2025年以降の主なサイバーセキュリティの動向予測：BeyondTrustのまとめ

“Top Cybersecurity Trend Predictions for 2025+: BeyondTrust Edition” Oct 15, 2024 by Morey J. Haber, Christopher Hills, James Maude, and Mike Machado より

毎年恒例のサイバーセキュリティの動向予測ですが、今回は、2025年の主な予測と共に、2020年代の残りの数年を見据えたときに現れつつある傾向についても触れたいと思います。

ビジネス損害、支障につながるサイバーセキュリティ脅威の未来を占う

2024年も終わりに近づくとともに、激動の2020年代も中盤に差し掛かろうとしています。これまで我々は、のるかそるかのサイバー攻撃や全世界を麻痺させるようなテクノロジーの機能不全から、世界的なパンデミックまで、あらゆることを経験してきました。2025年を見据えるとき、明確になりつつあるサイバーセキュリティの傾向についてじっくり考え、まだ具体的な形になっていないその対応策を練り始めるべきでしょう。

毎年恒例のサイバーセキュリティの動向予測ですが、今回は、2025年の主な予測と共に、2020年代の残りの数年を見据えたときに現れつつある傾向についても触れたいと思います。

ですが、まずは今現在の状況について少し考えてみましょう。サイバーセキュリティの世界は、明らかに急速な進化という新たな段階に突入しています。昨年、AI（人工知能）が著しい技術的躍進を遂げ、脅威の概況をがらりと変えてしまったため、組織はセキュリティ戦略を考え直すことを余儀なくされました。このため、AIとML（機械学習）を利用して脅威の検出と対応を進める防御ツールが一気に増えました。

すでに、もうひとつの技術革新が表舞台に躍り出ようとしています。それは、量子コンピューティングです。これは数年来というもの、はるか彼方に見えていた分野ですが、ついに現実に近づいてきました。量子コンピューティングは、これまでとは比べものにならない被害をもたらしかねず、現在広く使われている従来の暗号化手法にとっては非常に大きな課題となります。

またここ数年、脅威の実行者が環境に忍び込む方法にも変化がみられるようになっています。IDを中心とした戦法に比重が傾いたために、サイバーセキュリティの現場にいる人々は、「特権」や「IDセキュリティ」の定義を見直し、侵入されたアカウントからの“blast radius（爆破範囲地帯）”攻撃を減らすことへと、防御戦略の主眼を移すようになりました。

こうした状況に取り巻かれ、政治的な緊張も高まっている今、国家規模のサイバー攻撃が世界中に波及する可能性も、かつてないほど高くなっています。

先々にこれだけ多くの課題が見えているのですから、組織は警戒を怠らずにセキュリティ戦略を最新の傾向に合わせて調整する必要があります。それでは、2025年とその先のサイバーセキュリティの状況を、あらためて一緒に見ていきましょう。

BeyondTrustの2024年度のサイバーセキュリティ予測を再度おさらい

昨年、BeyondTrustは、台頭しつつあるAIの脅威に押されてサイバーセキュリティの状況に重大な変化が起きていること、ランサムウェアがより高度になり、IDの信頼性をより強化する必要があることなどを予測しました。

予測通り、AIでハッキングが大衆化され、低レベルの攻撃者でも効果的な詐欺メールやマルウェアを生成することができるようになるなど、進化したAIによる脅威が表舞台に出てきました。また、AIによってマルウェアの自動化、匿名化、無作為化など、新たな攻撃ベクトルも数多く入ってきて、検出はますます難しくなっています。

ランサムウェアにおけるエクスプロイトのマッピングが、脅威の実行者にとって重要な戦術になるだろうという当社の予想が現実になりました。この1年で、攻撃者は攻撃前にネットワーク全体のマッピングを行ない、入手したアクセス権を、一番高い値をつけた者に売却するようになりました。これによって、組織は、最初の侵入の後　ー　問題が解決したと思った後でさえ　ー、攻撃者が何度でもエクスプロイトに戻って来られるという危険にさらされます。

