<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0">
	<channel>
	<title>特集記事 | 大和総研</title>
		<link>https://www.dir.co.jp/report/technology/feature/index.html</link>
		<language>ja</language>

		<item>
			<title>取引先のセキュリティが経営リスクに</title>
			<link>https://www.dir.co.jp/report/technology/feature/20260610_025814.html</link>
			<pubDate>Wed, 10 Jun 2026 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    近年、サイバー攻撃は特定企業を直接狙う形から、取引先や委託先を起点に被害を拡大させる「サプライチェーン攻撃」へとシフトしており、中小企業への侵害が発注元企業や社会インフラに波及する事例が相次いでいます。このような状況を踏まえ、政府はサプライチェーン全体のセキュリティ水準の底上げを図るため、「サプライチェーン強化に向けたセキュリティ対策評価制度（以下、「SCS評価制度」）」の構築を進めています。

本稿では、SCS評価制度の背景と概要を解説した上で、企業に求められる対応を考察します。


制度導入の背景
サプライチェーン攻撃が増加する背景には、企業活動を取り巻く環境の変化が関係しています。近年、業務の効率化やコスト削減を目的として、クラウドサービスや外部委託などの活用が進み、企業間のデジタル接続が急速に拡大しています。その結果、攻撃者にとって狙いうる対象領域、いわゆるアタックサーフェスも飛躍的に拡大しました。

このようなリスクに対応するため、多くの企業は契約締結時に秘密保持契約やセキュリティ条項を整備し、チェックリストやアンケートを通じて対策状況の確認を行っています。しかし、その多くは自己申告に依存しており、実際の運用状況を正確に把握することが難しく、対応が形式的にとどまる傾向があります。また、取引先ごとに異なるチェック項目や書式への対応は、特に中小企業にとって大きな負担となっています。

こうした背景から、委託先管理の課題を体系的に整理し、企業のセキュリティ対策水準を客観的に示す枠組みとして、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」が導入されるに至りました。


SCS評価制度の概要
SCS評価制度は、経済産業省と内閣官房 国家サイバー統括室を中心に検討が進められている制度で、2026年度末頃の運用開始を目指し、制度設計や運用方法の具体化が進んでいます。

本制度の目的は、国が定める業界横断の共通基準を通じて、企業間でセキュリティ対策の水準や到達度を客観的に共有できる環境を整備することです。これにより、発注側企業は取引先に求めるセキュリティ水準を効率的かつ合理的に判断でき、受注側企業においても取引先ごとに異なるセキュリティチェックへの対応負荷を軽減することが期待されています。さらに、制度の普及に伴い、一定水準以上の対策を講じる企業が増加することで、サプライチェーン上の脆弱性が低減し、結果として社会全体のサイバーセキュリティ強化にもつながるとみられています。

SCS評価制度では、セキュリティ対策の成熟度に応じて、「★3」「★4」「★5」の三段階の評価レベルが設定されており、それぞれ想定される脅威や評価方法などが体系的に整理されています。評価が★3から開始されているのは、IPA（独立行政法人情報処理推進機構）が2017年から運用する「SECURITY ACTION」において、初期段階に相当する★1および★2が既に定義されているためです。SCS評価制度は、これを基盤とする上位の枠組みであり、専門家による確認や第三者による評価を導入することで、対策の実装状況を客観的に可視化し、取引先や関係者間で共通の評価基準を持つことが可能となっています。

        

	
    

	
		中小企業支援策と制度普及に向けた仕組み
SCS評価制度では、中小企業が無理なく評価の取得に取り組めるよう、普及と定着を見据えた多面的な支援策が整備・検討されています。

その一つとして、中小企業向けの支援サービスである「サイバーセキュリティお助け隊サービス」において、本制度への対応を支援する新類型の創設が予定されています（※２）。これにより、中小企業は★3・★4の取得に向けたコンサルティングや技術支援を受けられ、費用面・実務面の負担を抑えつつ対応を進めることが可能となります。提供は2026年度末頃から開始される見込みです。

