2026年10月21日（協定世界時）、攻撃者が正規のログインを経ずに、脆弱なサーバで悪意あるコードをリモート実行できるPHPの2つの脆弱性（通称「PHP2Shell」）が見つかった。これに対して欧州当局が共同で警告を発した際、もう一つの問題が浮き彫りになった。

　その後セキュリティパッチが公開されたものの、組織は自身が使用している製品やサービスのうち、どれが内部でPHPを使っているのかを把握できていない事実に直面した。当局は組織に向けて、影響を受けるアプリケーションを特定してベンダーと連携し、インターネットに接続されたシステムを最優先で処置するよう促した。しかしサイバー攻撃に対するレジリエンス（回復力）は、インシデントが発生してから慌ててスイッチを入れるように機能させられるものではない。

　組織にとって最大の脆弱性は、自らが存在さえ認識していない「システム同士の依存関係」だと言える。最近の事例からも分かるように、組織がどれほど強固なセキュリティ対策を講じていても、取引先やアプリケーション、自社インフラの奥深くに埋もれたコンポーネント経由で、脅威にさらされるリスクがある。今日の組織が直面している真の課題は、自組織が所有するシステムを保護することではなく、サプライチェーン全体を通じて自組織が何を使っているのかを正確に把握することだ。

警告の受領から責任ある行動へ

　経営層にとって目下の課題は、自組織が直面している危険性を把握して、サプライチェーン全体にわたるリスクに適切に対処したと客観的に証明することだ。ベンダーから「顧客向けポータルサイトへのパッチ適用が完了した」と報告を受けたら終わりではなく、自組織の他のアプリケーションが同じ脆弱な部品を使っていないかどうかを確認すべきだ。

　脆弱性管理はあらゆる組織で重要なプロセスであり、その責任の所在を明確にする必要がある。脆弱性が特定された際に素早くパッチを適用することは難しく、AI技術が脆弱性特定の速度を上げている現状ではなおさらだ。

　IT部門は、パッチ適用後もシステムが正常に稼働することを保証するために、アプリケーションと自組織のシステム構成に合わせて修正を適用し、テストしなければならない。セキュリティ管理者は優先順位を、人材や予算を調整し、事業への影響を周知する必要がある。監査担当者は、こうした一連の行動を支える管理体制が適切かつ有効に機能しているかを独立した立場で評価しなければならない。

　これらの役割は要だが、セキュリティ管理への要求水準が高まることで、セキュリティ担当者にはさらなる負担が掛かることになる。2026年5月にISACA（Information Systems Audit and Control Association）が世界のセキュリティ担当者1888人を対象として実施した調査によると、欧州の回答者の56％が「自組織のサイバーセキュリティ部門は人手不足だ」、55％が「資金不足だ」と回答した。このような制約は、リスクの調査や復旧作業の調整、パッチが確実に適用されたかどうかの検証をいっそう困難にしている。

　システムがますます複雑になる中で、セキュリティ担当者は、より少人数のチームで、より多くの業務を、より迅速にこなすことを強いられている。組織が最低限のサイバーセキュリティを維持したいと望むなら、セキュリティ人材や技術への投資拡大は避けて通れない。

次の警告が来る前に回復力を高める

　サイバーレジリエンスは、危機が訪れる前の平時に構築しておかなければならない。IT資産と依存関係の正確なインベントリの作成、ベンダーとの緊急連絡網の確立、緊急時のシステム変更手順の整備は、担当者が迅速に対処するための基礎になる。サービスを一時的に切り離さなければならない場合に備え、復旧をどう確認し、混乱をどう収拾するかも知っておく必要がある。

　経営層は、自組織がこうした対処能力に十分な投資をしているかどうかを見極めるべきだ。セキュリティ担当者が脆弱性を監視し、必要なときに行動するための資金、スキル、権限を持っていることを保証しなければならない。サポートが終了したシステムには注意を払って、重大なリスクが見つかった場合は、それを解決できる権限を持つ人物にすぐ報告が上がる仕組みを導入する必要がある。こうした準備体制は演習を通じてテストし、インシデントが発生した後には必ず見直しと改善を実施すべきだ。

　セキュリティ投資は、次世代のセキュリティ人材の育成にも振り向ける必要がある。AIツールが脆弱性の発見を加速させる中、防御側には責任を持ってAIツールを使いこなして脆弱性を特定し、調査結果を評価した上で、復旧を支援するスキルが求められる。継続的な学習、技術的な経験、専門家としての判断力が、そのスピードを優れた防御へと変換するために不可欠になる。

　技術から脆弱性が完全に消え去ることはない。真の試練は、ソフトウェアの欠陥がより広範な事業危機に発展するのを防ぐための統治体制、専門知識、すぐに行動できる準備が組織に備わっているかどうかだ。あらゆる企業やシステムが相互に結びついた現代の経済において、一組織のサイバーセキュリティへの準備の質は、単一の組織にとどまらず、社会全体に計り知れない影響をもたらす。