AI攻撃：高い関心と、認識と実態のギャップ

レポートが浮き彫りにした明確なテーマの一つが、AIを活用した脅威に対する「認識のギャップ」である。回答者の67％が「AI駆動型攻撃は増加している」と認識し、58％が「AIを活用したマルウェアを最大の懸念事項」に挙げている。しかし、レポートはAI強化型攻撃の実際の発生頻度は、多くの関係者が恐れるほどには高くないと指摘する。それでも、組織の63％が「過去12カ月以内にAIを含む攻撃を経験した」と回答している。

攻撃者は生成AI（GenAI）ツールを活用し、スキルレベルの低い攻撃者でも高度な攻撃を実行できるようにし、攻撃ライフサイクルを短縮している。GenAIを脅威と見なすかという質問には、実に96％が「脅威である」と同意し、3分の1以上（36％）は「悪意ある目的での利用が加速している」と回答した。

セキュリティチームの最優先課題：攻撃対象領域の削減へシフト

今回の調査で初めて、**攻撃対象領域の削減（Attack Surface Reduction）**がセキュリティチームの最優先業務として浮上した。セキュリティリーダーの68％が「不要なツールやアプリケーションを無効化することによる攻撃対象領域の削減は極めて重要」と回答している。このシフトは、従来の検出中心の戦略が限界に達したという認識に基づいている。

この優先度は米国（75％）とシンガポール（71％）で特に高い。その背景は明確だ。深刻度の高いサイバー攻撃の84％が、LOTL（Living Off the Land）手法——PowerShell、WMI、PsExecなどの正規ツールを悪用する手法——を使用しているのである。攻撃者はますます「不正侵入ではなく、ログインしてから侵入する（log in instead of break in）」戦略を採用し、盗難した認証情報と正規ツールを駆使して防御をすり抜けている。

ガバナンスの断絶：C-Suiteと現場の認識乖離

レポートは、経営層と実務チームの間に深刻なガバナンスおよびコミュニケーションのギャップがあることを明らかにした。

• 信頼のギャップ： 経営幹部（CxO）の45％が「自社のサイバーリスク管理能力に非常に自信がある」と回答したのに対し、中間管理職で同様の自信を示したのはわずか19％だった。
• 優先順位のミスアライメント： 経営幹部（41％）はAIツールの導入を最優先事項に挙げる一方、中間管理職（35％）はクラウドセキュリティとアイデンティティ管理に最も注力している。

この断絶は、リソース配分のミスアライメントや、運用上のセキュリティリスクへの対応遅延を招く。レポートは、経営幹部が日々の脅威の現実から隔離されやすい一方で、現場チームがその断絶の結果に直面していることを示唆している。

インシデント隠蔽の危機：「沈黙」の広がり

最も憂慮すべき発見事項の一つは、インシデントを秘密にするよう圧力がかかる実態である。

• セキュリティ専門家の**58％**が、「報告すべきであると認識していながら、インシデントを秘密にするよう指示された」と回答した。
• これはBitdefenderの2023年調査結果から38％の増加を示す。
• CISOやCIOは現場スタッフよりも、この圧力を感じる傾向が強い。

地域別の差は顕著である。最も高かったのはシンガポールの75.7％で、以下、米国73.8％、英国58.1％、イタリア52.8％、ドイツ48.4％、フランスは最も低く35.4％だった。

レポートは、この隠蔽文化が規制遵守、ステークホルダーの信頼、長期的な回復力を損なうリスクをはらんでいると警告している。

データ主権（Data Sovereignty）をめぐる緊張

公開されたレポートやブログ記事には、「データ主権」として明示された独立したセクションは存在しない。しかし、レポートは国別に結果を分析しており、越境規制圧力やインシデント報告義務に関するテーマは、58％というインシデント隠蔽の調査結果と関連して議論されている。LinkedIn上のレポートサマリーは、インシデントが「報告すべき場合であっても」秘匿されたと言及しており、規制とデータ主権をめぐる緊張関係を直接的に示唆している。インシデント隠蔽圧力の地域差（フランス35.4％〜シンガポール75.7％）は、各国の異なる規制環境やデータ主権に対する期待値を反映していると考えられる。