また、実務面での指針として、IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」の改訂版を公表しています（※３）。同ガイドラインでは、制度要求に対応した具体的対策や規程例を整理しており、★3・★4の取得に向けた実施事項を明確化する実践的な資料となっています。

さらに、専門家による人的支援の強化も進められています。IPAは、SCS評価制度への対応を支援可能な情報処理安全確保支援士を整理して「中小企業向けサイバーセキュリティ対策支援者リスト」（※４）に追加し、公表する予定です。これにより、社内に専門人材を有しない場合も、★3の取得に必要となる「専門家による確認」を受けることが可能となります。
	

        

	
    

	
		企業はどう向き合うべきか
SCS評価制度の開始に向け、各企業は自社の状況に応じた戦略的な準備を進める必要があります。発注側と受注側では求められる対応が異なるため、それぞれの立場に即した計画的な対応が求められます。

発注側企業は、まず自社に必要なセキュリティ水準を明確化し、取引や委託関係ごとに★3または★4の取得要件を整理の上、契約条件や調達ポリシーに反映させる必要があります。あわせて、既存のチェックシートや評価プロセスを見直し、制度に準拠した基準へ移行するため、社内ルールの整備と関係部門間の連携を進めることが求められます。また、既存の委託先に対しては、一方的な負担転嫁を避け、取引先の対策向上を支援するなど、パートナーシップを重視した運用が求められます。制度適用に際しては、政府が示す独占禁止法や中小受託取引適正化法（旧下請法）との関係性を踏まえ、公正で配慮ある対応が不可欠です（※５）。

一方、受注側企業においても、本制度を競争力強化や取引維持に資する取り組みとして捉え、主体的かつ計画的に対応を進めることが求められます。まず、自社の事業特性や取引関係を踏まえ、求められるセキュリティ水準を整理し、目標とする評価レベルを明確化する必要があります。その上で、要求事項と現状とのギャップを分析し、セキュリティポリシーや社内規程、運用体制の整備・見直しを段階的に進めることが求められます。SCS評価制度は、ISMSや業界ガイドライン等を参照して相互補完するよう設計されていることから、既存制度に基づく対策を実施している場合は、それらとの対応関係を整理し、不足部分を補完する形で対応を進めることが効果的と考えられます。

さらに、こうした対応を推進するにあたっては、サイバーセキュリティお助け隊サービスや外部企業の活用も有効となります。

このように、発注側・受注側の双方に共通して重要となるのは、「早めのスタート」と「段階的な対応の積み上げ」です。評価取得には一定の準備期間が必要と考えられるため、各企業は余裕を持った計画のもと、着実に準備を進める必要があります。
	

        

	
    

	
		おわりに
SCS評価制度は法的強制力を伴わない任意の制度ですが、サプライチェーンリスクの高まりを背景に、その実務上の重要性は今後一層高まっていくと考えられます。制度の普及が進めば、評価取得の有無が取引先選定や契約判断における重要な判断要素となる可能性も十分に考えられます。

そのため、本制度を限定的なものと捉えるのではなく、自社へ影響する可能性を適切に見極めた上で、対応を主体的に検討していくことが望まれます。
	

        
    
    （※１）経済産業省『サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針』
（※２）経済産業省「サイバーセキュリティお助け隊サービス（新類型）」
（※３）IPA「中小企業の情報セキュリティ対策ガイドライン」
（※４）IPA「中小企業向けサイバーセキュリティ対策支援者リストの紹介」
（※５）経済産業省「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」

