さあ、 2025の準備をしましょう。
目まぐるしく変化するサイバーセキュリティの状況は、それだけでも対応が十分に困難ですが、今や、私たちに向かって迫りつつある、まさに「次元の異なる」脅威を監視しています。
今年、最も大きな影響を与えたセキュリティ侵害の事例をいくつか考えてみてください。そうすれば、今後のサイバーセキュリティに関する予測について、いくつかの手がかりが得られるでしょう。
2024年、 では、10億件以上の記録 が盗まれ、一般市民や企業の評判に悪影響を及ぼしました。 「シャドウAI」――御社の組織内で早期導入者がすでに実験的に利用している、その捉えどころのない生成AIの一形態――は、世界中の企業へと浸透し続けており、 これにより、IT部門には、セキュリティ対策が不十分なモバイル端末が台頭し、従業員が業務でそれらを使い始めた当時以来、経験したことのないジレンマ が突きつけられています。 そしてもちろん、 ランサムウェア（ ）は依然として極めて凶悪な脅威であり続け、の医療 提供者を特に深刻な被害に遭わせました。
こうしたトレンドは新年も続くことは間違いありませんが、それだけではありません。『 』の「Focal Point」コーナー（ ）では、最近インタビューした情報筋の数名に、今後起こりそうなことについて、斬新な予測があるかどうかを尋ねてみました。 ここでは、彼らの最も考えさせられる鋭い見解をいくつかご紹介するとともに、 2025の受講準備……そしてその先に向けて、私たちがまとめたヒントや参考資料もご紹介します：
1. 生体認証は完全に失敗に終わるでしょう
生体認証は認証技術の「聖杯」として称賛されてきましたが、セキュリティ意識向上研修企業「 KnowBe4」の著名な認証専門家であるロジャー・グライムズ氏は、それはでたらめだと考えています。
「指紋が『唯一無二』の識別子であるという神話に別れを告げましょう。指紋はパスワードとほぼ同じくらい簡単にハッキングされてしまいます。」ロジャー・グライムズ、ベテランの認証専門家、 KnowBe4
「生体認証は、有効な認証手段ではないことが証明されるでしょう」と彼は言います。なぜなら、生成AIのような最新技術によって、顔や網膜、指紋を偽造することがあまりにも容易になっているからです。 「泥棒が悪役の親指を切り落とし、それを使って侵入不可能な銀行の金庫室に侵入するといった映画は、デジタル技術の登場によって、まったく新しい意味を持つようになった」と彼は言います。
「今日では、あなたの動画から 30 秒分を取り出して、あなたの銀行から金を盗むようなディープフェイクを作成することができるのです」とグライムズ氏は述べています。
セキュリティ・アンド・テクノロジー研究所（Institute for Security + Technology） が発表した新しいレポート『 』では、この点を裏付けており、「説得力のあるディープフェイク技術 の台頭は、視覚的または聴覚的な手がかりに依存して検証を行う従来の認証システムにとって、深刻な脅威となっています。 「顔認識や音声分析を利用する生体認証システムは、すでにいくつかの事例でディープフェイク技術によって破られてしまっています。」
では、次はどのような展開になるのでしょうか？ 企業や政府は、 多要素認証（MFA） や、その他の強化された アイデンティティおよびアクセス管理（IAM） へと移行していく可能性が高く、おそらく生体認証と、 YubiKey のようなハードウェアキーを組み合わせることになるだろう、と同氏は述べています。 結論として、生体認証だけでは十分なセキュリティを確保できません。 ガートナーの『 』では、 、2026年までに、AIによって生成されたディープフェイクを用いた顔生体認証への攻撃により、 30％の企業が、こうした本人確認および認証ソリューションを単独では信頼できないものと見なすようになると予測しています。
[関連記事：MFAは非常に効果的ですが、絶対的なものではありません――ハッカーたちはこれを回避するために3つの巧妙な手口を用いています]
「指紋が『唯一無二』の識別子であるという通説には、もうお別れを告げましょう。ハッカーが指紋に狙いを定め始めた途端、パスワードとほぼ同じくらい簡単にハッキングされてしまうのです」とグライムズ氏は述べています。
2。 AIを活用したツールは、諸刃の剣となります
ペンシルベニア州の元最高情報セキュリティ責任者（CISO）であり、現在はサイバーセキュリティ・アドバイザーを務めるエリック・アヴァキアン氏は、企業環境において、AIを活用した自動化ツールや個人の生産性向上ツールの利用が増加すると予測しています。 人間の作業を模倣するこうしたツールを導入すれば、生産性は向上する一方で、セキュリティやプライバシー上のリスクも生じると、同氏は述べています。
