部屋とワイシャツとSASEとAIとセキュリティと私
――境界がなくなった世界で、情シスは何を守るのか

2026年11月2日

タイトルについてはもう少しまとめろというご意見には、とても賛成します。さて、どうも、運営委員の山田と申します。ネットワークインフラ畑と情シス畑、それぞれ半分くらいのキャリアの者です。
昔のネットワークの仕事は、「線を引く」仕事でした。拠点と本社をつなぎ、ファイアウォールで内と外を分ける。境界がはっきりしていたので、守る場所も分かりやすかったのです。ネットワークエンジニアとして、そして情シスとして長くこの世界にいる私から見ると、今はその「線」が溶けてなくなった時代だと思います。線を引くのが得意だったのに、紙ごと溶けてしまったわけで、定規を握ったまま途方に暮れている人も多いのではないでしょうか。

1. SASEは「境界の引っ越し」です

業務システムはクラウドへ、人は自宅やカフェへ。社内LANの中に守るべきものがほとんどない、という状況が当たり前になりました。そこで出てきたのがSASEです。ネットワークとセキュリティの機能をクラウド側にまとめて、場所を問わず同じルールで通信を制御する考え方です。
大事なのは、製品名でも機能の多さでもありません。「誰が、どの端末で、何にアクセスしようとしているのか」を見て判断する、という発想の転換、いわゆるゼロトラストです。実際に導入してみると、いちばん骨が折れるのは技術ではなく、既存ルールの棚卸しだったりします。長年積み重なった例外設定、誰も理由を覚えていない許可リスト。押し入れの奥から十年前の「一時的な」設定が出てきて、「一時的」の寿命の長さに感心したこともあります。SASEは新しい箱を入れる話ではなく、運用の見直しそのものなのです。四十過ぎてこんなものをゼロから導入させられたことで、情シスの仕事について、考え方が大きく変わった衝撃たるや。月に行ったらウサギがいなかったことに衝撃を受けたくらいの話でしたが、いやまあ、そもそもいないことは分かっていたし、的な。吹けない口笛吹いてごまかすところですね。

2. 今月の教材:PHP2Shell

先月、PHPに見つかった重大な脆弱性「PHP2Shell」が世間を騒がせたどころか、比喩では無くて血反吐を吐く事態になった方も多いだろうと思います。報道によれば、深刻度の高い2件の脆弱性で、条件次第では認証なしにリモートからコードを実行されるおそれがあり、PHP 5.4以降のほぼ全バージョンが対象です、知ってますよまだPHP5使っているでしょ。影響を受けうるインスタンスは2,260万件以上とされ、10月21日に緊急パッチが公開されました。さらにOpenAIによると、欠陥の発見にはAIモデルが一役買ったそうです。同じ10月には、国内のクラウド基盤がランサムウェア攻撃を受けたとも報じられました。「クラウドに預けたから安心」とはいかないのが、悩ましいところです。
私が考えたのは、そもそも「PHPを使っていますか」と聞かれて即答できる組織がどれだけあるだろうか、ということです。社内のどこで動いているのか、古いバージョンが残っていないか、委託先のサーバーはどうか。パッチ以前に、まず棚卸し。SASEの話と、まったく同じ構図です。
ちなみに、私の個人VPSのWEBサーバーは、ずいぶん前に停止済みでした。「使わないサーバーは落としておく」という地味な方針が、今回は最強の防御になりました。電源の入っていないサーバーは攻撃されません。ゼロトラストならぬ、ゼロサーバーです。ただ、威張れる話でもありません。副業先のお客さんに「旧サイトのサーバー、ちゃんと解約されていますか」と確認をお願いしたところ、しっかりシャットダウン（というか解約）されていて、ほっとしました。自分が契約していたVPSって本当にシャットダウンしていたっけか？とオロオロしながら確認していた私なんかより、お客さんの方が余程しっかりされています。まぁそこはそもそも私の教育のた（ｒｙ。

3. AIは味方であり、新しい穴でもあります

生成AIの登場で、情シスの悩みがひとつ増えました。従業員が、良かれと思って社内の情報をAIに貼り付ける、いわゆるシャドーAIです、よかねぇよと言いたい。ただ頭ごなしに禁止しても、便利なものは必ず使われます。しかも隠れて使われるぶん、状況はかえって悪くなります。かくれんぼの鬼になっても、情シスは勝てません。
そこで私は、まず「見える化」から入るのが現実的だと考えています。SASEのプロキシやCASBの仕組みで、どのAIサービスにどれくらい通信が出ているかを把握し、なぜ使われているのかを理解したうえで、会社として安全に使える選択肢を用意する。禁止ではなく、安全な道を用意するほうが、結果的に守れます。AIプラットフォームを利用するのも効果的でしょう。
PHP2Shellでも見えたとおり、AIは攻める側にも守る側にも効きます。脆弱性の発見が速くなれば、パッチを当てるまでの猶予も短くなります。守る側も、ログ分析やアラートの要約でAIを使わない手はありません。ただし、止めるか通すかの最終判断は人間です。そこを丸投げすると、責任の所在も一緒に消えてしまいます。これは一歩間違えると、「AIに任せれば情シスなんかいらない」という、極端かつ大間違いだけど偉い人たちが陥りがちな推論を補強しかねません。個人的には「だったら任せてればいいんじゃないっすかー（棒」とか思ったり思わなかったりラジバンダリ、いやそんな意地悪な妄想なんかしませんよ、大人なんで。

4. セキュリティは「止める」から「安全に使わせる」へ

情シスが現場から敬遠されるのは、たいてい「ダメです」しか言わないときです。セキュリティの本来の仕事は、業務を止めることではなく、安心して前に進めるようにすることだと思います。副業で中小企業の情シスを支援していても、強く感じます。大企業と同じ仕組みを真似する必要はありません。資産の把握、多要素認証、パッチ適用（アップデート）、バックアップ。この地味な基本を、続けて回せているかどうかです。高価な製品を入れても、運用が回らなければ意味がありません。SASEもAIも、その基本の上に乗せて初めて効いてきます。ただ、より安全に使わせるためには一定の投資が必要です。それこそ、SASEやAIへの投資となります。もうこの辺は、情シス云々よりは経営判断になるのかなあとも思います。
安心と安全にはお金も手間も掛かるというのが、2026年の現実です。

おわりに

境界がなくなっても、守るべきものがなくなったわけではありません。守るべきものが「場所」から「人とデータ」に移っただけです。SASEはその土台、AIは使い方次第で味方にも穴にもなる道具、セキュリティはそれらを現場が無理なく使い続けられる形に整える仕事です。結局、続かない仕組みは守ってくれません。PHP2Shellも、後から振り返れば「あれが転換点だった」と言われる事件かもしれません。技術の話をしているようで、最後はいつも人の話になります。それが、この仕事のいちばん面白いところだと私は思っています。だからもうしばらくは、情シスの仕事をAIだけに任せるような世の中にはならないでください、お星様。で、そのお星様がSpaceXのスターリンク衛星で結局AIが（ｒｙ。
山田 志門 PCNW運営委員
株式会社ビットキー

ネットワークエンジニアを経て、長年、情報システム部門の実務に従事。
SASE導入やネットワーク機器選定などの経験をもとに、技術ブログ等で情報発信を行っている。
中小企業の情シス支援のあり方や手法を日々考えている。

© PC・ネットワークの管理・活用を考える会