攻撃者がIDの信頼性をどう利用するかに変化が生じたことは、2024年の重大な注目ポイントでした。MFAのような従来方式が回避されるようになり、攻撃者がセッショントークンやAPIキー、その他のIDセキュリティの機能を狙うことが増えたため、継続的な検証がますます必要になってきています。

2025年のサイバーセキュリティ傾向

では、2025年に向けてどんなことが起ころうとしているのか、詳しく見てみましょう。

1) AI²のバブルははじけ、AI脅威の妄想はくじかれる

人工知能（AI）の人為的インフレーション（AI）、略してAI2は、2024年にすでにピークを迎えています。2025年には、複数分野でバブルが崩壊するのが見られるでしょう。

AIについてのいくつかの見通しが現実になり、技術（ChatGPTとそのプラグインなど）の進歩による機能の充実も目覚ましい一方、AIベースの技術はこの大きな流れに追いついていません。

特定の市場やツールや技術はたしかにAIから恩恵を受けていますが、多くの分野で「AI対応」や「AI主導」という言葉が多用されすぎ、過剰に期待をあおるものとなっています。ここで伝えたいのは、こうした言葉はこれから否定的な含みを持つことが増え、それが実際に、製品のマーケティングや関連する機能などを損ないかねないということです。

2025年、業界では新しいAIの能力に対する期待や投資や売り込みにブレーキがかかり、マーケティング上の不要な情報ではなく、現状を落ち着いて見据えることになるでしょう。狭義のAI（ざっと数十年も時代遅れになった汎用人工知能という言葉ではなく）が基本的なセキュリティとAIワークフローに特化したツールとして業界内で定着すると思われます。例として、製品製造の自動化、サプライチェーンのワークフローの簡略化、MITREのATLASのようなモデルで示されるセキュリティのベストプラクティスに基づいて、複雑さを排除し、タスクの実行に必要な技能レベルを下げることなどが挙げられるでしょう。

基礎的な攻撃は、2024年のパターンに従って増え続けると思われます。AIによって参入障壁が低くなったからです。とは言っても、2025年に生成AIによる高度で標的を絞った攻撃の頻度が極端に上がるということはないでしょう。

2) 組織は、シュレーディンガーの量子コンピューティングの脅威と戦う

シュレーディンガーの猫の逆説同様、2025年、量子コンピューティングの脅威は、同時に二つの状態になることが考えられます。量子コンピューティングの能力はおそらく暗号化エンジンとして働き、そのため、これまで実証済みの信頼された多くの防御方法が時代遅れのものとなるでしょう。大企業は、脅威が実際にはまだ起きていないことを知りながら、量子コンピューティング後の世界における暗号化標準の終焉に備えようとすることになります。つまり、理論と現実との食い違いが起きるのです。

NISTが量子コンピューティング後の暗号化標準を発表した後、多くの大企業　ー　特に金融サービス業ー　は、新しい標準を採用するための長い移行期間に入るでしょう。新しいアルゴリズムに完全に統合するには長い年月がかかるでしょうが、肝心なのは、今、量子コンピューティングの脅威が主流になる（もしかすると2020年代の終わり）前に何らかの手段を講じ始めることです。

NISTの量子コンピューティング後の暗号化標準は、8年にわたる研究開発の産物であり、その間に69の暗号化アルゴリズムの候補が提出され、どれが量子コンピューティングからのサイバー攻撃に耐えられるかが試されました。合格したのはたった4つ（CRYSTAL-Kyber、CRYSTAL-Dilithium、FALCON、SPHINCS+）で、将来の量子コンピューティングと暗号化の脅威に対する防御のため、新たな標準を作る必要性が高まりました。

