サイバー攻撃の対象は、パソコンやサーバーだけではない。クラウドサービス、モバイル端末、ネットワーク機器、工場設備、社会インフラなど、デジタル技術によって接続されたさまざまなシステムが対象となり得る。

サイバーセキュリティは、このようなサイバー空間の利用を攻撃から守り、情報やシステムを安全に利用できる状態を維持するための考え方である。

2.1 サイバーセキュリティとは

サイバーセキュリティは、サイバー空間の利用をサイバー攻撃から保護または防御する能力として捉えられる。

守る対象には、情報そのものに加えて、情報を保存・処理するコンピュータ、通信を行うネットワーク、サービスを提供するアプリケーション、機器を制御するシステムなどが含まれる。

例えば、外部からデータを盗み出す行為だけでなく、データを書き換える行為、サービスを停止させる行為、正規の利用者になりすます行為なども、サイバーセキュリティ上の問題となる。

したがって、サイバーセキュリティの目的は、攻撃を一度も受けない状態だけを目指すことではない。攻撃を受ける可能性を下げ、異常を検知し、被害の拡大を抑え、必要な機能を復旧できる状態を整えることも含まれる。

2.2 情報セキュリティとの関係

情報セキュリティは、情報と情報システムを、不正なアクセス、利用、開示、変更、破壊などから保護する考え方である。

これに対してサイバーセキュリティは、コンピュータ、ネットワーク、電子システム、データなどを、サイバー空間を通じた攻撃から守ることに重点を置く。

両者の範囲は大きく重なっている。ネットワークを通じて顧客情報が盗まれた場合は、情報の漏えいであると同時に、サイバー攻撃によって生じた問題でもある。

このように、両者は共通する対象を持つが、サイバーセキュリティでは、サイバー空間を通じた攻撃からの保護と防御に重点が置かれる。

2.3 サイバーセキュリティで守るもの

サイバーセキュリティでは、データだけを切り離して考えることはできない。データを利用するには、端末、サーバー、ソフトウェア、通信経路、利用者、認証情報などが必要になるためである。

クラウドサービスや外部の事業者を利用している場合には、自社の内部だけで安全性が完結するとも限らない。外部サービス、委託先、ソフトウェア、通信網などへの依存関係も、攻撃を受け得る範囲に含まれる。脅威分析でも、デジタル上の依存関係が攻撃対象となる範囲を広げることが指摘されている。

また、工場設備や交通、エネルギーなどでは、コンピュータによる処理が物理的な機器の動作へつながる。こうしたサイバーフィジカルシステムや運用技術も、サイバーセキュリティで守る対象となる。

2.4 機密性・完全性・可用性

サイバーセキュリティ上のリスクは、情報またはシステムの機密性、完全性、可用性が失われることによって生じる影響と関係している。

それぞれの英語表記であるConfidentiality、Integrity、Availabilityの頭文字から、この3要素はCIAまたはCIAトライアドと呼ばれる。

機密性

機密性（Confidentiality）とは、許可された人やシステムだけが情報へアクセスできる状態を保つことである。

認証、アクセス制御、通信や保存データの暗号化などは、機密性を守るための対策となる。

完全性

完全性（Integrity）とは、情報やシステムが正確で完全な状態に保たれ、許可なく変更または破壊されていない状態を維持することである。

データの検証やハッシュ値による改変の確認などは、完全性の確保につながる。

可用性

可用性（Availability）とは、許可された利用者が、必要なときに情報やシステムを利用できる状態を保つことである。

システムの冗長化、バックアップなどは、可用性を維持するための対策となる。

CIAは互いに独立しているわけではない。アクセス制限を厳しくしすぎれば、必要な利用者まで情報を使えず、可用性を損なうことがある。反対に、利用しやすさだけを優先すれば、機密性や完全性が低下する可能性がある。守る対象と利用目的に応じて、3つの要素を組み合わせて考える必要がある。

2.5 脅威・脆弱性・リスク

サイバーセキュリティを考えるうえでは、脅威、脆弱性、リスクを区別する必要がある。

表2-1 脅威・脆弱性・リスクの違い

用語	意味
脅威	情報やシステム、組織の活動などへ悪影響を与える可能性のある状況または事象
脆弱性	脅威によって悪用または作動させられる可能性のある、システム、手順、管理策、実装上の弱点
リスク	望ましくない事象が発生した場合の影響と、その発生可能性を踏まえて捉える危険の大きさ

例えば、攻撃者が不正ログインを試みる可能性は脅威、推測されやすいパスワードや不適切な権限設定は脆弱性、その結果として情報漏えいや業務停止が生じる可能性と影響はリスクとして整理できる。

脅威が存在していても、すべての組織が同じリスクを持つわけではない。保有する情報、システムの構成、外部公開の範囲、利用者、管理策、事故が業務へ与える影響などによって、優先して対処すべきリスクは異なる。