        ]]></description>
		</item>
			
		<item>
			<title>量子コンピューターは暗号資産の前提を壊すのか？</title>
			<link>https://www.dir.co.jp/report/technology/feature/20260528_012421.html</link>
			<pubDate>Thu, 28 May 2026 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    1.はじめに
ビットコインやイーサリアムなどの暗号資産は、分散型台帳技術によって支えられていると説明されることが多い。しかし、その安全性は分散型台帳に記録される取引が正当なものであると検証できることによって成立している。
具体的には、取引の正当性は「電子署名」によって確立されている。これは公開鍵暗号方式に基づいており、秘密鍵で署名された取引データを、ネットワークの参加者が秘密鍵に対応する公開鍵で検証する。この検証により、取引データの作成者が秘密鍵を保有していることを証明できる。この仕組みは、「公開鍵から秘密鍵を現実的に導出することは不可能である」という前提の上に成り立っている。
この前提に影響を及ぼしうる技術として、量子コンピューターの進展が注目されている。本稿では、電子署名と量子コンピューターの関係に注目し、暗号資産が直面しうるリスクと今後の課題を整理する。

2.本稿で取り上げる視点
量子コンピューターについて、「いつ実用化するのか」という問いがしばしば議論される。しかし現時点では、量子コンピューターがいつ実現するかについて、明確な時期を断定することは困難である。
量子コンピューターが「いつ実現するか」も重要であるが、「実現した場合にどのような影響が生じるか」という点も重要である。
本稿では特に、暗号資産の基盤となる電子署名に焦点を当て、以下の観点について整理する。
・量子コンピューター出現による電子署名への影響
・暗号資産に対する攻撃パターン
・対応策としての耐量子計算機暗号（PQC）とその課題

3.量子コンピューター出現による電子署名への影響
現在広く利用されている公開鍵暗号は計算量的安全性に基づいているが、この安全性は量子コンピューターの出現によって揺らぐ可能性がある。
具体的には、量子コンピューターで使用できるShorのアルゴリズムと呼ばれる量子アルゴリズムにより、RSA暗号や楕円曲線暗号といった公開鍵暗号の基盤となる数学的問題が効率的に解けることが知られている。公開鍵暗号に基づく電子署名についても同様に影響を受けることとなる。
そのため、電子署名の正当性が脅かされることで、送金の正当性が保証されなくなり、資金が乗っ取られてしまうなどのリスクにつながる可能性がある。

量子コンピューターは現実的な脅威として意識され始めている。Googleの量子コンピューターの研究部門であるGoogle Quantum AIは2026年3月30日、「Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations」という論文を公開し、ビットコインやイーサリアムで広く使われる暗号（楕円曲線暗号：secp256k1）が、従来考えられていたよりも少ない計算資源の量子コンピューターで解読される可能性があることを示唆した。
具体的には、特定の条件下において50万未満の物理量子ビットで、超伝導方式の量子コンピューター上における数分規模の実行が理論上可能であることが示されている。これは、従来の研究から20分の1程度となる試算であり、将来的な解読の可能性を十分示唆するものである。
ただし、これらの試算は量子誤り訂正を含む理想的な条件を前提としたものであり、実際の量子コンピューターの実現時期や到達可能性については依然として不確実性がある点には注意が必要である。

4.暗号資産に対して想定される攻撃パターン
量子コンピューターの影響として、主に二つの攻撃パターンが考えられる。

①on-spend attack
取引をネットワークに送信してから台帳に記録されるまでの短時間を狙う攻撃である。取引をネットワークに送信すると公開鍵が露出する。露出した公開鍵から量子コンピューターを用いて秘密鍵を導出し、正規の取引よりも先に不正送金を成立させることで送金を乗っ取る。
論文によれば、この処理には約18〜23分、事前計算を活用すれば約9〜12分まで短縮可能とされている。ビットコインの平均ブロック生成時間は約10分であるため、攻撃が可能となる。

②at-rest attack
以前から公開鍵が露出している資産、特に長期間動いていない休眠資産を標的とする攻撃である。時間制約が緩いため、量子コンピューターが実用化された場合には現実的な脅威となりうる。公開鍵が露出したままの休眠資産は推定で230万BTC存在する可能性があると指摘されている。これは、ビットコイン価格を仮に1BTC＝1,000万円と置いた場合、23兆円に相当する。

        

	
    