NISTのゼロトラストとNIST CSFフレームワークの場合と同様、2027年にはNISTの量子コンピューティング後の暗号化標準が政府や軍部、その外郭団体で国家安全策の一環として必須になると思われます。

3) 予定されている老朽化によって、電子機器が廃棄される

2025年10月、WindowsXP以来となる最も重大な生産終了（EoL）の発表が予定されていますMicrosoftはWindows10を（サポート延長の支払いをしない限り完全かつ永久に）生産終了とする計画です。つまり、おびただしい数のシステムがMicrosoftの最新OSのハードウェア要件を満たさず、Windows11へのアップグレードができないことになります。これらのシステムは時代に遅れたものとなり、最終的には多くが廃棄処分されることになるでしょう。

現在使用されているハードウェアの多くは、ハードウェアとソフトウェアのセキュリティ機能に依存しているため、アップグレードが不可能になります。Secure BootとTPMを搭載した新しいコンピュータのみがサポートされ、Windows11に移行することができるのです。もちろん、Microsoftがこうした制限を解除すれば別ですが、回避策はいくつかあっても、制限解除の可能性はかなり低いです。オペレーティングシステムの更新やセキュリティパッチは通常、こうした非準拠システムに対して利用不可になるため、結果的に、時間が経つにつれ脆弱度は増します。

こうして、機能は完全ながら脆弱で時代遅れとなったノートブック、ラップトップ、デスクトップなどのコンピュータは、2025年後半には大量に売却されるかリサイクルに出されることになります。その結果、ハードウェア市場は、ARMプロセッサーへの切り替えを含めて需要が高まり、活況を迎えるでしょう。

組織や個人がハードウェア交換のコストを抑えようとすれば、Linux、Mint、Ubuntu Desktopなど代替のデスクトップ向けオペレーティングシステムの使用が著しく増えることも予想されます。

4) クローン戦争：ID窃盗が逆にデジタル上のコピーを生み出す

リバースのID窃盗が発生することが予測されます。つまり、過去数年にわたって盗まれたデータが、その人が実際に誰なのかというほかのデータや推測と不正に結びつけられ、その人の偽のデジタルIDが作られるのです。

ほぼすべての人が、ID窃盗という概念を知っています。企業は全体としてIDの脅威の検出とサービスや金融の保護を前提に構築されています。ただし、リバースのID窃盗というのは比較的新しい概念です。誰かのIDが、その人のものでない別のIDと誤って関連づけられることで発生するのです。

リバースのID窃盗は、他者が誰かの電子メールアドレスや電話番号を（誤って、または故意に）使って何かに登録し、その結果すべての個人情報がその人のところに送信されます。もっと高度な形態になると、本人が知らないうちに何らかの不正な作業のために、偽名ーあるいはほかのIDーをその人自身のIDに電子的に、かつ堂々と関連づけたりもします。

脅威の実行者は、すでに膨大な量のデータ侵入によってこうした情報を利用できるようにし、氏名や共通項目に基づいて不正にデータを組み合わせています。よくある名前の人にとっては、偽の請求、誤った電子メール、その他の厄介ごとにつながる可能性があります。そうでない人にとっては、非常にひどい人違いや同一人物がいるのではと疑われるケースとなるかもしれません。これを突拍子もないと思うなら、（タイムトラベラーを自称する）ジョン・タイターのウサギ穴（タイムマシン）に入り、どんな著者がリバースID窃盗で訴えられてきたのかを調べてみるといいでしょう。

5) 国家規模のサイバー戦争によって、脆弱な重要インフラストラクチャーが標的にされる危険が高まる

医療や金融といった業界は引き続き攻撃の中心となるでしょうが、2025年には、重要なインフラストラクチャーが、国家規模の脅威実行者にとって非常に優先順位が高くなると思われます。それに伴って、重要インフラストラクチャーへの攻撃が国家の安全というレベルにまで引き上げられるリスク（および国家間のサイバー戦争の可能性）も高まります。

