトウェア・テクノロジーズ株式会社 日本法人代表取締役社長 チェック・ポイント日本法人の拡大を主導し、顧客およびパートナーとの継続的な信頼の上、チェック・ポイントの戦略的方向性である「You Deserve the Best Security（お客様である企業や組織に最高のセキュリティを構築する）」の実現をミッションとする。 直近では、ZVC Japan 株式会社 (Zoom Video Communications, Inc.の日本法人)にて、社長を務めビジネスを大きく成長させた。ZVC Japan入社前は、2013年からヴイエムウェア株式会社でパートナービジネスを統括。2006年から2013年にかけては、シスコシステムズ合同会社にて、同社が買収したWebexのパートナー開拓に携わる。1992年に日本アイ・ビー・エム株式会社へ入社し、大和研究所にてThinkPadの開発部門に配属。1992年北海道大学工学部修士課程を修了。 ■□ 収録後記 □■ 佐賀さんのお話の中で非常に分かりやすかったのが、AIを「堂々と間違えるインターン」と例えた視点です。 期待しすぎるのでもなく、分からないからと禁止するのでもなく、その「思考プロセス（入り口と出口）」を見える化してマネジメントする。この姿勢は、従来のIT管理の枠を超えて、まさに「新しい時代の組織づくり」そのものであると感じました。 後半（4月10日公開予定）では、このAIエージェントが普及した世界で「ソフトウェアのビジネスモデル」や「セキュリティの境界線」がどう激変していくのか、さらに一歩踏み込んだ未来図を伺います。お楽しみに！ （JCGR編集部）

前回（前半）は、民間と行政の境界を「溶かす」文脈の重要性や、孤立する「一人情シス」を救うための日本初の情報職採用モデルについて伺いました。 ▼前編はこちら 「官民の壁を「溶かす」文脈の力と、一人情シスを救う「広島モデル」の衝撃」 Apple Podcasts | Spotify 後半となる今回は、セキュリティ投資を「ROI（投資利益率）」の枠組みから解き放ち、企業が10年後も生き残るための「信頼資本（Trust Capital）」として再定義します。ブラックハット（Black Hat）などの国際カンファレンスで目撃した最前線の潮流から、日本独自の「安全神話」の終焉、そして失敗を隠さず「集合知」に変えていくための新たな組織体「ガブレット（Govlet）」の構想まで、桑原さんの多角的な視点が光ります。 DXを単なる効率化ではなく、「Dream eXpression（夢の実現）」と読み解く桑原さんの力強いメッセージは、日々現場で奮闘するすべてのIT・セキュリティ担当者の心に灯をともすはずです。 ■□ ハイライト □■ 「ROI」で測れないセキュリティの真価：セキュリティ投資を「今年いくら儲かったか」で判断するのは、1990年代の自動車安全装備（衝突安全システム）への議論と同じです 。かつてはオプションだった安全機能が今は標準装備であるように、セキュリティもまた、企業の「信頼資本」を支えるエッセンシャルな要素へと進化すべき時期に来ています。 「冷蔵庫を開けたら攻撃者がいる」ゼロトラストの現実：日本の「安全島国」という地政学的思考は、サイバー空間では通用しません。境界型防御の限界を超え、「すでに攻撃者が家の中にいる」ことを前提としたゼロトラストの考え方と、攻撃されても立ち上がる力（レジリエンス）の重要性を説きます。 失敗を資産に変える「ガブレット（Govlet）」の挑戦： 行政や企業において「失敗」は隠すべきものとされがちですが、それはITガバナンスにおける「隠蔽」のリスクを生みます。自治体同士が失敗や成功の事例を共有し、境界を超えた「集合知」を構築するためのプラットフォーム「ガブレット」が目指す、境界のない連携の形を伺います。 DX成功のピラミッド：共感が技術を動かす 桑原さんが提唱するDX成功の4プロセス。それは、「共感（Empathy）」「技術（Technology）」「信頼（Trust）」「成長（Growth）」の積み重ねです。頂点の「成功（Success）」に至るためには、何よりもまず「共感」という種を蒔くことから始まります。 現場で闘う人々へのエール：技術の主役は常に「人」 「技術は道具であり、主役は常に人である。」一人ひとりの現場に灯した小さな明かりが、やがて組織を照らす大きな光になるという、桑原さん自身のキャリアに裏打ちされた感動的なエールで締めくくります 。 セキュリティ投資は「10年後の信頼資本」への投資：単年の利益（ROI）で測るのではなく、企業が生き残るための「信頼」を積み上げる投資姿勢が求められています 。 ＜ゲスト・プロフィール＞ 桑原義幸（くわはら・よしゆき）さん 前広島県情報戦略部長(2024年3月退官)。デジタルイクイップメント、KPMG、Arthur Andersen（現PwC）等の米系企業にてIT分野の研究開発や経営コンサルティング業務に従事。 2003年の金融庁入庁を皮切りに会計検査院、原子力規制委員会、福岡市などの情報部門責任者として要職を歴任。 2011年広島県CIOに就任し、退官までの13年間で同県をデジタル先進県へと導いた。現在、NECエグゼクティブストラテジスト、株式会社ArteVisione&Co. 代表取締役、株式会社Trive常務執行役員社長補佐兼CTOなど複数の業務に従事。 ■□ 収録後記 □■ 桑原さんのお話の中で特に深く心に刻まれたのは、「成功のピラミッド」という考え方です。ピラミッドの頂点にある「成長」や「成功」へと至る土台には、技術（Technology）よりも先に「共感（Empathy）」が必要であるという視点は、効率を急ぎがちな現代のITプロジェクトにおいて見失われがちな本質ではないでしょうか。 また、セキュリティを「自動車の安全装備」に例え、かつてはオプションだったものが今や標準（エッセンシャル）となったという歴史の変遷も、現在のIT環境と重なり非常に説得力がありました。 目に見えないサイバー空間だからこそ、経営者が「信頼」という無形の資本を育てるために、どのような「投資の姿勢」を持つべきか。桑原さんの言葉は、「孤独な皿回し」を続ける担当者だけでなく、組織の未来を担うリーダーたちへの力強い指針となるはずです。 （JCGR編集部）

今回のゲストは、民間と行政の境界線を「Beyond Borders」の精神で歩み続けてきた桑原義幸さんです。 桑原さんは、外資系IT企業やコンサルティングファームを経て金融庁など中央省庁や福岡市の情報部門責任者を歴任し、広島県で13年にわたり初代情報戦略担当部長として地方自治体のDXを牽引してきたという、官民をまたいで希有な経歴をお持ちです。技術論だけでは決して突破できない「官民の壁」をいかにして「溶かして」きたのか。そして、地方自治体や中小企業が抱える「一人情シスの孤独」という切実な課題にどう向き合ってきたのか。 前編では、DXの本質を「Dream eXpression（夢の実現）」と定義する桑原さんの哲学と、日本初となる独自の「情報職」採用・育成プログラムを通じた組織変革の軌跡を詳しく伺います。 ■□ ハイライト □■ 官民の壁は「壊す」のではなく「溶かす」： 民間と行政の間に横たわる前例主義やスピード感のギャップ。桑原さんはこれを技術論で突破しようとするのではなく、「なぜやるのか」「誰のためにやるのか」という「文脈（ストーリー）を紡ぐ」ことで、双方の理解を腹落ちさせ、境界線を溶かしていくプロセスを重視してきました。 DX＝「Dream eXpression（夢の実現）」：AIが「それっぽい正解」を瞬時に出す時代だからこそ、人間に求められるのは「良い問いを立てる力（右脳的思考）」です。フェラーリのデザインが「風との対話」から生まれたように、IT投資を単なるコスト削減ではなく、どんな未来を作りたいかという「想像（創造）」に変えていく思考法を提案します。 「皿回し」状態の一人情シスを救う「DXship(デジシップ)」： 数千人規模の基礎自治体でも、提供すべき行政サービスは都市部と同じ。限られた人数で無数のシステムを回す「孤独な皿回し」状態の担当者を救うため、広島県では都道府県として初となる「情報職」という専門職種を新設 。県で一括採用・育成した専門人材を市町へ派遣する「チーム広島」の画期的な仕組みを構築しました。 専門職としての誇りとキャリアパスの設計：3年ごとの人事異動で専門性が蓄積されない行政の課題に対し、4年かけて「情報職」のコンピテンシー定義やキャリアパスを確立 。最終ゴールに「CISO/CIO」だけでなく「民間でも通用する人材」を掲げ、情シス担当者が誇りを持てる土壌を整えた苦労と成果を語ります。 ＜ゲスト・プロフィール＞ 桑原 義幸（くわはら・よしゆき）さん  前広島県情報戦略部長(2024年3月退官)。デジタルイクイップメント、KPMG、Arthur Andersen（現PwC）等の米系企業にてIT分野の研究開発や経営コンサルティング業務に従事。 2003年の金融庁入庁を皮切りに会計検査院、原子力規制委員会、福岡市などの情報部門責任者として要職を歴任。 2011年広島県CIOに就任し、退官までの13年間で同県をデジタル先進県へと導いた。