	
		5.対応策として考えられる耐量子計算機暗号（PQC）とその課題
これらの脅威への対処としては、量子コンピューターによる攻撃にも耐えることを目指した暗号方式である耐量子計算機暗号（Post-Quantum Cryptography、以下PQC）への移行が考えられている。
ただし、PQC移行は過去のブロックチェーン記録を作り直すことではない。これから使う署名方式や鍵管理を、量子コンピューターでも破られにくい方式へ切り替えることが中心となる。
したがって、耐量子計算機暗号が導入されても、以前から公開鍵が露出している資産については、既に公開された鍵の情報自体が変わるわけではないため、そのリスクが自動的に消えるわけではない。こうした資産は、新しい量子耐性アドレスへ移し替える必要がある。
	

        

	
    

	
		加えて、PQCへの移行には性能と分散性の面で課題もある。ブロックチェーンでは、取引を台帳に記録させる前にネットワーク全体へブロードキャストする必要があり、現行でも一定の通信負荷がかかる。
PQCでは、従来の暗号方式と比べて鍵や署名のサイズが大きくなることが知られている。論文によれば、Algorandというブロックチェーンでは、米国のNISTが選定した耐量子計算機暗号の一つであるFalconが既に利用されている。Falconの署名サイズは、現在ビットコインで用いられているECDSAと比較して約20倍に及ぶ。ブロックチェーンでは取引ごとに署名が付与されるため、署名サイズの増大は通信量や台帳サイズの大幅な増加に直結する。
通信量や台帳サイズの増加は、個人や有志によるフルノード運用の負担を高め、十分な資源を持つ一部のノードしか完全な台帳保持ができない要因になりうる。分散型を志向するブロックチェーンにとって、これは量子耐性とは別の、無視できない課題といえる。
	

        

	
    

	
		さらに、PQC移行による通信量や台帳サイズの増加はそのブロックチェーンの設計自体にも影響を及ぼす可能性がある。ビットコインのようにブロックに収められるデータ量に制約がある仕組みでは、1件あたりの取引サイズが大きくなることで、同じブロックに収められる取引数が減少する。その結果、利用者が負担する手数料にも影響が及ぶ可能性がある。イーサリアムでも、署名検証やデータ保持にかかるコストは最終的にガス代（ブロックチェーン上で取引する際に発生するコスト）へ反映されうるため、同様の負担増が生じる可能性がある。
また、こうした変更はネットワーク参加者の利害にも影響を及ぼす可能性がある。ブロックチェーンではプロトコル変更に際してコミュニティ全体の合意が必要となるため、技術面だけでなく、合意形成の難しさも課題となりうる。

6.おわりに
量子コンピューターの実用化時期は依然として不確実である。しかし、量子コンピューターに関する研究は着実に前進しており、「まだ先の話」として扱うことは難しくなりつつある。一方で、PQCへの移行には技術だけでなく、コミュニティの合意形成やシステム対応、ユーザー移行など、多くの時間と労力が必要となる。
量子コンピューターの進展は、暗号資産に対し「安全性」と「分散性」をどう両立するかという、ブロックチェーンの本質的な設計課題を改めて問い直しているともいえるのではないだろうか。
	

        ]]></description>
		</item>
			
		<item>
			<title>今話題のClaude Mythos騒動をまとめる</title>
			<link>https://www.dir.co.jp/report/technology/feature/20260521_012427.html</link>
			<pubDate>Thu, 21 May 2026 17:30:00 +0900</pubDate>
			<description><![CDATA[
    
    「AIにハッキングをされて、会社の機密データが盗まれた・・・」
生成AIテクノロジーがこのまま発達すれば、「いつかすぐにそんな時代が来るよ」とあちこちで語られてきた噂が、こんなにも早く実現してしまうのだろうか(2026年5月現在)。
アンソロピックのClaude Mythos(クロード・ミュトス)の件である。

