homulaサイバー攻撃の基礎とAI
— 基本対策ガイド
攻撃はどう成立し、AIは何を変えたのか。統計と公表事例で理解し、自組織の基本対策を構築して、機能しているかを点検し続けるためのガイドです。
基本的なセキュリティ対策（ベースライン）とは、広く知られた脆弱性や弱い認証を狙う一般的な攻撃に対して、規模を問わずどの組織も最低限実装しておくべき対策の組み合わせです。本ガイドでは、経済産業省のSCS評価制度★3を最低ラインとし、抜け漏れの確認に国際的なベースラインであるCIS Controls v8.1のIG1を使います。
サイバー攻撃の被害は「有名な会社だから狙われた」より「入口が開いていたから入られた」ことのほうが多く、被害組織の約6割は中小企業です。AIは攻撃の手口よりも、開いている入口を見つけるコストと速度を大きく変えました。だからこそ、高度な製品を買う前に、基本対策を確実に整えることの価値が上がっています。
本シリーズは、第1〜3回で攻撃の仕組み・現状・AIの影響を理解し、第4〜6回で対策を構築し、第7回で導入の順序と点検の方法をまとめる構成です。各回の事実・数値には、警察庁・IPA・JPCERT/CCなどの原文への出典を付けています。
約6割
ランサムウェア被害組織に占める中小企業（2026年上半期・123件中79件）
−7日
悪用はパッチ公開の平均7日前に始まる（推定）
72.5%
バックアップから復元できなかった被害組織（2026年上半期・有効回答40件中29件）
50%
ランサムウェアの侵入経路に占めるVPN機器（2026年上半期・有効回答36件中18件）
出典: 警察庁（2026年上半期）、Mandiant M-Trends 2026。詳細と原文へのリンクは第1回・第2回に掲載。
Map
シリーズの全体像
ランサムウェア攻撃の典型的な8つの段階に対して、どの回の対策が主に効くかを示します。入口を塞ぐ対策だけでなく、入られた後に被害を限定し、戻れるようにする対策までを揃えて、はじめて基本対策になります。
Articles
ガイド記事一覧
攻撃はどう成立するか — 分業・8つの段階・6つの類型
サイバー攻撃は分業されたビジネスになっている。入口の売買、攻撃者と防御者の非対称性、ランサムウェアの8つの段階と効く対策、主要な6つの攻撃類型を7枚の図で解説します。
脆弱性と被害の現実 — パッチの時間差と、統計・事例
悪用はパッチ公開の前に始まり、修正の完了には中央値43日かかる。脆弱性の基礎用語、急増する脆弱性の数、国内のランサムウェア被害の統計、公表された事例を9枚の図で解説します。
AIが変えたこと・変えていないこと
AIが変えたのは攻撃の「手口」より「コストと速度」。脆弱性の発見の量産、だましの品質とコスト、攻撃の速度、情報の確度の見分け方、AIを使う側に生じる新しい攻撃面、防御でのAI活用の限界を9枚の図で解説します。
入口を塞ぐ — 棚卸し・認証・パッチ・公開面
知らないものは守れない。6つの台帳による棚卸し、フィッシングに強い多要素認証とパスワード方針、パッチの優先度と期限、外部公開面の削減とネットワークの分割を、手順・確認方法と9枚の図で解説します。
入られる前提で守る — 端末・メール・SaaS・データ・バックアップ・ログ
被害組織の72.5%はバックアップから戻せなかった。侵入されても被害を限定し、戻れるようにするために、EDRと端末の設定、SPF・DKIM・DMARC、SaaSの連携アプリとAPIキー、データ保護、攻撃者の手が届かないバックアップ、ログの保全を11枚の図で解説します。
対応と運用 — インシデント対応・委託先・人とルール
被害から1か月未満で復旧できた組織は47.9%。起きたときに迷わない体制と手順、個人情報保護委員会への報告の期限、委託先を「共に管理する」ためのライフサイクル、送金を別の経路で確かめる手順と生成AIの利用ルールを8枚の図で解説します。
180日ロードマップと自己点検チェックリスト
被害の多い入口から先に塞ぐ30・90・180日の導入の順序（28項目）、推進体制と方針、維持するための点検、SCS評価制度★3の26件との対応表、★3を超える推奨、チェックリスト65項目をまとめます。
How to read
立場別の読み方
IT・情報システム担当（1人情シスを含む）
第1回 → 第4回 → 第7回
攻撃の段階をつかんだら、入口を塞ぐ手順から着手。ロードマップで順序を決めます。
経営層・管理部門
第1回 → 第2回 → 第3回
なぜ基本対策に予算と人を割くべきかを、統計と事例で説明できるようになります。
すでに対策を進めている方
第2回 → 第7回
事例と自組織を照らし合わせ、チェックリストで抜け漏れと例外を点検します。
Policy
このガイドの書き方
原文に基づく
事実・数値は、官公庁・公的機関・標準化団体・ベンダー公式の原文に基づき、出典番号を付けています。原文で裏付けられない推奨は「本ガイドの提案」と明記します。
必須と推奨を分ける
「必須」は出典がMUST／SHALL／しなければならない、としている事項。「推奨」はSHOULD／望ましい、または本ガイドの提案です。
AIの関与を断定しない
個別の事件について、公的機関または当事者が公表していない限り「AIによる攻撃だった」とは書きません。確認された事実・事業者の報告・民間の見解を区別します。
数値は2026年10月27日時点
統計は基準日時点の最新版です。CVE件数・KEV件数は同日に集計した値で、後日の改訂で変わることがあります。
AIエージェント固有の統制は「LLMセキュリティ完全ガイド」へ
本シリーズは、AIを載せる前提となる一般的なIT基盤の防御を扱います。プロンプトインジェクションやエージェントの権限設計は、こちらのシリーズで解説しています。
How homula helps
AIの導入とセキュリティを、あわせて相談したい方へ
homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。AIを載せる前提となる基盤の点検も含めてご相談ください。
AIエージェントを導入する方へ →
AIエージェント固有の統制は、
一次文書に基づく実践ガイドで。
経済産業省・IPA・JPCERT/CC・デジタル庁・CISA・NIST・OWASPの一次文書に基づく「統制の8原則」と、導入前・導入時・運用の実装手順、ベンダー質問票18問、自社点検チェックリスト21項目を収録。SaaS型を選ぶときも、自社で構築するときも、そのまま使えます。
FAQ
よくある質問
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の★3を最低ラインとしています。★3は「広く知られた脆弱性等を狙う一般的な攻撃」を想定した、全企業が最低限実装すべき対策と位置付けられています。抜け漏れの確認には、国際的なベースラインであるCIS Controls v8.1のImplementation Group 1（IG1、56セーフガード）を使います。
読めます。組織のIT・情報システムを担当する方（1人情シスを含む）を想定し、専門知識は前提にしていません。用語は初出で説明し、攻撃の仕組みは図で示しています。
AIが攻撃をどう変えたか（脆弱性の発見の量産、だましの品質とコスト、攻撃の速度）と、生成AIへの業務データの入力など、AIを使う側に生じる新しい攻撃面を第3回で扱います。AIエージェントを導入する場合の固有の統制は、別シリーズ「LLMセキュリティ完全ガイド」で扱っています。
各記事の事実・数値には出典番号を付け、記事末尾に警察庁・IPA・JPCERT/CC・個人情報保護委員会などの原文へのリンクを載せています。統計は2026年10月27日時点の最新版です。事例は、公的機関または当事者が公表した事実だけを扱い、公表されていない限り「AIによる攻撃だった」とは書きません。