IT企業にとってセキュリティ運用は、自社の信頼だけでなく、顧客のシステムを預かる事業の存立条件です。IPA「情報セキュリティ10大脅威2025（組織編）」では、「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位、「システムの脆弱性を突いた攻撃」が3位に選ばれました。AIの使い所は、この上位の脅威に対応する日々の運用――脆弱性情報の仕分け、ログの監視、対応の優先付け――の負荷を下げることにあります。
脆弱性管理は「自社資産との突合」から自動化する
ベンダーやJVN（Japan Vulnerability Notes）等から日々公表される脆弱性情報のうち、自社が実際に使っている製品・ライブラリに関係するものだけを抜き出す作業は、担当者の大きな負担です。資産台帳（製品名・バージョンの一覧）を整え、脆弱性情報と自動で突合して候補を提示する流れを作ると、対応漏れと確認工数の両方を減らせます。AIは深刻度の一次評価の材料提示に使えますが、適用判断と顧客への報告は、影響範囲を確認したうえで人が行ってください。
サプライチェーンを意識した委託先管理を手順化する
脅威2位が示す通り、攻撃は自社だけでなく委託先や取引先を経路にします。開発・運用の委託先に対して、アクセス権限の棚卸し、脆弱性対応の報告期限、インシデント発生時の連絡手順を契約と運用手順でそろえることが、AI活用以前の土台です。そのうえで、委託先からの報告文面の要約や、棚卸し結果の差分チェックにAIを使うと、確認作業の抜けを減らせます。
ランサムウェア前提で「復旧できる状態」を点検する
ランサム攻撃への備えは、侵入防止だけでは完結しません。バックアップが実際に復旧できるかの定期テスト、認証運用の見直し、初動手順の訓練まで含めて点検項目にしてください。IPAの解説書も、認証運用・インシデント対応体制・バックアップ運用を横断的な共通対策として示しています。点検結果は四半期ごとに経営層へ報告し、セキュリティ運用を「IT部門の仕事」から「経営の管理項目」に格上げすることが、継続的な投資判断につながります。
自社の現場に引きつけた進め方を検討したい方は、本誌の30分無料相談で、点検項目の作り方や進め方の優先順位を一緒に整理できます。まずは現状の課題をお聞かせください。
あわせて読みたい
「金融機関のAI活用は「守りの設計」から始める。情報管理と研修の進め方」 https://axdx.aohalab.ai/#/article/31
「「その情報、AIに入れて大丈夫？」に答えるための、入力前チェックリスト」 https://axdx.aohalab.ai/#/article/22
出典：IPA「情報セキュリティ10大脅威2025」 https://www.ipa.go.jp/security/10threats/index.html
本記事で紹介した内容は2026年11月時点の公表情報に基づきます。最新の内容は出典の一次情報をご確認ください。