現在、NECエグゼクティブストラテジスト、株式会社ArteVisione&Co. 代表取締役、株式会社Trive常務執行役員社長補佐兼CTOなど複数の業務に従事。 ■□ 収録後記 □■ 桑原さんのお話の中で最も印象的だったのは、DXの「X」を「トランスフォーメーション」という難しい言葉ではなく、「eXpression（表現・実現）」と捉える視点です。とかく技術的なスペックやコストの議論に終始しがちなITの世界に、「どんな夢を叶えたいか」という人間中心の温度感を持ち込むことの大切さを教わりました。 また、地方自治体で孤軍奮闘する担当者の「やっと一人じゃなくなった」という言葉には、組織の壁を超えた連携の真の価値が凝縮されています 。 後半（3月13日公開予定）は、「信頼資本」と「失敗の資産化」というさらに深いテーマに踏み込んでいきます。どうぞお楽しみに。 （JCGR編集部）

有名ホワイトハッカー西尾素己さんを迎えた前回（前半）は、ランサムウェア攻撃が「RaaS」としてビジネス化している実態や、検知を逃れる巧妙な潜伏技術、そして現代の最大の火種である「インフォスティーラー」の脅威について深掘りしました。  ▼前編はこちら 有名ホワイトハッカーが語るアサヒHDサイバー攻撃の裏側：境界型防御の終焉と「潜伏」の技術（ホワイトハッカー 西尾素己さん【前半】） Spotify | Apple Podcasts 今回はその後半戦。なぜ多額の予算をかけた「模擬攻撃（ペネトレーションテスト）」をすり抜けて侵入を許してしまうのか。そして、バックアップを取っていたはずの企業が、なぜ数ヶ月もの復旧期間を要するのか。ホワイトハット（善意のハッカー）の視点から、従来のセキュリティ対策の「死角」を鋭く指摘していただきます。 ■□ ハイライト □■ ペネトレーションテストは「万能」ではない： 侵入のルート（アタックパス）は数万通り存在し、テストですべてを網羅することは不可能です。業者が穴を見つけられなかったのではなく、サンプリングチェックとしてのテストの限界を理解し、いかに「面」で守る戦略を立てるかが重要であることを説きます 。 「年商4,000億円」を稼ぐランサムウェア業者の経済合理性：  RaaS（サービスとしてのランサムウェア）の運営者は、ロシアの富豪（オリガルヒ）を超える数千億円規模の収益を上げています。この莫大な利益がさらなる技術投資を生む「悪のサイクル」と、法律遵守を優先する大企業よりも、キャッシュフロー維持のために身代金を支払ってしまう中小企業がターゲットにされている現実を明かします。 バックアップがあるのに「復旧できない」技術的背景： データ自体は無事でも、OSより下のレイヤー（BIOSやUEFI）や設定ファイル（コントロールプレーン）が汚染されている場合、復旧先を完全に「除染」できなければ再開は不可能です。バックアップが機能しない深層的な理由と、設計段階からセキュリティを組み込む「セキュリティ・バイ・デザイン」の必要性を解説します。 「CFOが不在」の会社はないのに、なぜ「CISO」はいないのか： 日本企業に多い「CIO/CTO/CISOの兼務」を、西尾さんは「経営としてお粗末」と断じます。サイバーリスクが事業継続を左右する現代において、専門の責任者（CISO）を役員クラスに配置し、適切なキャリアパスを構築することが、日本のセキュリティ人材不足を解消する鍵であることを提言します。 ＜ゲスト＞西尾 素己（にしお・もとき）さん 幼少期より世界各国の著名ホワイトハットと共に互いに各々のサーバーに対して侵入を試みる「模擬戦」を通じてサイバーセキュリティ技術を独学。サイバーセキュリティ研究者、ホワイトハット。アンチウイルスエンジンの開発等を経て、現在はコンサルティング、アカデミア、安全保障の3つの観点から活動している。海外の捜査機関と連携し、サイバー攻撃ツールの解析や海外当局への捜査協力に従事するなど、最前線でサイバー犯罪の抑止に貢献している。 ■□ 収録後記 □■  西尾さんとの対話を通じて突きつけられたのは、セキュリティを「コスト」や「後付けの装備」と考える時代の終わりです。 特に、「日本のマーケットでは、インシデントを起こした企業の株価が上がることすらある。それは『ようやくまともな投資をするはずだ』という投資家からの皮肉な期待値である」というお話は、日本の経営層にとって非常に重い指摘ではないでしょうか。 セキュリティ担当者の皆様の価値は「現在の給料の5倍はある」という西尾さんの熱いエールとともに、今回の後半戦が、皆様の組織におけるガバナンスとキャリアのあり方を見直すきっかけになれば幸いです。 （JCGR編集部）

