チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「サイバー攻撃を完全に防ぐ、ってもう無理なのでしょうか？」
「攻撃されても会社を回し続けるって、どうやって設計すればいい？」
チップスボス！米CISAが新しい指針「CI Fortify」を出したって聞いたでしゅ。
「攻撃を防ぐ」じゃなくて「耐え抜く」って、ちょっと衝撃的でしゅ…
ボス2026年5月9日に公表された重要インフラ向けの指針だな。
「完全防御は不可能」という現実を出発点に据えた発想転換だ。
日本の政府・重要インフラ事業者にとっても、参考にすべき内容だぞ。
サイバー攻撃の質と量が急増する中、CISA(米サイバーセキュリティ・インフラ庁)は防御パラダイムの転換を打ち出しました。
本記事では「CI Fortify」の三段階フレームと、日本企業がいま参考にすべきポイントを解説します。
「攻撃前提」の発想は、重要インフラ以外の企業にも応用できます。
自社の事業継続性を見直すヒントとして読み解いていきましょう。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
CI Fortifyは「完全な防御は不可能」という前提から出発しています。
従来のサイバーセキュリティ施策は侵入を防ぐことを最優先にしてきましたが、攻撃の高度化と多様化により、防御線を100%維持することは現実的でなくなったという認識です。
CI Fortifyは準備・隔離・復旧の三段階で構成されます。
各段階で「サービス継続」をゴールに置き、攻撃発生時にも止まらないオペレーションを設計するのが狙いです。
| 段階 | 主な取り組み |
|---|---|
| 準備(Preparation) | インフラ機能・外部依存の棚卸し、重要サービスの優先度整理、BCP更新 |
| 隔離(Isolation) | ネットワーク遮断時の運用継続、ISP連携での代替機能確保 |
| 復旧(Recovery) | 段階的復旧手順、即時回復前提のバックアップ戦略 |
チップス「隔離」って攻撃検知後にネットを切るって意味でしゅか？
ボスそうだ。封じ込めのためにネットを遮断しても、サービスを完全停止しなくて済む設計が問われる。
オフライン運用や手動切替の準備が現実問題として求められるんだ。
CI Fortifyは米国の重要インフラ向けですが、その思想は日本の一般企業にも応用できます。
「攻撃された後も止まらない設計」は、サプライチェーン崩壊・ランサムウェア被害が頻発する現代では必須スキルです。
日本企業のBCP(事業継続計画)は地震・水害を想定したものが多く、サイバー攻撃シナリオに弱いのが現状です。
CISAは「BCPとサイバー対策を統合せよ」と明言しており、これは経産省・総務省の通達とも方向性が一致しています。
すぐに取り組めるのは、重要業務の棚卸し・隔離オペレーションの訓練・段階的復旧計画の策定の3つです。
まずは年1回でも「全社ネット遮断訓練」を実施することが、現実の備えになります。
チップスうちのBCP、地震しか書いてないでしゅ…サイバー攻撃の章ないでしゅ。
ボス多くの企業がそうだ。最低限「ランサム遭遇シナリオ」を1章追加するところから始めるといい。
CISAの三段階フレームは、ほぼそのまま下敷きに使えるぞ。
詳細はITmediaの解説記事を参照してください。
サイバー攻撃を100%防ぐ前提の防御計画は、もはや時代遅れです。
攻撃を受けた後も止まらないオペレーションを設計し、復旧プロセスを段階的に整理することが、これからの基本姿勢になります。
チップス「やられる前提」って怖いけど、現実的なんでしゅね…
ボス怖がるより準備する、これが結論だ。
BCPの中にサイバー章を作り、年1回演習を回す。それだけで会社は強くなる。
BCP統合やレジリエンス設計には、業務と技術の両方を理解する人材が必要です。
社内人材が不足する場合は、セキュリティフリーランスを期間限定で起用するのも有効です。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