脅威の実行者はふつう、最も抵抗が少なく簡単に政治的または金銭的な利益が得られる環境を狙って、悪意の行為を行ないます。機器の老朽化、サイバーセキュリティにかける資金の不足、サイバーセキュリティのベストプラクティスが整っていないことなどによって、重要インフラストラクチャーが狙われやすくなるのです。

現在、地政学的な混乱への注目が高まり、重要インフラストラクチャーの脆弱性と、それが政治的なリスクを引き起こす可能性については周知されています。ただ、人命が奪われたり生活必需品の供給が止まったりし、ひいてはこうしたタイプの攻撃が国家安全のレベルにまで引き上げられるには、たったひとつの攻撃が成功するだけでいいのです。

OTとITの環境に今ある欠陥によって、2025年にこの種の重大インシデントが発生する可能性は高いでしょう。公共の重要インフラストラクチャーの供給が次の歴史的災害に陥らないようにするには、政府機関による資金投入と規制が必要でしょう。

6) 副業とAI支援者の出現

リモートワークはときに、2つ以上のリモート作業をー　場合によっては違法に　ー同時に行なう「重複雇用」された労働者の増加など、予期せぬ結果をもたらします。

リモートの従業員が、雇用側が知らないうちに、また承認を得ずに、個人的なAI支援者に重要な業務を外注するようになり、まるっきり偽の従業員を生み出すことすら考えられます。このような副業やAI支援者の出現は、ほとんど完全自動化で行なえるようなコンテンツ制作や基本データのワークフローなど、技術によらない業界で、より広がりを見せるでしょう。

最終的に、誠実なリモート作業者や下請け業者らが、自分たちの成果はオリジナルの人間が作ったものではなく、AIライセンスに基づくものであることを隠したまま、複数の組織から収入を得ることになるかもしれなません。こうした実態について確認し、製造物責任と排除について契約書で謳うようにするのは、雇用者側の仕事になります。

7) Hidden Paths to Privilege™ （特権への見えない経路）が、新しいサイバーセキュリティの戦場となる

2025年、組織は、最初はたいしたことがないように見えながら、攻撃者が特権昇格を使って重大なリソースを制御できるようにする「Paths to Privilege™」を開いてしまうID侵入に数多く直面することになるでしょう。こうした大きな脅威は、目に見えず、複雑に絡み合い、あるいは明白でない信頼関係や構成不備、あいまいな権限付与など、IDに関する一見些細な問題からひどくなっていくのです。

攻撃者は進化し続け、クラウドの許可や役割、権限付与などに関する理解を深め、それによって、そのリスクに気づいてさえいなかった防御側に対して優位に立つことになります。

残念ながら、こうした攻撃は2025年にはますます増え、従来の攻撃ベクトルを悪用するようになるでしょう。その範囲は、構成不備やパスワードスプレー攻撃（すべて防ぐことができます）など、多岐にわたります。

脅威の実行者が低いレベルのアカウントから特権アクセスを得る機会が明らかになれば、セキュリティの専門家は自社の防御態勢を見直し、水平移動による特権攻撃への道をふさぐことができるのです。

8) よいことでも度を超すと？　サイバーセキュリティへの投資が大きすぎ、セキュリティ担当者は圧倒される

2025年、サイバーセキュリティは変わらずおもな投資対象ですが、そうした投資はセキュリティの成果に思ったほど結びつかないかもしれません。

セキュリティへの投資は今の傾向どおり、首尾一貫したセキュリティの向上というより、ポイントごとのソリューションに力を入れるという形になると思われます。また、新しい攻撃手法や技術などに対応するため、ツールやアプリケーション、ソフトウェアなどがさらに現れることも考えられます。

しかし、セキュリティツールを追加することでセキュリティへの投資を増やすというこの戦略は、必ずしもセキュリティ低下の影響を減らすことにはつながりません。なぜでしょう？　こうしたツールはほかのソリューションとスムーズに統合されることもなく、同じベンダーでもほかのソリューションならデータを共有することもできないからです。

