サイバーリーズン405社調査、EDR導入でも侵入を許す日本企業の「特定」スコアが最低──構造的欠陥が明らかに

「ちゃんとEDRを入れているのに、なぜ侵入されてしまうんでしゅか？」
「ツールを入れれば安全、という時代は終わったんでしゅか？」

チップス

ボス、EDRを全社展開したのに侵入されたってニュースを見て不安になっちゃったでしゅ。うちの会社も大丈夫でしゅか？

ボス

EDRを入れただけで安全、という思い込みが盲点を生む。サイバーリーズンが国内405社を調査したデータで、その実態が明らかになった。

サイバーリーズンは2026年8月28日、国内405社を対象にした「セキュリティ成熟度ベンチマーク診断」の結果と、グローバルSOCが2026年上半期に観測したインシデント分析を発表しました。
「特定（IDENTIFY）」機能のスコアが5機能中最低の1.99となり、自社の資産・アタックサーフェスの把握不足が日本企業の根本的な弱点であることが明らかになりました。

この記事では、調査データが示すスコアの意味と、グローバルSOCが観測したインシデントの根本原因を解説します。
EDR導入後もリスクが残る構造的な課題を把握し、自社の対策の抜け漏れを確認するヒントにしてください。

サイバーリーズンが405社調査を公表、「検知偏重」の実態が浮かぶ

サイバーリーズンは2025年10月から2026年8月にかけて、国内405社を対象に「セキュリティ成熟度ベンチマーク診断」を実施しました。
評価軸はNIST CSF 2.0が定める機能群で、各機能を5段階で数値化しています。

報告対象の5機能の平均スコアは以下のとおりです。

「検知（DETECT）」が報告された5機能の中でスコア2.86と最も高い一方、「特定（IDENTIFY）」は最低の1.99に留まりました。
この結果は、日本企業が検知ツール（EDRなど）の導入に力を入れる一方、そもそも「何を守るべきか」の把握が不十分であることを示しています。

「特定」の低さが意味すること

チップス

「特定」のスコアが低いと、どんなリスクが出てくるんでしゅか？

ボス

管理している「つもり」の機器が、実は攻撃者の侵入口になっているということだ。守るべき対象が分からなければ、守りようがない。

NIST CSF 2.0における「特定」は、自社のIT資産・攻撃対象領域（アタックサーフェス）・リスクを把握する機能です。
スコアが低い企業では、管理しているつもりで実は把握できていない機器や設定が多く、攻撃者にとっては見落とされた入口を狙うだけでよい状態になっています。

グローバルSOCが分析、重大インシデントの根本原因の25%は「一部のEDR未導入端末への攻撃」

グローバルSOCが2026年上半期に観測した重大な被害に至る恐れのあった緊急インシデントを分析したところ、根本原因の上位2項目が各25.0%で並びました。
ポイントは以下のとおりです。

チップス

EDRを入れているのに、入れていない端末が狙われちゃったってことでしゅか？

ボス

そうだ。「導入した」と「全端末に適用されている」は別の話だ。特に旧式サーバーや一時的に除外した端末が盲点になりやすい。

EDR未導入端末への攻撃や外部公開サーバーの脆弱性悪用は、重大な被害に至る恐れのあった事案として繰り返し観測されています。
インシデント対応の属人化も問題で、51.6%の企業が手動運用段階に留まっています。
また、事業現場と情報システム部門のセキュリティ認識には0.71ポイントの差があり、組織内での認識のずれが対応の遅れを招きやすい構造がうかがえます。

「日本企業のセキュリティ課題は、ツール導入の問題から組織とプロセスの問題へシフトしている」とサイバーリーズンは指摘しています。

まとめ：資産把握から始めるセキュリティの再点検

今回の調査が示すのは、EDRをはじめとするセキュリティツールを導入しても、「どこに何があるか」を把握できていない資産が攻撃の入口になり得るという実態です。
企業が今すぐ確認すべき事項は以下のとおりです。

ボス

ツールが揃っているかではなく、漏れがないかを確認する。それがセキュリティ成熟度を上げる第一歩だ。

「ツールを入れれば終わり」という時代はとっくに終わっています。
今回のサイバーリーズンの調査は、日本企業のセキュリティ成熟度の現在地を数字で示した重要な報告です。
ぜひ自社の「特定」スコアに相当する取り組みを見直す機会にしてください。