ボーダーレスなデジタル環境を守る

シャドーBYODのような未管理デバイスは、攻撃や機密データ漏えいの主要ベクトルとなります。組織はこれらの不正なエンドポイントを特定し、管理下に置く必要があります。

機密データを盗むサイバー犯罪者は、企業ネットワークへの侵入経路を必要とします。最近では、その経路が未管理のデバイス、たとえばIT部門の管理外にある個人端末などを通じて広がっています。これらの端末は依然として社内ネットワークやデータにアクセス可能です。

マイクロソフトによる 調査によると、ランサムウェア被害の90%以上で、攻撃者は未管理端末を使って最初に組織のネットワークに侵入しています。Ivantiの調査では、2025年の最大の脅威予測はランサムウェア（AIによって脅威が増加すると予測するセキュリティ専門家は38%）。この2つが重なることで、攻撃者にとって好都合な状況になります。

Ivantiの調査は、問題の深刻さを次のように示しています：

リモートネットワークへのアクセスはオフィスワーカーにとって非常に一般的です：

オフィスワーカーの85％が、勤務時間外に（時々または頻繁に）リモート作業をすると回答しています。たとえば、夜間のメールチェックや週末の簡単な業務などです。こうしたリモート接続は、特に個人端末を使う場合、企業のデータを潜在的なセキュリティリスクにさらします。

 

個人端末の利用は広く普及しており、把握も困難です： 

IT担当者の4分の3はBYODの利用が日常的だとし、うち52％だけが明確に自社で許可されていると答えています。BYODが認められていない組織でも、78％の従業員は制限を守っていません。

 

未管理BYOD端末では基本的なセキュリティ管理がないため、サイバー犯罪者にとって企業データへの魅力的な侵入口となります。組織がBYODを禁止した場合も、個人端末の規制や管理方法・それがつながるネットワーク管理が曖昧になりがちです。

 

IT部門は未管理デバイスやリモートアクセスの実態を十分に把握できていません： 

IT担当者の38％が、社内ネットワークにアクセスするデバイスの詳細情報が不十分と回答。さらに45％がシャドーIT（管理外システム）の情報も十分でないとしています。

このような死角があると、セキュリティ侵害やコンプライアンス違反のリスクが高まります。不正や脆弱なデバイスが検出されないと、組織は守るべきものを守れません。

リモートワークや未管理端末の普及に対処するため、最新のネットワーク境界は「ソフトウェアで定義」される方向に進化しています。アクセス権や保護は「その人やデバイスが誰か（認証済み）」で管理され、どこから接続しているかには依存しません。

エッジデバイスはネットワークの端で稼働し、既知のセキュリティホールゆえに攻撃者の格好の標的となります。

IoTセンサーやスマートカメラ、リモート機器といったエッジデバイスの存在が、ネットワークの端でのリスクを増加させています。なぜなのでしょうか？

• 従来のクラウドやデータセンター集中処理と異なり、エッジデバイスはデータ生成元またはその近辺でデータを処理します。つまり、貴重な情報が物理的に露出し、しばしば企業のセキュリティ制御が十分でないデバイスにローカル保存されやすいです。
• エッジデバイスは、脆弱な初期設定や希少なセキュリティアップデート、EDR（エンドポイント検知・対応）能力の不足に依存する場合が多くなります。

Ivantiの調査によれば、IT担当者の44%がエッジデバイスによるデータ生成増加が組織のリスクも増大させると考えています。

平均すると、エッジデバイスの管理率はたったの60％。つまり5台中2台のエッジ端末が、実質的に監視されていない企業ネットワークの侵入口になっています。

こうした穴を埋める取り組みをする組織もあります：

• 61％は、構成要件を満たさないエッジデバイスのネットワーク接続を制限しています。
• 55％は機械学習を用いて、エッジデバイスの異常動作を監視しています。
• 47％はエージェント（管理ソフト）でエッジデバイスの構成を制御しています。
• 43％は、エッジデバイスをパブリッククラウドインフラ内で分離しています。

しかし、（当社調査ベースで）40％のデバイスが管理されていない現状では、どんな策も十分に効果を発揮しません。

境界のない脅威に満ちた環境では、ゼロトラストという考え方がソフトウェア主体のインテリジェントなセキュリティをもたらします。

境界ベースのセキュリティ対策は脅威はネットワーク外部から来るものと仮定し、内部の存在を信頼する考え方が前提です。しかし従業員のモビリティや未管理デバイスの増加で、このやり方はすでに限界です。

ゼロトラストは根本的に異なるアプローチです：「決して信頼せず、必ず検証する」。つまり場所にかかわらず全てのユーザー、デバイス、アプリについて認証と認可が必須となります。

ゼロトラスト実現には、（１）ID・アクセス管理（本人確認）、（２）最小権限アクセス（仕事に不要な権限を与えない）、（３）暗号化によるデータ隠蔽の３要素が基盤です。

ここに現場とのギャップがあります：IT担当者の79％が「社外作業時はアクセス制御が特に重要」と認識していますが、実際にゼロトラストネットワークアクセスを導入している企業は34％、特権アクセス管理はわずか30％に留まります。

リーダー層の理想と現場の実態には大きな乖離が存在します。

現在、企業境界は曖昧になり、脅威はどこからでも発生し得る時代です。重要資産を守るには2つの柱が必要です：

１）端末管理プログラムを網羅的に拡充し、どこからでも監視・パッチ適用・アップデート・テレメトリ分析ができるようにすること

２）IDベースのソリューションやゼロトラスト型アクセス制御で、アクセス前にエンドポイント健全性を随時検証できるようにすること

ゼロトラスト導入は組織規模を問わず、セキュリティ強化というだけでなく経営的リスク極小化・重要データ守護のための必須条件です。

本レポートはIvantiの2025年 サイバーセキュリティ ステータスレポート：パラダイムシフトおよび2025 職場におけるテクノロジーレポート：フレキシブルワークの再構築を基にしています。これらの調査は2024年10月および2025年2月に実施され、世界で計600名以上の経営幹部、3,000名のIT・サイバーセキュリティ専門家、6,000名のオフィスワーカーを対象に調査しました。

この調査はRavn Researchによって実施され、パネリストはMSI Advanced Customer Insightsによって募られました。 調査結果は重みづけによって調整されていません。 国別の詳細については、お問い合わせください。