相互運用性がよくないツールを追加しても、セキュリティチームにとっては、レポーティングと可視性の問題が悪化するだけです。結果、そうした影響によって、脅威の実行者が悪用するためのセキュリティの穴や攻撃ベクトルや特権アクセスへの経路が増え、また、非効率化と生産性低下が発生することになるのです。

9) サイバー保険の要件が巻き返しを図る

サイバー保険会社と代理店は、リスクを適切に評価するという点で、今後の深刻な見直しを迫られています。

多くの保険会社がランサムウェアに関する補足条項や補遺を更新して、変化し続ける組織のリスクに対応しようとしていますが、今のところAIと量子コンピューティングの適用に関しては、あまり動きが見られません。

AIの利用に関して許容できる使用範囲の方針を策定している組織は数多くありますが、AIの使用をまったく制限しない方針を選ぶ組織も多いのです。後者のような対応のせいで、AIの大規模言語モデル（LLM）に取り込まれ、いずれ侵害につながりかねない消費者のプライバシー、知的財産権、秘密情報などに関する責任を負うというリスクが生じます。

サイバー保険会社は、契約、リスク、更新などの判断をする際に、AI関連のリスクや量子コンピューティングの出現を考慮しなければならなくなります。つまり、新しいAIや量子コンピューティングをー　戦争行為と同様に　ーサイバー保険の契約から除外するという事態も起こり得るのです。こうした契約によって、保険会社はAIや量子コンピューティングに関連した侵害による損失から守られます。とりわけ、組織が、極秘情報を守るために、提案された対量子コンピューティングの暗号化を利用せず、既存の技術に頼ることを決めた場合にはそれが顕著になるでしょう。

2020年代の残り数年間のサイバーセキュリティ傾向

1) BSODとの決別

2024年、Windowsのブルースクリーンエラー（BSOD）の問題が、長い（ように見える）休止期間を経て再び世間の注目を浴びました。今後数年間、MicrosoftのWindowsの安定性を確保するための対応策の一環として、Windowsのカーネルでのコード実行へのベンダーのアクセスを制限し、制御し、妨害する動きが強まるでしょう。

これは何も目新しい事象ではありません。2020年、Appleは自社のオペレーティングシステムでのカーネルへのアクセスを制限するという大きな一歩を踏み出しました。MicrosoftとEUの間の合意によって、Microsoftはサードパーティのセキュリティベンダーに対し、自社のオペレーティングシステムへのアクセスを、自社のセキュリティ製品と同等レベルで許可しなければならないことになりますが、これにはいくつか課題が残るでしょう。

2024年に誤ったアップデート（CrowStrikeからなど）によって起きたような停止期間が発生するのを避けるため、さらに長期のアーキテクチャが出現する可能性もあります。

2) 量子コンピューティングに支えられたAI（QCPAI）により、AIの脅威が再び起きる

セキュリティ、脆弱性、エクスプロイト、暗号解読、ランサムウェアを対象にした悪意のあるAIモデルの開発が進みつつあります。

AI疲れはすでに始まっていますし、上記のとおり、AIバブルは2025年中にははじけると予想されます。ただし、量子コンピューティングの力を借りたAIによって、将来、国家規模の攻撃者がセキュリティリスクを能率化し、特定し、利用する能力が飛躍的に高まる可能性があります。これは、そうした攻撃者が狙いを定めれば、どのような業界をも注目すべきスピードで機能不全にする力を秘めています。

防御側にとってさらに悪いことに、大規模言語モデル（LLM）の力と影響力もまた危機に瀕しており、果たしてAIの結果を本当に信頼していいのかという疑問が残ります。ここで述べているのは、貧弱なデータモデリングのせいで起きるAIの思い違いのことではなく、悪意を持って出された結果のことです。

