多層防御を、5本の柱（ピラー）で見える化する

今月の事案に共通すること

NICTは10月13日、公開されているアプリを解析し、アプリが通信するサーバーを狙う「A2B攻撃記事「A2B攻撃が突く、意図しない公開」へ移動」を、相次ぐ情報漏えいの原因の一つとして公表しました^[4]。JPCERT/CCは10月8日の注意喚起で、本来は画面の操作では実行できない内部のAPIを狙う手口を挙げ^[5]、個人情報保護委員会は、パラメータを書き換えるだけで他の利用者の情報を取得できた事例を公表しています^[6]。いずれの手口でも、攻撃者は社内のネットワークを経由せず、インターネットに公開されたアプリやAPIから直接データに手を伸ばしています。

10月14日には、JPCERT/CCが、国内で広く使われているWAF^＊1製品SiteGuard Server Editionの脆弱性（CVE-2026-106931^＊2）が悪用されているとして注意喚起を出しました^[7]。JVN^＊3が示すCVSS^＊4の評価では、攻撃元はサーバー上、必要な権限は低いとされており、悪用されるとrootまたはSYSTEM権限^＊5で任意のOSコマンドを実行される可能性があります^[8]。別の穴から入り込んだ攻撃者は、守るために入れた製品を足場にして、サーバーの管理者の権限まで広げられることになります。

renueの見解

IPAの整理では、多層防御のレイヤーは入口、内部、出口という通信の経路に沿って並びます^[3]。

入口、内部、出口の並べ方は、社内のネットワークを経由する攻撃には有効ですが、公開されたアプリやAPIから直接データに届く攻撃は、内部のレイヤーを通りません。入口のWAFを越えられれば、残る守りは、アプリが「誰が、何に触れてよいか」を検証しているかどうかだけです。

VPNのようにレイヤーを足しても、そのレイヤーの認証が弱ければ、盗まれたパスワードで通られてしまいます。renueは、守りの強さは、レイヤーごとに何を検証しているかで決まると考えています。

認証は強くしているものの、会社が管理していない端末からの接続は見分けていない、というように、どこかのレイヤーが丸ごと空いているのも、多層防御の穴の1つです。空いているレイヤーには、自社の守りをレイヤーごとに並べてみるまで気づけません。

ZTMMでレイヤーを並べる

ZTMM（Zero Trust Maturity Model）は、米国CISAが2023年4月に公開したゼロトラストの成熟度モデルです^[9]。守る対象をID、デバイス、ネットワーク、アプリケーションとワークロード、データの5本の柱（以下、ピラー）に分け、ピラーをまたぐ機能として、可視化と分析、自動化とオーケストレーション、ガバナンスの3つを置いています。成熟度はピラーごとに、Traditional（従来型。境界防御だけの状態）、Initial（初期）、Advanced（発展）、Optimal（最適）の4段階で測ります。

出典：CISA「Zero Trust Maturity Model Version 2.0」（2023年4月）Figure 1。ピラーは左からID、デバイス、ネットワーク、アプリケーションとワークロード、データ。土台は上から可視化と分析、自動化とオーケストレーション、ガバナンス。

5本のピラーは、アクセスのたびに検証する「誰が」「どの端末で」「どの経路で」「何を動かして」「何に触れるか」にそのまま対応しており、多層防御ができているかをレイヤーごとに説明するのに向いたつくりです。米国の政府機関向けに作られた枠組みですが、ピラーの分け方は企業のシステムにも使えます。

AIを使うシステムでも新しいピラーを立てる必要はないので、この記事では、AIに固有の対策を関係するピラーの中に足す形で整理しました。

ピラーごとに検証すること

ID：誰がアクセスしているか

複数人で使い回すアカウントをなくし、全員にMFAを求め、ロール（役割）ごとに触れてよい範囲を決めます。APIキーやサービスアカウントといった人ではないIDも一覧にして期限を付け、定期的に入れ替えるとともに、使っていないIDを棚卸しで止めることも欠かせません。営業、経理、管理者といったロールに権限を付け、人にはロールを割り当てて管理する方式が、RBAC（ロールベースのアクセス制御）です。異動や退職のときはロールの割り当てを変えるだけで済むため、権限の付け外しが漏れにくくなります。次の段階は、フィッシングに強いパスキーへの移行です（基本方針のAppendix D基本方針のページへ移動）^[10]。AIに固有の対策としては、AIが使う人と同じ権限でしか情報を読めないようにし、AIエージェントに広い権限を持つアカウントを渡さないことが加わります。

デバイス：どの端末から接続しているか

会社が管理している端末かどうかを、端末管理の仕組みやIDの基盤と連携して判定し、管理外の端末からは業務システムに入れないようにします。AIに固有の対策は、デバイスのピラーには特にありません。

ネットワーク：どの経路で届くか

管理画面、API、検証環境をインターネットに開かず、公開する範囲を必要最小限にします（基本方針の3-3基本方針のページへ移動）^[10][11]。外部のAIサービスを使う場合も、通信をできるだけ閉じた経路に収め、どこへ何を送っているかを把握しておきます。

アプリケーションとワークロード：何が動いているか

サーバー側で認証と認可を行い、ログイン後のセッションを盗まれても別の端末では使えないようにし、更新を止めずに続けます^[10]。AIに固有の対策としては、プロンプトインジェクション^＊6への対策と、AIエージェントを隔離した環境で動かすことが加わります^[12]。