「こうしたツールや機能が企業のビジネス環境に統合されるにつれ、予期せぬ、かつ長期にわたる影響が生じる可能性があります」とアヴァキアン氏は警告しています。 「ツールの機能や性能を悪用すると、機密データや知的財産への不正な特権アクセスにつながる可能性があります。また、ユーザーの意図に反して（意図的または意図的でない）誤ったコマンドを注入するなど、悪意のある注入や不正使用を通じて悪用される可能性もあります。」
AIを活用したツールを本番環境で導入する前に、アヴァキアン氏は、各組織に対し、 AIおよびデータガバナンス、セキュリティ戦略（ 自動化と AIを活用してセキュリティを強化し、 火事場での対応ではなく予防策を講じる）、プライバシーポリシー、従業員研修、そして徹底したテスト手順について、すべてビジネス目標に沿った強固な基盤を確立するよう助言しています。 こうした基礎的な準備がなければ、これらのツールは組織のリスク範囲を拡大しかねないと、同氏は述べています。というのも、その有効性は、処理されるデータの品質とセキュリティに大きく依存しているからです。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
3。 ランサムウェアの身代金支払いは、世界的な規制の対象となっています
サイバー保険会社「Cysurance」のCEO、カーステン・ベイ氏によると、ランサムウェアはもはや単なるIT上の問題ではなく、今や国家安全保障上の脅威となっているとのことです。 最近、 ランサムウェア・アズ・ア・サービス（RaaS）攻撃が急増していること （AIの普及により、この傾向はさらに強まるでしょう）を踏まえ、ベイ氏は、世界的に連携した規制の枠組みを通じて、身代金の支払いが取り締まられるようになると予測しています。
「恐喝事件は、国家安全保障に対する世界的な脅威です」とベイ氏は述べています。 これは、特に仮想通貨を用いた身代金支払いについて、より厳格な追跡が行われ、未報告の場合には罰則が科される可能性があることを意味します。
規制によってランサムウェアを根絶することはできないかもしれませんが、犯罪者の収益源を断つことで、その勢いを鈍らせることはできるでしょう。 各国政府は、企業に対し、身代金要求事件の報告をより強く求めるようになり、報告を怠った企業には罰則が科されることになるでしょう。 これは、企業が身代金交渉を行う上で、新たな法的・コンプライアンス上の課題が生じる可能性があることを意味するかもしれません。
4。 データ主権と「データ大使館」が主流になりつつあります
各国、特に欧州連合（EU）加盟国では、自国民の 個人データの保護に対する姿勢がますます強まっており、その結果、 データ大使館 ――つまり、国の物理的な国境の外に設置された安全なデータハブ――が誕生しています。
「小規模な主権国家は、オンプレミスのデータを常に保護できるわけではないことに気づき始めています。」IDCのサイバーセキュリティアナリスト、フランク・ディクソン氏
「データ大使館」の考え方は、データスフィア・イニシアチブによると、デジタル資産を自国の国境の外――政府が侵入を完全に防ぐ手段を持たない可能性のある場所――から、他国のより安全な施設に移すことで、それらを「不可侵とし、それによって捜索、徴用、差押え、または執行の対象外とする」というものです。 例えば、エストニアは、ロシアから発せられたとされる攻撃からデジタル資産を守るため、 2016 年にそれらを隣国のルクセンブルクに移しました。
IDCはこの傾向が今後も続くと見ており、 2026 年までに（まあ、厳密には2025 年の予測というわけではありませんが、来年はこの点で動きがあるかもしれません）、5つの主権国家がEU内にデータ大使館を設置すると予測しています。
「小規模な主権国家は、オンプレミスのデータを常に保護できるわけではないと気づき始めています」と、IDCのサイバーセキュリティアナリスト、フランク・ディクソン氏は述べています。 なるほど、その通りですね。 そもそも、自国の国境の防衛に苦戦している状況で、政府データの主権と一貫性をどのように維持すればよいのでしょうか？
ディクソン氏によると、グローバルに事業を展開する米国企業にとって、この傾向は、データの保存や処理が可能な場所に関する規制がより厳しくなることを意味するとのことです。 データ主権に関するEUおよび G7 の枠組みへの準拠は、今後、必須条件となる可能性が高く、企業はインフラ戦略を見直す必要に迫られるでしょう。 同氏は、これを遵守しなかった場合、大西洋を挟んだ両地域で巨額の罰金や事業上の制限が科される可能性があると結論づけています。
[こちらもぜひお聴きください：このポッドキャストのエピソードでは、ISACAのサフィア・カジー氏が、データプライバシーを真剣に考えることがなぜ重要なのかについて、簡潔に解説しています]