大企業を中心に、Mythosについて「どう考えるべきか」「何を対策するべきか」という、ひとつの騒動になっており、特に金融業界では動きが盛んなようだ。
ビジネス界の関心が高いトピックスでもあるので、今回は、Claude Mythos騒動の経緯や内容、そして実態として企業が備えるべき対策について、現時点での最新情報をまとめてみよう。
まあ結論から言ってしまうと、懸念を払しょくできる決定的な対策は、現時点ではまだ存在しないとしか言えないのだが・・・

Mythos騒動の経緯
まず、Mythos騒動の、現時点(2026年5月12日)までの経緯を一覧でまとめる。（※１）

騒動の始まりは4月7日。アンソロピックがClaude Mythos PreviewとProject Glasswingについて発表したことだった。（※２）（※３）
1.自社AIモデル、Claudeの精度向上の過程で、Claude Mythos PreviewというAI基盤モデルが出来上がった。
2.サイバーセキュリティ能力/脆弱性発見能力が高すぎ、悪用の恐れがあるので、Mythosの一般公開はしない。
3.プログラムソースコードからサイバーセキュリティ脆弱性を発見する能力が非常に高く、また、発見した脆弱性を突いてサイバー攻撃を成功させるための攻撃ソースコードを生成する精度も高い。
4.グルーバル団体約50団体でProject Glasswingを組成し、Mythosモデルは参画団体に限定して公開する。プロジェクト内で検証と対策検討を進め、90日以内に評価レポートを公開する。
5.Mythosは、アンソロピック技術者が設定した閉鎖IT環境から、独力で脆弱性を見つけ出してハッキングを行い、インターネット環境に脱出した。
6.Mythosが、オープンソースであるLinuxの未知の脆弱性をゼロデイ発見した。
アンソロピックが発信した「Mythos非公開の理由」がいろいろとセンセーショナルだったため、瞬く間に世界中の話題となり、「何か対策を考えないとまずいのかもしれない」という懸念が大企業を中心に高まった。

その後1週間は、第三者機関のMythos評価が話題となる。
米国・英国の第三者評価機関が、「Mythosのサイバーセキュリティ能力は確かに従来モデルよりも高い」という主旨の評価レポートを公開し、Mythos騒動が強まっていく。（※４）（※５）

4月後半からは行政サイドにも動きが見られるようになる。
自民党からはサイバー防衛緊急提言が発表され、4月24日に開催された「AI脅威に対する金融分野のサイバーセキュリティ対策強化に関する官民連携会議」は、財務大臣および金融庁・日本銀行・JPX・メガバンク各行の代表が一堂に会したということで、大きく報道された。金融企業のクライアントから、「Claude Mythosについて知りたい」という要請が湧き起こったのもこの頃だった。5月12日には、金融庁から各金融機関に対して早急な対応の要請まで出されたと報道されている。

5月に入ると、アンソロピックが「Claude Security」というサービスを発表し、高いセキュリティ機能を備えたAIを企業に限定なしで提供し始める。そして同じ時期に発表されたのが、OpenAIのGPT-5.5-Cyberというモデルだ。このAIモデルは、英国の第三者機関のレポートにて「Mythosと同等のサイバー能力を確保している」といった主旨で評価され、やはり限定公開となっている。（※６）
「Mythosだけが特別というわけではないのではないか」「今後はMythosと同様に、最新AIモデルが発表されるたびにサイバーセキュリティの心配をすることになるのだろうか」という、そこかしこで噂されていた懸念が、早くも現実となった。

        

	
    

	
		
なお、アンソロピック、OpenAIが公表しているモデルカードドキュメントやブログによると、各モデル間の関係性はおおむね以下の模様である。（※７）
・アンソロピックが、生成AI基盤モデルの精度向上を続ける中で、Claude Mythos Previewが出来上がった。前述の通り、悪用の危険があるので一般公開しないと決定。
・そこで、アンソロピックは、Claude Mythos Previewの機能を、サイバーセキュリティ性能を中心に一部低減させる対応を実施。
・その成果が、Claude Opus 4.7につながり、公開。
・Claude Opus 4.7をベースに、サイバーセキュリティ関連ガードレールの緩和等の調整を加えた特化サービスが、Claude Security。脆弱性発見能力は高いが、脆弱性を突く攻撃コードを生成する能力は従来程度に抑えている。
・同様に、OpenAIのGPT-5.5モデルに対して、サイバーセキュリティ関連ガードレールの緩和等の調整を加えたモデルが、GPT-5.5-Cyber。

