「止められない防御」は作れるのか：サイバー戦の“ソリューション”を現実的に捉える

定義：なぜ「止められない防御」は成立しにくいのか

「サイバー戦のソリューションで、サイバー脅威に対する止められない防御を作る」という発想は、攻撃が常に完全に封じられることを前提にしています。しかし現実のサイバー攻撃は、技術だけでなく“手段の更新”や“運用の隙”も通じて進みます。そのため防御は、成功し続ける条件（前提）が揺らいだ瞬間に、理屈どおりに機能しなくなることがあります。

ここでの重要点は、「防御を作る」こと自体が誤りというより、“無条件・無限の防御”という約束が成り立ちにくい、という整理です。止められないことが起こりうる前提で、被害を小さくし、素早く見つけ、復旧できるようにする設計が現実的になります。

仕組み：防御を“工程”として捉える

実務で役立つ考え方は、防御を一枚岩ではなく工程（段階）として分けることです。攻撃は一般に、侵入・侵害・拡大・維持（または目的達成）という流れをとり得ます。そこで防御も、各工程に対して別の手段を組み合わせます。

予防（侵入や実行の機会を減らす）例：アクセス制御、権限の最小化、設定の適正化、認証の強化など。
検知（異常を早く見つける）例：ログの収集、検知ルール、挙動の監視、アラートの運用。
対応（起きたときに被害を抑える）例：隔離、アカウント停止、通信遮断、証拠保全の方針。
復旧（元に戻す）例：バックアップ運用、復旧手順、再発防止の反映。

この流れを“止める”だけに寄せず、“止まりにくい前提”でも損害を抑えるように組むことで、結果として「総合的に強い防御」になります。たとえば、予防が完全でなくても、検知と対応・復旧が速ければ被害は縮小し得ます。

制限と例外：何が“勝手に穴”になるのか

「止められない防御」を目指すほど、どこかで次のような制限にぶつかります。ここは特定ベンダーや製品に依存しない、構造的な限界として捉えると整理しやすいです。

前提の更新が追いつかない攻撃手法や利用条件は変化します。防御の前提（想定しているリスク、想定していない挙動）が古くなると、同じ対策でも効果が落ちます。
運用のばらつき技術設定が正しくても、運用（アラート対応、権限付与、例外処理、手順の遵守）が揺れると穴になります。
観測の不足ログや監視が十分でないと、“起きたのに気づけない”状態が発生します。気づけない時間は、そのまま被害拡大の時間にもなりがちです。
対応の制約対応には人・時間・権限・承認プロセスが関わります。初動が遅れる、判断が戻る、復旧に必要な情報が揃っていない等で、被害が広がり得ます。
「一つ入れたら終わり」にならないセキュリティは連続改善が前提になりやすい領域です。単発の導入で完結しないため、「最終的に止まる」ではなく「継続的に強くなる」設計が必要になります。

実践的な確認方法：自組織の“止められなさ”を測る

「止められない防御」を目標にすると、測りにくくなります。代わりに、次の確認観点で“止まりにくさがどこにあるか”を見える化してください。