近年、日本を代表する大企業が相次いで大規模なサイバー攻撃の標的となっています。技術の進歩とともに攻撃の手法は高度化し、もはや従来の「ウイルス対策ソフトを入れていれば安心」という時代は完全に過去のものとなりました。では、現代の攻撃者はどのような「道具」を使い、どのようにして企業の防壁をすり抜けてくるのでしょうか。 リニューアル第2回のゲストは、ホワイトハッカー（善意のハッカー、ホワイトハット）として国内外で活躍され、海外の捜査機関とも連携してサイバー犯罪の抑止に取り組んでいる西尾素己さん。最近、大きな話題となったアサヒHDの事例も交えながら、実際の攻撃ツールの解析を通じて見えてきた、ランサムウェア攻撃の驚くべきエコシステムや、検知を逃れるための巧妙な潜伏テクニックについて、ホワイトハッカーならではの視点で解き明かしていただきます。 前半は、攻撃者が利用する「RaaS（サービスとしてのランサムウェア）」の実態から議論を始め、VPNの脆弱性や、現代のセキュリティにおける最大の火種である「インフォスティーラー」の脅威について深く掘り下げました。 ＜ゲスト＞西尾 素己（にしお・もとき）さん 幼少期より世界各国の著名ホワイトハットと共に互いに各々のサーバーに対して侵入を試みる「模擬戦」を通じてサイバーセキュリティ技術を独学。サイバーセキュリティ研究者、ホワイトハット。アンチウイルスエンジンの開発等を経て、現在はコンサルティング、アカデミア、安全保障の3つの観点から活動している。海外の捜査機関と連携し、サイバー攻撃ツールの解析や海外当局への捜査協力に従事するなど、最前線でサイバー犯罪の抑止に貢献している。 ■□ ハイライト □■ 攻撃ツールも「サブスク」と「サポート」の時代  現代のランサムウェア攻撃は、ウイルス開発から交渉窓口のコールセンターまでがパッケージ化された「RaaS（Ransomware as a Service）」という業態で行われています。攻撃者がどのような組織体制で、どのように洗練されたツールを手に入れているのか、その衝撃の実態を明かします。 「メタルギア」さながらの単独潜入。Living off the Land（LotL） ウイルス対策ソフトの目を盗むため、攻撃者はOS標準のコマンドを悪用する「Living off the Land（自給自足）」という手法を用います。銃を持ち込むのではなく「現地の売店で凶器を作る」ような、巧妙な潜伏と権限昇格のテクニック、そしてログを消去して監視を無効化する恐るべき技術を解説します。 パッチ適用率はわずか4割。VPNという名の「開かれた窓」 リモートワークの普及で欠かせなくなったVPNですが、攻撃者にとっては格好の標的です。脆弱性修正パッチの適用率がなぜこれほど低いのか、そして攻撃者が判明から3ヶ月以上経過した古い穴をいかに「おいしく」利用しているのか、境界型防御が限界を迎えている現状を指摘します。 5年の潜伏を経て牙を剥く「インフォスティーラー」 ブラウザに寄生し、あらゆるSaaSの認証情報を盗み出す「インフォスティーラー」の蔓延が、相次ぐインシデントの引き金となっています。数年間にわたる長期潜伏の末、ある日突然アカウントを乗っ取って侵入してくる「ID窃取型」攻撃のメカニズムを紐解きます。 中小企業こそ有利？ IDガバナンス主導のゼロトラスト レガシーな巨大ネットワークを持つ大企業よりも、SaaSベースで動く中小企業やスタートアップの方が、実は最新の「ゼロトラスト」へ移行しやすいという意外な視点をお届けします。今後、企業が生き残るために優先すべき「ガバナンス」と「セキュリティ」の力点の違いを語ります。 ■□ 収録後記 □■ 西尾さんのお話の中で特に印象的だったのは、セキュリティはもはや「総合格闘技」であるという言葉です。単にツールを導入するだけでなく、攻撃者の心理やOSの深部までを見通す洞察力が求められています。 特に「リビング・オフ・ザ・ランド」を例えた、空港のセキュリティゲートを素手で通り抜け、売店の商品を組み合わせて武器を作るという比喩は、現代の脅威の本質を見事に言い当てています。また、大企業だけでなく、SaaSを多用する中小企業の方が実はリスクの「ど真ん中」にいるという指摘は、多くの担当者にとって身が引き締まる話だったのではないでしょうか。 今回の前編は、後半で語られる「ガバナンスの本質」や「これからの時代の守り方」を理解するための重要な土台となります。自社のセキュリティの常識を疑うきっかけとして、ぜひお聴きいただければ幸いです。後半は2月6日に公開予定です。お楽しみに！