	

        

	
    

	
		Mythosは本当に超高性能なのか
官民挙げて結構な騒動になっていることを、肌で感じているビジネスパーソンもおられることだろう。
私も各方面から、「Mythosについて解説してほしい」と依頼を受けている・・・
でも、Claude Mythosは、果たして本当にこんなに騒動になるほどスゴイのだろうか？　みんな大げさなのではないのか？

ということでこの章では、Mythosの評価について、各所の情報をまとめてみる。複数の情報源から情報を集め、集約・整理して表現してみた。（※８）　現時点(2026年5月12日)の情報となる。
	

        

	
    

	
		一見して、Claude Mythos Previewのカラムに赤字の性能数値が多いことが分かるだろう。Claude Mythos Preview での実測値が発見できなかったベンチマークについては、Claude Opus 4.7の性能数値を当てはめることも可能と考慮すると、さらに赤字の性能数値は多くなる。Mythosの性能が、総合的に従来モデルよりも高いと評価することには一定の蓋然性がある。
ただし、GPT-5.5にも同じくらい赤字の性能数値が多いことも、同時に見て取れるだろう。Mythosから1ヵ月程度遅れて世に出たGPT-5.5-Cyberだが、Mythosに劣らぬ性能を持っていると評価して差し支えなさそうだ。

ここから言えるのは、Mythosは確かに性能が良いのだが、ダントツのオンリーワンというわけではないということだ。前述したアンソロピックのCEOのコメントのように、他のモデルも短期間で追随してくる。2026年4月に公開された、スタンフォード大学が毎年発表しているAIレポートの最新版（※９）では、「各社の生成AI基盤モデルは、最近では性能差が非常に小さい」という旨の分析がなされている。
Mythosは確かにスゴかったのだが、今ではもうそれほどスゴイわけではない。
そして、企業が備えるべきなのは、Mythosモデル単体なのではなく、今後必ず出てくる新しいAI達であり、AI時代そのものが企業にとっての脅威となる。

ちなみにだが、Claude Mythosを否定的に論評する一部の意見も、多様な視点を提供するという意味で、併記しておく。
・Claude Mythos Previewが、オープンソースから数千件～数万件の脆弱性を発見したと言われているが、情報が一部しか公開されていないため、内容や詳細が不明。発見したとされる脆弱性の中で、本当に悪影響があってパッチ適用が必要なものは、わずかしかないのでないか。
・Claude Mythos Preview公開以前のClaudeが、ガードレールをジェイルブレイクされたうえで脆弱性発見＆サイバーアタックに悪用されたという実績検証レポート（※１０）も公開されている。Mythos以前の生成AIモデルでも、既に一定のサイバー攻撃能力を保有していた。Mythosに始まった話ではない。
・Claude Mythos Previewの、高い脆弱性発見能力や攻撃コード生成能力は、AIモデル本体の性能以外に、エージェンティックな挙動を生み出す周辺機構からの貢献が大きいのではないか。

企業は何を対応するべきか？
	

        

	
    

	
		Mythos騒動は、Claude MythosというAIモデルの脅威に対して個別に対抗策を考える問題ではない。
AI時代の全企業に対して、望む望まないに関わらず、定常的なサイバーセキュリティ対策や体制の格段の強化を強いる、マインドチェンジ問題/企業行動変容問題ととらえなければならない。

