2025年日本企業向け最新セキュリティ対策とセキュリティ調査
AI活用や多層防御の導入で、企業の情報漏えい・ランサムウェア被害を最小限に抑える方法をご紹介。実際の攻撃動向と対策事例から、自社に必要な防御策が具体的にわかります。
2025年の主要サイバーリスクと攻撃動向
生成AIの普及とリスク対応
- 【普及状況】JIPDECの2025年調査によると、45%の企業が生成AIを業務に導入し、メールや資料作成、データ入力などに利用しています。大手企業から中小企業まで活用が広まり、生成AIの導入は業務効率化の加速とともにリスクの裾野も広げています。例えば、AIによる自動翻訳や議事録生成が定常業務へ組み込まれているケースもありますが、十分なガイドラインが未整備だと「意図しない情報共有」や「外部サービスへのデータ流出」が現実的なリスクとなります。
- 【主なリスク】
- 社員による機密情報の意図しないAI入力や外部流出
- AI出力の誤情報（ハルシネーション）による業務リスク
- 倫理的・法的問題の発生可能性（著作権侵害や個人情報保護法違反等も含む）
- 【必要な対策】
- 社内での生成AI利用ルール策定とアクセス権管理
- 利用範囲の明確化、ガバナンス体制の構築
- 従業員向けリテラシー教育と運用体制の監視
2025年現在、規程の周知徹底だけでなく、ログ収集やAI出力のダブルチェック体制、AIベンダーとの契約見直しも進んでいます。さらに、AI活用推進役や内部監査体制の強化もリスクコントロール上有効です。
ランサムウェア・メール詐欺など多様化する攻撃
- 【被害実態】JIPDECの2025年調査によれば、国内企業の48％が過去にランサムウェア感染を経験しています。特に2024年末から2025年にかけ、サプライチェーン攻撃や標的型メールによる被害が相次ぎました。
- 【主な侵入経路】
- メールや添付ファイル（28.3%）
- VPNやネットワーク機器の脆弱性（20.8%）
- RDP（リモートデスクトッププロトコル）の悪用（19.9%）
- 最近はチャットツールや業務コラボレーションツール経由での侵入ケースも観測されています。
- 【被害の傾向】
- 約24%の感染企業で身代金が支払われた事例
- 約26%がデータやシステムの完全な復旧に失敗した事例
ランサムウェア被害後の対応の遅れがさらなる業務停止や信用毀損につながるため、事前の準備が不可欠です。情報共有と被害時の初動対応シナリオ策定も重要となっています。
- 【主な対策】
- 疑わしいメールの自動隔離
- 多要素認証（MFA）の導入
- VPNやネットワーク機器の定期的なバージョン管理とサポート終了（EOL/EOS）への対応
- 定期バックアップと復旧テストの実施
具体的には、社内の全端末にEDR（エンドポイント検知・対応）を導入し、夜間・休日の異常通信検出と即時対応体制を構築する企業が増えています。
高度化する攻撃手法とAIの活用
- 生成AIにより、自然な日本語によるビジネスメール詐欺（BEC）やAIを活用したランサムウェアの手口が巧妙化しています。攻撃者は企業の役員や経理担当者になりすまし、違和感のない文章や過去のやり取りを参照したフィッシングメールを作成できるため、従来型の「怪しい表現」検知に頼るだけでは不十分です。
- 従来のメールフィルターや目視チェックのみでは検知が難しいケースが増えています。
- 次世代型フィッシング対策や自然言語処理を用いた脅威検知など、先進技術の活用が重要です。加えて、AI同士による「防衛AI」の導入と定期的なアルゴリズムの改善も実践されています。
セキュリティ対策を進めるためのポイント
マルチレイヤーとゼロトラスト・アーキテクチャの採用
- 境界型から「ゼロトラスト」モデルへの移行（すべての通信やアクセスの検証・認証）は、2025年時点では中堅企業にも拡大しています。アクセス制御強化を実現しつつ、内部不正や権限昇格のリスクを低減します。
- メール、ネットワーク、システム、クラウド、エンドポイントを跨いだ多層的防御
特にクラウドサービス（SaaS等）利用時の設定不備による情報漏えいが増加しているため、設定監査や自動コンプライアンスチェックの導入が実用化されています。 - ID・アクセス管理、暗号化、設定管理、自動化ツールの活用
組織体制・人材・予算確保の工夫
- 【現状】KPMGの2025年調査では、セキュリティ担当が10人未満の企業が72.9%、予算の課題を感じている企業が64.5%とされています。人材不足は深刻ですが、兼任体制やアウトソーシングを活用し、最小限の人数でリスクをカバーする事例も増えています。
- 【対応策】
- 経営層主導での体制整備（責任者配置、ガバナンス方針の明文化）
経営戦略にセキュリティを盛り込み、意思決定のスピードを高めることが、迅速な対策には不可欠です。 - 社内での役割分担見直しや専門人材の確保
- MSSP（マネージドセキュリティサービスプロバイダー）など外部専門サービスの利用
2025年はMSSPへの委託が中堅・中小企業にも普及し、初期費用を抑えつつ監視・検知・分析体制を強化できます。
- 経営層主導での体制整備（責任者配置、ガバナンス方針の明文化）
情報資産およびインシデント記録の徹底管理
- クラウドとオンプレミスの混在や複雑なIT環境では、情報資産の棚卸しや分類、管理が重要です。
例：資産管理台帳のデジタル化や、SaaS利用におけるアカウント統制の自動化 - アクセスログの管理により、内部不正や操作ミスへの対応が強化されます。