運用上のインシデント動向

LOTLの優位性に加えて、レポートは以下のような運用上の課題も浮き彫りにしている。

• 攻撃対象領域の強化における主な課題（回答者は最大3つを選択）：

  • セキュリティとユーザビリティのバランス（37％）
  • レガシーシステムとモダンシステムの統合（35％）
  • 急速に進化する脅威環境（34％）
  • サードパーティソフトウェアのサプライチェーン攻撃（32％）
  • タイムリーなパッチ適用（30％）
  • 過剰権限ユーザー（24％）
  • 正規ツールの悪用防止の難しさ（23％）

• ツールの乱立（Tool Sprawl）と複雑性が、運用上の大きな負荷として認識されている。レポートは、未使用の管理者アカウント、休眠アプリケーション、過剰な権限を削減することが、新たな防御の最前線であると強調している。攻撃対象領域の削減は単なるセキュリティ戦術ではなく、LOTLベースの攻撃の高度化に対処するために必要な戦略的シフトであると結論づけている。

総括

2025年Bitdefenderサイバーセキュリティ評価レポートが描くのは、移行期にある業界の肖像である。主要テーマは以下の5点だ。

1. ステルス型LOTL攻撃が主流となり、 従来の検出中心の防御は時代遅れになりつつある。
2. 攻撃対象領域の削減が、 68％のセキュリティチームの最優先業務となっている。
3. AIへの懸念は高いが、 実際の普及率と比較すると認識が先行している。
4. 経営陣の自信と現場の現実の間には、 深刻なガバナンスギャップが存在する。
5. 過半数のセキュリティチームがインシデント隠蔽の圧力を受けており、 この傾向は2023年以降急速に悪化し、規制と信頼に関する深刻な懸念を引き起こしている。

レポートには独立した「データ主権」セクションはないが、インシデント報告に関する調査結果を通じて、国境を越えた規制上の緊張関係が随所に示唆されている。隠蔽圧力の地域差は、異なる法制度と執行文化を反映している可能性が高い。

AI攻撃：高い関心と、認識と実態のギャップ

レポートが浮き彫りにした明確なテーマの一つが、AIを活用した脅威に対する「認識のギャップ」である。回答者の67％が「AI駆動型攻撃は増加している」と認識し、58％が「AIを活用したマルウェアを最大の懸念事項」に挙げている。しかし、レポートはAI強化型攻撃の実際の発生頻度は、多くの関係者が恐れるほどには高くないと指摘する。それでも、組織の63％が「過去12カ月以内にAIを含む攻撃を経験した」と回答している。

攻撃者は生成AI（GenAI）ツールを活用し、スキルレベルの低い攻撃者でも高度な攻撃を実行できるようにし、攻撃ライフサイクルを短縮している。GenAIを脅威と見なすかという質問には、実に96％が「脅威である」と同意し、3分の1以上（36％）は「悪意ある目的での利用が加速している」と回答した。

セキュリティチームの最優先課題：攻撃対象領域の削減へシフト

今回の調査で初めて、**攻撃対象領域の削減（Attack Surface Reduction）**がセキュリティチームの最優先業務として浮上した。セキュリティリーダーの68％が「不要なツールやアプリケーションを無効化することによる攻撃対象領域の削減は極めて重要」と回答している。このシフトは、従来の検出中心の戦略が限界に達したという認識に基づいている。

この優先度は米国（75％）とシンガポール（71％）で特に高い。その背景は明確だ。深刻度の高いサイバー攻撃の84％が、LOTL（Living Off the Land）手法——PowerShell、WMI、PsExecなどの正規ツールを悪用する手法——を使用しているのである。攻撃者はますます「不正侵入ではなく、ログインしてから侵入する（log in instead of break in）」戦略を採用し、盗難した認証情報と正規ツールを駆使して防御をすり抜けている。