発達した生成AIは今や、サイバーセキュリティ知識の浅い人物にトップハッカーを超えるサイバー攻撃能力を提供しうる。AIの能力で、企業システムに対して未知の脆弱性を突くゼロデイ攻撃は、今後確実に増えるだろう。企業側が脆弱性に気付いたとしても、攻撃者は企業側の対策よりも速く、数十分というタイムスパンで攻撃を仕掛けることができるかもしれない。悪用されるAIモデルは、Claude Mythosモデルだけとは限らない。Mythos以前のモデルでも一定に攻撃者の役に立つし、Mythos以降のモデルは今後どのモデルでも、同じ悪用可能性を含んでいると考えるべきだ。
AIのサポートを受けた多くのサイバー攻撃者が、従来よりも一段高い水準で素早く、企業システムを狙ってくる。これはもう後戻りできず、避けられない、受け入れるしかない問題だ。AI時代の、代表的な構造デメリット問題のひとつと、評価して差し支えないだろう。

短期的な対策
AIの発達にともなう、企業サイバー攻撃水準と速度の急激なレベルアップ。
AI時代の企業は、これにどのように対抗していくべきなのだろう。

短期的目線では、「Mythosが既に発見したと言われている大量の脆弱性に、どう対処するか」という問題が、真っ先に光を当てられるだろう。

まずは、①脆弱性情報公開済み かつ パッチ公開済み かつ 自社システムへパッチ適用未済
のケースを念頭に検討を進める。
この場合、必要な対応は、「自社の各システムにひたすらパッチを適用していく」対応となる。
自社の各システムに対して、公開済みのパッチを、素早く、障害なく、適用することが求められる。
そのために、より具体的には以下のような対応が求められるだろう。
a.自社内各システムの事前リストアップと事前把握。
b.自社内各システムのSBOM事前整理。SBOMとは、Software Bill Of Materialsの略で、具体的にはシステム内で使われているオープンソースの部品表を指す。SBOMにより、どのオープンソースが自社のどのシステムに組み込まれているのか、漏れなく把握する。
c.脆弱性情報の素早い、漏れのない把握。脆弱性が公表されたら、企業としてすぐに気付き、内容を把握することが必要になる。「脅威インテリジェンスの強化」と言い換えても良い。
d.自社内各システムごとの、パッチ適用優先順位の事前設定。
e.自社内各システムごとに、パッチ適用手順の事前整理。どのようにパッチを適用するかという手順と、適用した後のテストについても事前整理し、できれば「自動化」を実現しておく。
f.上記【a】～【e】を実行するための、社内サイバーセキュリティ体制の強化。

次に、②脆弱性情報公開済み かつ パッチ未公開　のケースを念頭に検討を進める。
この場合、自社システムに対して決定的な対策を施すことができない。腹を決めて諦め、「可能な限りの準備を行ってあとは耐え忍ぶ」しか、打てる手立てがない・・・
より具体的には、以下のような対応が求められるだろう。
g.上記【a】～【f】対策の全て。
h.対象となる脆弱性の詳細内容を把握したうえで、インターネットとシステムとのアクセスポイントに、該当脆弱性に特化した、入力抑止対応を実装する。特定のルールを、システムの入り口に個別設定開発して、悪意のある入力を排除する方法。
i.自社内各システムごとに、必要であればシステム停止やインターネットからの隔離を検討し、実行する。

どれも、懸念を払しょくできる決定打となる対策ではない。
残念ながら、現時点では決定打となる対策は見つけられていない。
企業が行うべきとされている理想的なサイバーセキュリティ対応を、水準をひとつ上げ、これまで以上に抜け漏れなく実行する。それ以外に有効な対抗策は見つけられていない。

（5月17日　追記情報）
Project Glasswingに参加しているPaloalto Networks社から、ブログが公開されたので最新情報として追記したい。（※１１）

Claude Mythosなど、高度な生成AIを活用した高速なサイバー攻撃に対し、暫定的に回避を行う手段として、次のような方法も考えられる。
ひとつは、「アタックサーフェス管理(ASM:Attack Surface Management)」と呼ばれる手法。アタックサーフェス管理は、サイバー攻撃における攻撃経路・侵入経路に焦点を当てて、網羅的探索と発見・監視を行う考え方で、セキュリティベンダーから製品も販売されている。自社内の各システムに対する網羅的リストアップやSBOM整備、脆弱性把握などは本質的に必要なのだけれども、アタックサーフェス/攻撃面に焦点を置くことで、暫定的な重要箇所把握を高速化できる可能性がありえる。