- 定期的なパッチ適用スケジュールと、製品のEOL/EOS管理も必要です。
特に生成AIやIoTデバイスの増加に伴い、アップデート管理の抜け漏れによる脆弱性攻撃が相次ぐため、管理ツールとの連携が推奨されます。
サプライチェーンおよび外部委託先リスクの管理
- 委託先のセキュリティ基準策定（JIPDEC調査では約50%の企業が整備済みまたは整備予定）
ベンダー選定時の自己申告だけでなく、国際認証（ISO/IEC 27001等）取得の有無や、定期的なリスク評価も加点要素となっています。 - 定期的なセキュリティ監査や契約条件の見直し
万一の事故発生時、契約に基づき迅速な初動・情報共有ができる体制構築が望まれます。
OT・製品セキュリティと海外規制対応
- 制御系（OT）やデジタル製品のサイバーセキュリティ向上
工場システムや医療機器等、ライフサイクル全体での脆弱性管理が課題になっています。 - EUサイバーレジリエンス法や米英規制など、グローバルな標準および法令への対応
日本国内だけでなく、国外顧客やパートナーと連携する業態では、各国法令のキャッチアップ・従業員研修も不可欠です。 - 製品セキュリティ専門組織の新設や強化
プライバシーガバナンスの推進
- 管理者任命や組織的な保護体制（JIPDEC調査では約32%～38%の企業が明文化・設置済み）
個人情報対応に加え、生成AIによる個人特定やデータ再利用リスクにも目を向ける必要があります。 - プライバシーへの対応が従業員や顧客の信頼向上に寄与する可能性
- 継続的な改善や監査体制の実装の検討
2025年はポリシーの見直しや説明責任のための記録保持が標準となりつつあります。
新たな脅威認識と全社浸透を図るセキュリティ10大脅威の活用
2025年時点で特に注目すべきは、IPAが発表した「情報セキュリティ10大脅威 2025」を自社の防御戦略にいかに活用するかです。このリストは、2024年に実際に社会的影響の大きかった攻撃や漏えい事件をもとに200人規模の実務家・研究者の審議により厳選されたものであり、順位付けをせず五十音順で提示されています。これは、順位の高低に捉われすぎず、全ての関連脅威へ漏れなく対応する重要性を強調している点が特徴です。例えば、「地政学的リスクに起因するサイバー攻撃」や「不注意による情報漏えい」など、国際環境や内部統制の変動にも柔軟に目を向けるべきであることが示唆されています。
具体的な活用法として、まず各脅威項目を自社の事業や運用実態に照らして「関係の深い脅威」「想定インシデント例」を洗い出します。その上で、対策の優先順位を規模や業種・既存リスクプロファイルごとに判断し、対応漏れが生じないよう部門間で定期的な相互チェックや全社的な棚卸しを行うことが有効です。たとえば、「ネットワーク貫通型攻撃」「スピアフィッシング」など新たな攻撃手口が増える中、エンジニア部門では最新の脆弱性情報と対策ワークショップを実施し、バックオフィス部門や管理部門では内部手続きや情報管理手順、研修を通じて「うっかり」リスクの低減を目指します。また、脅威リストに基づく浸透教育のためには、図解やワークシート、IPAの提供資料など第三者評価の高い教材の活用も推奨されます。
さらに、2025年版の同資料では、脅威事例に「攻撃組織情報」や「事案発生時の実際の流れ」も併記されているため、自社のBCPや初動対応計画の実例として関係者に周知できます。例えば地政学的リスクの場合は、海外拠点や資本関係先も巻き込んだシミュレーションと現地対策チームとの情報共有構築が重要です。繰り返しになりますが、技術系対策の枠を越え「脅威を自分ごと」としてあらゆる部署・現場の社員が認識する風土づくりが、2025年以降の広範なセキュリティ対策成功には欠かせません。
セキュリティ調査と管理プロセスの基礎
- 年次や必要時における「セキュリティアセスメント」「脆弱性スキャン」「情報資産棚卸」「委託先点検」を、経営層や情報システム部門主導で計画・実施
脅威インテリジェンスツールの導入や調査記録のデジタル化も進んでいます。 - 調査結果に基づき、リスク評価→残存リスク特定→是正計画→PDCAサイクルの推進
調査を形骸化させず、具体的な改善プロジェクトや教育施策（フィッシング訓練等）への接続が必須です。 - インシデント発生時の「アクセス記録管理」や初動対応手順の整備、レジリエンス強化に向けた訓練の継続
BCP（事業継続計画）へのサイバー攻撃シナリオ追加も推奨されます。
2025年における企業セキュリティ対策は、AI技術の発展やサイバー攻撃の変化にあわせて進化が必要です。全社的な運用ルールや教育の強化、最新技術の導入、プライバシーガバナンスや法令対応、外部アセスメントの実施が、経営戦略や持続的成長の基盤強化に有効です。人的・予算的リソースの課題に対しては、外部専門家やサービスの活用も一つの選択肢と言えるでしょう。
情報収集については、政府機関（IPA）や信頼性の高い調査機関・業界団体の公開データを参考にしながら、自社の事業規模や業種、グローバル展開の状況にあわせて適切な対策を検討することが重要です。訓練やアセスメントの実施を通じて、最新の脅威動向を継続的にキャッチアップし、「自社の弱点」を経営層まで共有する仕組みづくりが、2025年のビジネス継続と社会信頼の構築を支えます。
Sources
免責事項：このウェブサイトに含まれるすべてのコンテンツ（テキスト、グラフィックス、画像、情報）は、一般的な情報提供を目的としています。このページに含まれる情報および資料、ならびにそこに記載された条項、条件、説明は、予告なしに変更されることがあります。