ガバナンスの断絶：C-Suiteと現場の認識乖離

レポートは、経営層と実務チームの間に深刻なガバナンスおよびコミュニケーションのギャップがあることを明らかにした。

• 信頼のギャップ： 経営幹部（CxO）の45％が「自社のサイバーリスク管理能力に非常に自信がある」と回答したのに対し、中間管理職で同様の自信を示したのはわずか19％だった。
• 優先順位のミスアライメント： 経営幹部（41％）はAIツールの導入を最優先事項に挙げる一方、中間管理職（35％）はクラウドセキュリティとアイデンティティ管理に最も注力している。

この断絶は、リソース配分のミスアライメントや、運用上のセキュリティリスクへの対応遅延を招く。レポートは、経営幹部が日々の脅威の現実から隔離されやすい一方で、現場チームがその断絶の結果に直面していることを示唆している。

インシデント隠蔽の危機：「沈黙」の広がり

最も憂慮すべき発見事項の一つは、インシデントを秘密にするよう圧力がかかる実態である。

• セキュリティ専門家の**58％**が、「報告すべきであると認識していながら、インシデントを秘密にするよう指示された」と回答した。
• これはBitdefenderの2023年調査結果から38％の増加を示す。
• CISOやCIOは現場スタッフよりも、この圧力を感じる傾向が強い。

地域別の差は顕著である。最も高かったのはシンガポールの75.7％で、以下、米国73.8％、英国58.1％、イタリア52.8％、ドイツ48.4％、フランスは最も低く35.4％だった。

レポートは、この隠蔽文化が規制遵守、ステークホルダーの信頼、長期的な回復力を損なうリスクをはらんでいると警告している。

データ主権（Data Sovereignty）をめぐる緊張

公開されたレポートやブログ記事には、「データ主権」として明示された独立したセクションは存在しない。しかし、レポートは国別に結果を分析しており、越境規制圧力やインシデント報告義務に関するテーマは、58％というインシデント隠蔽の調査結果と関連して議論されている。LinkedIn上のレポートサマリーは、インシデントが「報告すべき場合であっても」秘匿されたと言及しており、規制とデータ主権をめぐる緊張関係を直接的に示唆している。インシデント隠蔽圧力の地域差（フランス35.4％〜シンガポール75.7％）は、各国の異なる規制環境やデータ主権に対する期待値を反映していると考えられる。

運用上のインシデント動向

LOTLの優位性に加えて、レポートは以下のような運用上の課題も浮き彫りにしている。

• 攻撃対象領域の強化における主な課題（回答者は最大3つを選択）：

  • セキュリティとユーザビリティのバランス（37％）
  • レガシーシステムとモダンシステムの統合（35％）
  • 急速に進化する脅威環境（34％）
  • サードパーティソフトウェアのサプライチェーン攻撃（32％）
  • タイムリーなパッチ適用（30％）
  • 過剰権限ユーザー（24％）
  • 正規ツールの悪用防止の難しさ（23％）

• ツールの乱立（Tool Sprawl）と複雑性が、運用上の大きな負荷として認識されている。レポートは、未使用の管理者アカウント、休眠アプリケーション、過剰な権限を削減することが、新たな防御の最前線であると強調している。攻撃対象領域の削減は単なるセキュリティ戦術ではなく、LOTLベースの攻撃の高度化に対処するために必要な戦略的シフトであると結論づけている。

総括

2025年Bitdefenderサイバーセキュリティ評価レポートが描くのは、移行期にある業界の肖像である。主要テーマは以下の5点だ。

1. ステルス型LOTL攻撃が主流となり、 従来の検出中心の防御は時代遅れになりつつある。
2. 攻撃対象領域の削減が、 68％のセキュリティチームの最優先業務となっている。
3. AIへの懸念は高いが、 実際の普及率と比較すると認識が先行している。
4. 経営陣の自信と現場の現実の間には、 深刻なガバナンスギャップが存在する。
5. 過半数のセキュリティチームがインシデント隠蔽の圧力を受けており、 この傾向は2023年以降急速に悪化し、規制と信頼に関する深刻な懸念を引き起こしている。

レポートには独立した「データ主権」セクションはないが、インシデント報告に関する調査結果を通じて、国境を越えた規制上の緊張関係が随所に示唆されている。隠蔽圧力の地域差は、異なる法制度と執行文化を反映している可能性が高い。