2.6 技術だけでは防げない

サイバーセキュリティ対策には、ファイアウォール、暗号化、認証、バックアップなどの技術が用いられる。

しかし、通常の通知と見分けにくい警告は無視されやすく、技術的な仕組みが存在していても、利用者へ適切な行動を促せるとは限らない。

セキュリティ警告に関する研究では、警告を単に表示するだけでなく、利用者の行動の変化、警告に対する信頼の調整、リスクに応じた行動の調整を含めて考える必要性が整理されている。サイバーセキュリティは、技術、人、組織の手順を組み合わせて成り立つ。

2.7 AIと接続範囲の拡大

AIは、サイバーセキュリティにおいて攻撃と防御の両方に関係する。生成AIは、人をだます文章や偽装された情報を作るために悪用される可能性がある一方、大量の警告や脅威情報の整理、脆弱性の調査、セキュリティ運用の支援にも利用できる。

特に、大規模言語モデルを利用して外部ツールを操作し、複数の処理を進めるLLMエージェントは、脅威情報、脆弱性評価、侵入テスト、セキュリティ運用などへの応用が研究されている。ただし、体系的レビューでは、研究上の成果と実際の運用環境で求められる評価との間に隔たりがあることも示されている。

さらに、サイバーフィジカルシステムや運用技術では、従来の情報システムとは異なる制約がある。体系的レビューでは、量子計算を想定した暗号への移行、実際の設備で得られるデータの不足、システムや分野ごとに異なる分類などが課題として整理されている。

このように、サイバーセキュリティで守る対象は、情報とコンピュータだけではなく、人の判断、AIによる処理、外部サービスとの接続、物理設備の動作まで広がっている。

2.8 継続的に管理する

システム、利用者、外部サービス、攻撃手法は変化するため、一度導入した対策がそのまま有効であり続けるとは限らない。

そのため、守る対象と依存関係を把握し、脅威と脆弱性を確認し、リスクに応じて管理策を選び、実際に機能しているかを継続的に評価する必要がある。事故が発生した場合には、検知、対応、復旧の結果を踏まえて対策を見直すことも重要となる。

サイバーセキュリティは、特定の製品を導入して完了する作業ではない。技術、人、組織、外部との接続関係を含む仕組み全体を、変化に合わせて管理し続ける活動である。

まとめ

サイバーセキュリティは、サイバー空間の利用を攻撃から守り、情報やシステムを安全に利用できる状態を維持するための考え方である。

基本となる視点には、機密性、完全性、可用性のCIAがある。また、脅威、脆弱性、リスクを区別し、守る対象と業務への影響に応じて対策を選ぶ必要がある。

現在のサイバーセキュリティは、情報やネットワークだけでなく、人の判断、AIエージェント、外部サービスへの依存、物理設備まで含む。技術だけに依存せず、仕組み全体を継続的に確認し、変化に合わせて管理することが重要である。

この記事について

参考文献

• 「Cybersecurity Warnings as Safety-Relevant Learning Mechanisms: A Scoping Review of Behavioral Adaptation, Trust Calibration, and Risk Regulation」Eleonora Chiantera、Lorenzo Arciulo、Francesco Di Nocera 著
• 「LLM-Based Agents for Cybersecurity: A Systematic Review of Architectures, Applications, and Open Challenges」George Fatouros、Konstantinos Mavrogiorgos、Georgios Makridis、John K. Soldatos、Dimosthenis Kyriazis 著
• 「Cybersecurity of Cyber-Physical Systems in the Quantum Era: A Systematic Literature Review-Based Approach」Siler Amador、César Pardo、Raúl Mazo 著
• 「A Review of Crime at Machine Speed: Criminological Aspects of Artificial Intelligence’s Industrialisation of Deception」Paolo Bailo、Ascanio Sirignano、Giulio Nittari、Giuseppe Visconti、Giuliano Pesel、Tommaso Spasari、Giovanna Ricci 著
• 「A Comprehensive Review of Cyber Security Vulnerabilities, Threats, Attacks, and Solutions」Ömer Aslan、Semih Serkant Aktuğ、Merve Ozkan-Okay、Abdullah Asim Yilmaz、Erdal Akin 著
• 「Enhancing CIA Triad—Confidentiality, Integrity and Availability in Educational Information Systems Through Next-Generation ISO/IEC 27001:2022-Aligned Security Model」Dejan Vasović、Goran Janaćković、Žarko Vranjanac、Srećko Stamenković、Bojan Vasović 著

参考資料

• National Institute of Standards and Technology（NIST）「Computer Security Resource Center Glossary」
• European Union Agency for Cybersecurity（ENISA）「ENISA Threat Landscape 2026」

（最終閲覧日：2026年10月17日）


※本記事は、上記文献を参考にしつつ、筆者の理解に基づき整理したものである。