結果データの完全性に関して疑問が生じれば、政治活動、国家の安全、さらに外交問題にまで脅威が広がりかねません。

3) サイバーの軍拡競争は続く

この先5年以上にわたって、サイバーセキュリティは注目の分野であり続けると予想されますが、それはひとつには、大量の旧製品という課題が解決されないため、セキュリティの技術面での不備が蓄積し続けるからです。

技術的見地からのライフサイクルの「デジャヴ」に注意しましょう。新たに出現する技術は、これまでと同様に初めはセキュリティを考慮せずに構築されるでしょう。その後、現実世界で不正に直面したとき、セキュリティの重要性が高まり、巻き返しが始まるのです。

この一連の流れは、過去10年間にわたるウェブアプリ、モバイルアプリ、データアプリ、クラウドなどの場合とまったく同じになるでしょう。セキュリティチームは、現在ソフトウェアのセキュリティのライフサイクルで行なっているのと同じ形で、新たなデータセキュリティのライフサイクルに参入すると思われます。

サイバーセキュリティの人材不足が続いていることも、この状況の一因となっています。新しいセキュリティの実務を行なう担当者は今後も様々な研修や教育プログラムなどを修了し、サイバーセキュリティの戦力となっていくでしょうが、求められる技術上の専門知識や対人スキル、専門分野の幅が広がっているため、セキュリティの人材不足は続くでしょう。

データアナリスト、データエンジニア、データサイエンティストは、ITチームが利用している多くの個別のツールからデータを統合して使う総合能力が必要とされるため、需要が高くなるでしょう。組織が新たにパブリックでオープンソースのAIモデルを使おうとする場合は特にそうなります。

結果として、サイクルタイムと技術スキルの価値範囲は小さくなるかもしれませんが、セキュリティの原則はおおむね変化がないでしょう。また、ツールを中心に構築するセキュリティチームと、スキルと実践を重視して構築するチームとの間で、能力やパフォーマンスの差が広がるかもしれません。

4) サイバー攻撃の連鎖を破る

最近のID攻撃で、サイバー攻撃連鎖の法則は書き換えられようとしています。今後数年間は、エンドポイント中心からID中心へとシフトするため、新たなルールブックを使って対応する必要があるでしょう。

サイバーセキュリティに対する現在の手法の多くは、攻撃連鎖とMITRE ATT&CKのようなフレームワークに基づいています。こうしたフレームワークは、攻撃者がシステムに「上陸して拡散し」、水平移動して徐々に特権を昇格するといった、数段階にわたる攻撃を想定しています。これは、重要な段階で攻撃を破れるエンドポイント指向の防御態勢を築く有益なモデルとなりますが、最近のID攻撃は、同じ規則に従っているわけではありません。

昨今の攻撃者は、IDとクラウドリソースー　エンドポイントと同じ重層防御のレベルに欠けるシステムー　を標的にすることがたびたびです。また、脅威の実行者は資格情報への侵入から目的を遂行できる地点まで、ほんのわずかなキー操作で移動して攻撃を仕掛けることができます。このような経路は、我々が10年以上にわたって対応してきた従来の攻撃連鎖モデルを壊すものです。

攻撃段階を考え直し、防御フレームワークの構築方法に関するルールブックを書き換える必要があります。これによって、既存のモデルが時代遅れになるわけではなく、クラウド、ID、特権に対する現在の攻撃ベクトルに基づいた新たな段階が加わることになるでしょう。

5) 次のCVSSは?　IDセキュリティに関する新しい基準はすぐそこに

IDと関連するアカウントに関するリスクを分類し、評価し、数量化するための新基準が策定されることが予測されます。

ここ25年以上、共通脆弱性識別子（CVE）、共通脆弱性タイプ（CWE）、共通脆弱性評価システム（CVSS）などの指標を使った脆弱性と漏洩のレポーティング基準の規格化が行なわれてきました。その値ー　あらゆるツール、ベンダー、セキュリティ専門家が同じ変数とリスクを使って脆弱性を論じることができるー　は、脆弱性とパッチ管理の業界の成熟に欠かせないものでした。