データ：何を守るか

持たなくてよいデータは持たず、漏えいしたときの影響度で分類し、保存するデータは暗号化します。そのうえで、部署や利用者ごとに見える範囲を分け、一度に取り出せる件数に上限を設けて、大量の取り出しに気づけるようにしておきます^[10]。AIに固有の対策としては、他の利用者や部署のデータを回答に混ぜないことと、入力したデータをAIの学習に使わせないことが加わります。

横断機能

可視化と分析

侵入や異常を検知できるよう、ログを残すだけでなく、誰がいつ見るかまで決めておきます。SiteGuardの件のように更新で痕跡が消えることもあるため、痕跡を保全してから直す手順も欠かせません。AIについては、AIへの質問と回答の記録と、利用量が急に増えたときの通知が加わります。

自動化とオーケストレーション

構成要素の一覧を自動で作り、更新を自動で当て続けます^[10]。AIについては、使うモデルの版を固定し、切り替えは動作を確かめてから行うのが安全です。

ガバナンス

セキュリティの方針と手順を決め、それが各ピラーで守られるように運用します^[9]。委託先やクラウド事業者に任せる部分も、その対象に含めます^[10]。AIについては、使うAIサービスの規約で入力したデータが学習に使われないことを確かめるのは最低限です。そのうえで、業務で使ってよいAIサービスと、AIに入力してよいデータの区分を決め、AIの出力を誰が確認して使うかまで決めておきます。

脅威モデリングで、レイヤーの穴を見つける

脅威モデリングとは、守りたいデータに対して、誰が、どの経路で、何を狙ってくるかを書き出し、経路ごとにどのレイヤーで止まるかを確かめる作業です。ZTMMのピラーを縦に並べ、アクセスしてくる主体ごとに経路を線で引くと、検証が抜けているレイヤーが見えてきます。

システム同士の連携に使うAPIキーやサービスアカウント、利用者の代わりに動くAIエージェントも、人と同じようにIDを持ってデータに触れます。人のIDだけを固めても、APIキーやAIのIDの経路が素通りなら、その経路が攻撃者の入口です。

図9は、顧客データを扱う社内向けの業務システムに、AIアシスタントを組み込んだ場合の例です。社員の経路は、管理外の端末からも入れるためデバイスのレイヤーが甘いものの、アプリケーションのレイヤーで権限の範囲に絞られるので、セッションを盗まれても権限を超えてデータは読めません。連携用のAPIキーは長く使い回され、接続元も絞られておらず、件数の上限なく一括でデータを取り出せるため、キーが漏れればデータまで検証のない経路が通っています。AIアシスタントの経路では、外部から読み込んだ文書に仕込まれた指示への対策がないうえ、他部署のデータまで検索の対象に入っているため、アプリケーションとデータの2つのレイヤーが甘いままです。

穴が見つかったら、データまで検証のない経路が通っているものから順に、ピラーごとの対策を当てていきます。全ての穴を一度に塞ぐ必要はありません。

どこまでやるか

CISAは、段階が上がるほど必要な労力が大きく増えるとしたうえで、まず現状を評価し、事業に必要なところからピラーごとに段階を上げるよう勧めています^[9]。Optimalの段階は、権限を必要なときに必要なだけ自動で与え、全体を継続的に監視する状態を求めるもので、renueは、多くの組織にとって現実的な目標ではないと考えています。

横にスクロールして読めます

画像を原寸で開く

出典：CISA「Zero Trust Maturity Model Version 2.0」（2023年4月）Figure 4。下からTraditional（従来型）、Initial（初期）、Advanced（発展）、Optimal（最適）。

renueが勧めるのは、まず全てのピラーを空ではない状態にし、そのうえで影響度の高いシステムからAdvancedの段階へ上げていく進め方です。どこまで設計し実装するかは、実現性と費用を見て段階に分けて決めます。ただし、共有アカウントの廃止やMFAの必須化のような最低ラインは、費用を理由に外す選択肢に入れません。枠組みの項目を全て埋めること自体を目的にせず、自社の構成に合わせて読み替えることも大切です。

renueの取り組み

renueのAI脆弱性診断AI脆弱性診断のページへ移動では、AIによるコード分析と侵入テストの結果を5本のピラーに沿って並べ、空いているピラーと、次に厚くすべきレイヤーを示しています。レイヤーごとに対策が見えるため、どこに費用をかければ守りが厚くなるかを判断しやすくなります。

今日確かめること

出典

1. デジタル庁「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」（2024年1月31日）
2. 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（2024年10月4日）
3. IPA「指示5 サイバーセキュリティリスクに効果的に対応する仕組みの構築」（サイバーセキュリティ経営ガイドライン Ver 3.0 実践のためのプラクティス・ナビ、2026年4月28日）
4. NICT CYNEX 脅威情報分析チームLETTICE 注意喚起の詳細（2026年10月13日）
5. JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日、10月9日更新）
6. 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
7. JPCERT/CC「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起」（2026年10月14日）
8. JVN「JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性」（2026年10月14日）
9. CISA「Zero Trust Maturity Model Version 2.0」（2023年4月）
10. renue「世間で増加する不正アクセスに対する、renueの基本方針と取り組み」（2026年10月13日）
11. renue「A2B攻撃が突く、意図しない公開」（2026年10月14日）
12. OWASP「LLM01:2025 Prompt Injection」