企業がセキュリティ対策を進める際に陥りやすいのが「製品を導入した時点で対策が完了した」と錯覚することだ。調査では、利用中のセキュリティ製品の設定やルールを最後に見直した時期について、「1年以上前」が21.4％、「導入以来実施していない」が9.6％、「分からない」が19.6％に上った。合計すると半数以上の企業が適切なチューニングや現状把握をしていないことになる。特に従業員49人以下の企業では、「導入以来実施していない」が37.9％に達した。

　製品を導入しても、攻撃手法の変化や自社システムの改修に合わせてルールを更新しなければ、防御性能を維持できない。設定が見直されないまま放置された製品は形骸化して「お守り」と化してしまう。

　同様の問題は、ECサイトやプラットフォームの保守運用にも現れている。ECサイトのシステムやプラグインを直ちに更新しない理由を尋ねたところ「独自カスタマイズをしているため簡単に行えない」が26.3％で最多となり、「予算がない」（20.0％）、「表示崩れや機能不全の懸念」（19.2％）が続いた。「現在正常に動いているから触らない」という現状維持の判断が、脆弱（ぜいじゃく）性を放置する要因になっている。

　多くの企業において、WebサイトやECサイトは売り上げに直結する基幹基盤だ。一度構築したシステムに独自のカスタマイズが重なると、アップデートによる影響範囲の特定が困難になる。表示崩れや予期せぬ不具合による業務停止を恐れるあまり、保守担当者は改修に踏み切れない。脆弱性のリスクを認識しつつも、目の前の事業継続を優先した結果、システムの塩漬けが常態化してしまう。

　CSAは、脆弱性が残るCMSやプラグインは不正コードや偽決済画面の挿入、情報漏えいなどにつながる恐れがあるため、継続的なアップデートや公式サポートなどを利用した保守体制の整備が重要だと指摘している。

　自社で「実際に不審コード埋め込みや情報漏えい被害に遭った」と回答した割合は15.0％、「身近で被害事例を聞いた」は35.0％となり、合わせて半数の企業が被害を身近に捉えている。

　第三者による不正ログインや情報流出について、「実際に被害に遭った」は21.0％、「被害は未確認だが大量の不正試行を検知した」は36.4％で、合計57.4％が攻撃の対象となった。

　被害を受けた場合の代償は大きい。被害判明後の事後対応費用（原因究明のためのフォレンジック調査、システム改修、顧客対応、人件費など）について、被害を経験した回答者の60.9％が「100万円以上」を要したと答えた。「1000万円以上」の回答も17.1％に上った。従業員1000人以上の企業に限れば、実被害経験者の61.6％で事後費用が「500万円以上」に達している。事前の予防投資や運用コストを惜しんだ結果、インシデント発生時に極めて大きな金銭的・人的負担を強いられる構造が浮き彫りになった。

取引先管理とAIガバナンスが突き付ける組織課題

　死角は自社インフラの運用にとどまらない。サプライチェーンの拡大と新技術の普及に伴い、管理すべき対象が広がっている。

　取引先のセキュリティ対策状況について、全体の57.6％が「必要に応じて把握したい」と回答した。自社でセキュリティ運用を担う層では同回答が66.5％を占めた。

　今後のセキュリティ運用業務について「対応業務が増える」と見込む割合は全体の44.4％（従業員1000人以上では52.6％）に達した。自社の運用負荷が増大する中で、取引先の状況も含めて監査・把握する仕組みをどう維持するかが課題となっている。

　生成AIやAIエージェントへの対応では、企業規模による格差が鮮明になった。利用に伴う社内ルールやガイドラインの整備率は、従業員1000人以上の企業で50.9％であるのに対し、50～299人の企業では28.6％、49人以下では15.2％にとどまった。大企業側でも、AIアプリケーションの脆弱性診断（34.9％）や、プロンプトインジェクションなどAI特有の攻撃に対する検証（25.7％）といった技術的な対策は道半ばだ。

「導入して終わり」から脱却するために

　今回の調査結果を踏まえ、CSAはクラウドやWAFの継続監視、EC基盤の更新、取引先を含む管理体制の整備、不正アクセスの予防、AI利用ルールと技術的検証の充実を提言した。

　同調査は、日本のWeb・EC環境の安全性向上を目的に、運営会員のイーシーキューブ、かっこ、サイバーコマンド、サイバーセキュリティクラウドが企画・設計を担当した。CSAは今後も啓発活動や情報発信、関係団体との連携を通じて、Web・EC事業者のセキュリティ対策を普及させる方針だ。