今後5年で、同じ概念がID セキュリティとIDに基づいたリスクに対して適用されるようになるでしょう。これによって、関係者はIDの安全状況や実行時イベントがいつ起こったかに基づいて、リスクを理解できるようになります。

6) RTO（目標復旧時間）の復活

組織が再びデータとアクセスの管理を担おうとするようになり、従業員がオフィスに戻ってきて、会社が管理するエンドポイントデバイスがまたアクセスに使われることが予想されます。

過去10年間で、どこでどんなデバイスからでも自由に仕事ができるようになったこと（WFA）で、技術と従業員を取り巻く環境は急速に変化しましたが、これに課題がないわけではありません。組織は引き続き、企業が管理するエンドポイントデバイスを通じたアクセスを管理できることをさらにしっかり確かめたうえで、従業員がオフィスに戻るよう命ずることが予想されます。こうすることで、組織はより重層的な防御体制を構築し、正しいユーザーが正しい場所にある正しいデバイスからサインインしていることを確かめてから、重要な業務上のリソースにアクセスを許可することができるようになります。

妨害や攻撃を減らすため、仕事とプライべートの情報とアクセスを切り分ける試みが新たに行なわれることも考えられます。これはたとえば、ブラウザのプラグイン、ウェブ上のトラフィック、会社のデバイスから個人のウェブサービスへのアクセスをさらに制限することなどが挙げられます。

認証を受けたアプリケーションと通信経路のみを許可することで、組織内のリスクは軽減できます。また、「このフィッシング攻撃は、会社のデバイスでアクセスしてきた個人のメールアカウントから来たものなのか？」といったセキュリティ上の疑問に、より早く答えが出せるようにもなります。

7) 急速な衰退に備えよう：短命なコンピュータのメモリ

今後5年にわたり、デバイスの老朽化による個人データの消失という問題がますます増えると思われます。

何人かのデータ復旧の専門家によれば、機械としてのハードディスクドライブ内のデータの寿命は20年だそうです。つまり、20年前にまだ機能していた機械のハードドライブに書き込まれたデータは、いま劣化が始まりかけているのです。2005年にその媒体に保存された写真や文書などの情報は今年、劣化が始まると思われます。こうしたストレージの寿命を頭に入れておき、保管したものを最新の媒体に移し替えて、貴重な中身が失われるのを防がなければなりません。

このことは、電子カメラ、カメラ付き携帯電話、初期の低解像度のデジタルビデオカメラに保管された個人データの増加に伴い、さらに深刻な問題になっていくでしょう。2030年に向けて、ほかの携帯型の媒体にある個人情報も、同じ劣化や老朽化のプロセスをたどって消失していきます。

古い情報を保存するのは今ですー　そして、ただ耐火式の金庫に保管媒体を入れるだけでは充分ではありません。年数と互換性という要素（古い携帯型媒体のメモリーカードのように）だけでは、個人情報を長期間保存するには不充分なのです。

8) 衛星接続の台頭

従来のインターネットプロバイダーと５Gの携帯電話ネットワークは、衛星接続に代わるでしょう。

スペースXが宇宙に打ち上げる衛星の数が増えるほど、そのインターネットサービスの子会社であるStarlinkは、その対応範囲、冗長性、可用性を伸ばし続けるでしょう。Starlinkが目指しているのはスピードを上げながら待ち時間を短縮することであり、これが進むにつれて、20ミリ秒以下の待ち時間は、接続性を考えたときに競争力と費用対効果が高い選択肢になります。覚えておいていただきたいのは、これはすでに、ケーブルやファイバー、DSLなど従来の家庭用インターネット製品に代わって、たいていの家庭で起きているのだということです。この「スペース（宇宙）」がこのまま充実していけば、衛星を使ったインターネットの利用が、将来の接続手段の重要なカギとなるでしょう。実際、一部の航空会社では次世代の接続手段としてすでに発表されています。