5。 サイバー保険会社が保険金請求の審査を厳格化しています
サイバー保険の「ハネムーン期」は終わりを迎えるでしょう。
「請求に対する調整はより厳格になり、条件もより厳しくなることが予想されます。」スコット・ゴデス氏、バーンズ・アンド・ソーンバーグ法律事務所のパートナー兼共同代表
バーンズ・アンド・ソーンバーグのパートナー兼共同代表であるスコット・ゴデス氏は、保険会社がサイバー関連の保険金請求、特にランサムウェアやデータプライバシー侵害に関するものについて、支払額を制限するだろうと予測しています。 「今後、より積極的な調整や、保険金請求に対するより厳しい条件が設けられることになるでしょう」と彼は述べています。
これは企業にとってどのような意味を持つのでしょうか？ 保険会社は規制を強化しています。 もし御社が万全のセキュリティ体制を証明できないのであれば、ハッキング被害に遭った際に多額の賠償金、あるいは何らかの補償金さえも期待することはできません。
その代わりに、保険会社が、あなたが十分な注意義務を果たさず、データを保護するためにどのような措置を講じていたかを適切に開示していなかったと主張し、支払いを免れるために訴訟を起こす可能性に備えておく必要があります。 CISOは、 自分たちの活動すべて（ ）――つまり、すべてのセキュリティ対策――を文書化することに、より一層注力する必要があります。そうしなければ、多額の費用がかかるサイバーインシデントが発生した際に、保険会社から支援を打ち切られてしまうリスクがあります。
[関連記事：サイバー保険の保険料は今後上昇すると見込まれていますが、現時点では下落傾向にあります。この（おそらく一時的な）傾向をうまく活用するための、消費者向けのヒントをご紹介します]
6。 AIを活用した攻撃は、重要インフラを脅かしています
これまでに数多くのランサムウェア攻撃が発生してきましたが、ご注目ください。来年、あるいはそれより早く、こうした攻撃は重要インフラを弱体化させることで、新たな段階に達する可能性があります。
「もはや単なる『ディスラプション』にとどまらず、『破壊』そのものです。」エリック・アヴァキアン氏（元ペンシルベニア州情報セキュリティ責任者）
アヴァキアン氏は、攻撃者が の電力網 からの水道供給に至るまで、物理的なシステムを標的とするケースがますます増えるだろうと考えています。 （特にリスクが高いのは、 中小の公益事業会社やエネルギー企業 です。） 敵対的な政府と関係があるとされるハッカーたちが、米国の重要インフラに対する攻撃を強化しているという、明確な兆候がすでに確認されています。 3月、FBIは議会に対し、中国のハッカーが被害を与えることを目的として、米国のサイバーインフラに深く侵入していたと警告しました。 また、10月初旬には、 米国最大の水道事業者であるアメリカン・ウォーター（American Water）がサイバー攻撃を受け、同社はシステムの停止を余儀なくされました。 犯人は特定されませんでしたが、ある国家の支援を受けているとみられています。
「もはや単なる混乱にとどまらず、破壊そのものです」とアヴァキアン氏は警告しています。
こうしたAIを活用した攻撃は、サプライチェーン全体を危険にさらし、単なるデータ損失にとどまらない甚大な被害をもたらす可能性があります。 AIを搭載したワームがハードウェアを物理的に破壊し、企業が復旧に奔走することになった場合、どれほどのパニックが生じるか想像してみてください。 政府や民間企業は、サイバー・フィジカルセキュリティを強化しなければならず、そうしなければその代償を払うことになってしまいます。
[関連記事：昨春、水道システムに対するハッキングの脅威について警告していました――サイバーセキュリティ関連リソースのまとめをご覧ください]
7。 米国企業は、AIに関するEUの新たなプライバシー要件に備えています
IDCは、来年までにEUと G7 が、個人がAIにおける個人を特定できる情報（PII）の利用を阻止したり、その情報の地理的な保存場所を規制したり、誤った情報を訂正したりできる枠組みを導入すると予測しています。 そのような予測は、おそらく、最近制定された のEU AI法（）に盛り込まれている内容を超えるものとなるでしょう。 この包括的なリスクベースの枠組みは、欧州における のAIシステム の開発、導入、および利用を規定するものです。
IDCのディクソン氏によると、この予測は、事前の準備ができていない場合、欧州で事業を展開する米国企業に深刻な打撃を与えることになるでしょう。 彼にとって、「準備」とは、ChatGPT、Gemini、Microsoft CopilotといったAIチャットボットツールを支える大規模言語モデル（LLM）によって、個人を特定できる情報（PII）がアップロードされたり利用されたりすることを防ぐための技術を整備しておくことを意味します。
「EU居住者が自身のデータの利用をブロックする権利を持っている場合、自社の顧客データプラットフォーム（CDP）がそのデータのブロックを自動化できるようにする必要があります」と彼は述べています。 「もしミスを犯した場合、そうした規制には厳しい罰則が設けられており、違反すると莫大な費用がかかる可能性があります。」
[関連記事：EUのAI法への備え方――まずはリスクレベルの見極めから]
8。 サイバー再保険の縮小が補償範囲の危機を招いています
身代金支払額の増加やビジネスメール詐欺（BEC）の発生件数の増加により、再保険会社は引き下がらざるを得なくなっています。 Cysurance社のベイ氏は、「サイバー再保険の縮小」が起こり、それによって保険会社が利用できる資金が制限され、企業が加入できるサイバー保険の補償範囲が縮小すると予想しています。
企業にとっては、たとえ の保険料全体が引き続き下落しているとしても、保険に加入するための資格を得るだけでも、保険料の値上げ、補償限度額の引き下げ、さらにはより厳しいセキュリティ要件が課される可能性があるということです。 再保険会社は、強固なセキュリティ体制の証明を求めることになるため、企業は自社の防御体制を厳格に検証する必要がある、とベイ氏は述べています。
この変化により、サイバー保険が不可欠になりつつあるまさにそのタイミングで、その加入が難しくなる可能性がある、と彼女は付け加えています。
9。 分散型サイバー防衛が主流になりつつあります
中央集権型のサイバーセキュリティシステムが進化し続ける脅威への対応に苦戦する中、 2025 年には、分散型でコミュニティ主導のサイバー防衛ネットワークが台頭するだろうと、イェール・プライバシー・ラボの創設者であるショーン・オブライエン氏は述べています。同氏は、この変化が状況を一変させるものになると考えています。
「ブロックチェーン、オープンソースソフトウェア、そして P2P テクノロジーを活用した分散型サイバー防衛ネットワークが急速に拡大していくでしょう。」イェール・プライバシー・ラボの創設者、ショーン・オブライエン氏
「 ブロックチェーン、オープンソースソフトウェア、そして P2P テクノロジーを活用した分散型サイバー防衛ネットワークが急速に拡大していくでしょう」と彼は予測しています。 これらのネットワーク、すなわち「観測所」により、企業は、組織が 州全体を対象としたサイバーセキュリティ プログラムを構築する際と同様に、リソースを共同で活用し、信頼不要な分散型の手法で防御メカニズムを共有できるようになると、同氏は述べています。
どのような影響があるのでしょうか？ このアプローチにより、集中型システムに内在する単一障害点のリスクを軽減し、高度な攻撃に対するより強靭な防御体制を構築することができます。 企業にとって、これはコミュニティ主導のリソースや、 のリアルタイム脅威インテリジェンス を活用することを意味します。これらは、従来のモデルよりも迅速に適応することができます。 2025年までには、分散型防御こそが、時代遅れで容易に侵害されるサイバーセキュリティの枠組みから脱却するための解決策となるかもしれません。
[関連記事：州全体にわたるサイバーセキュリティ戦略を策定するための実践ガイド]
10。 攻撃者は、ずさんなAIの実装を悪用しています
SANSインスティテュートの研究担当学部長であるヨハネス・ウルリッヒ氏は、AIの導入事例がすべて同じというわけではないと指摘しています。 実際、ビジネスや業務目的で生成AIの導入を急ぐ多くの組織では、セキュリティ上の問題を最優先事項として考慮せずに、この技術を導入してしまう可能性があります。
「攻撃者は、 のAI／MLベースの防御機能 が、これらのモデルの構築に使用された不完全で偏りのあるトレーニングデータのために、特定の盲点を持っていることに気づく可能性があります」と、ウルリッヒ氏は述べています。 「場合によっては、AIモデルを用いて自動的に応答を行うと、攻撃者がそのモデルをだまして、マルウェアの代わりに動作させることができてしまう可能性があります。」
アヴァキアン氏は、こうした攻撃の可能性は、強固なAIガバナンスの必要性を示唆していると述べています。 CISOは、AIの統合が安全かつコンプライアンスに準拠していることを確保しなければならない、と彼は述べています。 つまり、イノベーションを阻害することなく、データの取り扱い、セキュリティ、コンプライアンスに関する新たな方針を策定することです。
AIを活用したプロセスが、人事からカスタマーサービスに至るまでビジネスのほぼあらゆる分野に及んでいるため、企業はセキュリティと効率性を確保するための堅牢な枠組みが必要になると、アヴァキアン氏は付け加えています。 AIガバナンスを軽視する企業は、データ漏洩や多額の規制当局による罰金という代償を払うことになる可能性があります。