また、新たな携帯電話の技術が発展すれば、衛星サービスが台頭してくることも予想されます。電話が通じない場合に緊急サービスセンターにメールのメッセージを送るSOS機能は、携帯電話の接続ではなくて衛星接続を使うようにアップデートされると思われます。

SpaceXとStarlinkは、間もなく接続を衛星サービスのみに頼った独自の携帯電話ネットワークを発表するかもしれません。2社を合わせた衛星電話とインターネットの対応範囲を考えれば、現在の携帯電話の形は変わるかもしれません。みっともない携帯電話の中継局が撤去されたり、別の目的で使われたりするのは、近隣住民にとって喜びでしょう。

結論：セキュリティの準備を先送りにしてはならない

強者であるために必要な確かな傾向がひとつあるとすれば、それは、来るべき未来への備えを重視することです。Hunter S.Thompsonの言葉を借りれば、「選択を先送りする人間は必然的に、状況によって選択を余儀なくされることになる」のです。

調査は続いて、ITセキュリティに積極的な体制を取っている企業は、そうでない企業に比べ、脅威を防ぎ、セキュリティ問題の可能性をいち早く特定し、侵害に苦しむケースが減り、攻撃による損害を効果的に減らせるということを示しています。

これから数年間は、セキュリティの防御策を応用して、セキュリティインフラストラクチャー　そのものの破壊レベルが上がっていくような脅威に対抗するといった、積極的な手段が求められます。量子コンピューティングの台頭で、まだ存在さえしていない脅威にあらかじめ備えるといった事態も起こりかねません。ですが、それはまた、すでに起こっているセキュリティの変化に合わせて迅速に対応を変えるということにも通じます。たとえば、すでに脅威の実行者にとってハッキングよりもログインのほうが簡単になっているので、IDセキュリティがこの先数年間の最優先事項である、というような例です。

サイバーセキュリティに先手の対策を取りたいのであれば、まずはBeyondTrustにご相談ください。

BeyondTrustのアーカイブにあるサイバーセキュリティ関連の予測

BeyondTrustのチームは長年にわたって、セキュリティについての予測を行なってきました。過去の予測は以下のサイトからご覧いただけるので、私たちの予測が正しかったかどうか、チェックしてご判断ください。

2024年に向けてのサイバーセキュリティ・トレンド予測 BeyondTrust版

(以降、BeyondTrust社サイト、英文)

BeyondTrustのソリューションについて詳しくはこちら

Morey J. Haber, BeyondTrust社最高情報セキュリティ顧問

Morey J. Haberは、BeyondTrustの最高情報セキュリティ顧問であり、同社でIDと技術に関して率先して貴重な意見を発信しています。IT業界での経験は25年以上に及び、『Privileged Attack Vectors』、『Asset Attack Vectors』、『Identity Attack Vectors』、『Cloud Attack Vectors』の4冊の本を出版しています。以前は、BeyondTrustの最高セキュリティ責任者兼、最高技術責任者であり、また、製品管理部門の副部長を12年近く務めていました。2020年に「Identity Defined Security Alliance （IDSA）」の上級顧問理事に選出され、IDセキュリティのベストプラクティスについて、企業連合を支援しています。彼はもともと、2004年からプロダクトオーナー兼ソリューションエンジニアとして働いていたeEye Digital Securityの買収に伴って、2012年にBeyondTrustに加わりました。eEye入社前は、Computer Associates, Inc.のベータ開発マネージャーでした。その経歴は、飛行訓練シミュレータを構築する政府の委託先における信頼性と保全性に関するエンジニアとして築かれたものです。ストーニーブルックにあるニューヨーク州立大学の電子エンジニアリング科で理学士の学位を取得しています。