もうひとつが、「仮想パッチ適用(Virtual Patching)」と呼ばれる手法。インターネット/攻撃者と各システムとの間に高度なセキュリティファイアウォールを設定し、ルールで定義された、特定の攻撃に類する可能性のある通信を遮断する考え方で、やはり製品も販売されている。Paloalto Network社は、Mythosのような高度なAIを活用した高速なサイバー攻撃に際し、パッチ適用が間に合わない局面では、このような仮想パッチ適用ソリューションの重要度が高まる可能性があると、ブログで表現している。

受けるサイバー攻撃の個別内容によって、上記のような製品ソリューションベースでの暫定対応が高い効果を発揮できるかできないか、状況は変わってくるものと予想される。しかし、Mythos対策として決定力のある妙手が見つかっていない現状では、対策を検討するうえでの選択肢のひとつとして、一考の価値があるということになるだろう。

長期的な対策
そして、短期目線よりも、長期目線の恒常的対策の方が、企業にとってより重要となる。
企業は、Mythosに限らず、また、Mythosが発見したとされる大量の脆弱性に限らず、今後出てくるであろう新しいAIモデルのリスクに備えなければならないし、今後も大量に発見されるであろう新しい未知の脆弱性に備えなければならない。
しかし、果たしてそんな対策が本当に可能なのだろうか？

そのために目指すべき対策は、実は短期的な対策のケースと変わらない。
繰り返しとなってしまうが、残念ながら、現時点では決定打となる対策は見つけられていない。

昨今の企業サイバーセキュリティ議論では、「サイバーレジリエンス」という考え方が非常に重要視されているという。『サイバー攻撃の、全部を排除したり回避したり対抗したりすることはもう諦めて、攻撃されることを前提とし、攻撃の悪影響を最小化するための対応や、リカバリー対応に注力しよう』というコンセプトだ。
まさにこのサイバーレジリエンスを基本マインドとして、攻撃された際のダメージを最小化するよう、しっかり事前準備を行う。それが現時点で最善の長期的対策ということになる。
そのためにはやはり、企業が行うべきとされている理想的なサイバーセキュリティ対応をこれまで以上に抜け漏れなく実行するしかないと、同じ話が再登場する。
長期目線でも短期目線でも、企業がやるべきサイバーセキュリティ対策はあまり変わらないと、そう言わざるをえない。
より具体的には、以下のような対応が求められるだろう。
j.前述【a】～【i】対策の全て。
k.Claude Securityサービスを筆頭とした、防御用に利用できる生成AIモデルを活用し、事前に自社システムのソースコードなどの脆弱性チェックを済ませておく。
l.事前に自社各システムの脆弱性を内部把握し、脆弱性内容に応じた個別の対策や検討を講じる。

まとめ
生成AI技術は高度に発達し、企業システムサイバーセキュリティの現実の脅威となってきている。
しかし発達したとは言え、攻撃側のAIはまだまだ、アニメやSFみたいなリアルタイムの超高性能スパイロボットとして機能できるわけではない。

それはつまり、AI時代に入ったとはいえ、企業側で「事前にどれだけ手厚く事前の準備を行うことができたか」が、レベルアップしたサイバー攻撃を防ぐうえで最大の効果をもたらす可能性が高い、ということだ。
AIによるサイバーセキュリティ脅威の増大を前提に、企業に求められる対策は、サイバーセキュリティ予算の増額と体制の強化、そして手厚い事前準備、さらに、攻撃されることを前提に悪影響を最小化させようと努力するサイバーレジリエンスマインドの定着、現時点ではこの３点に帰着するのではないかと考える。

相対的に攻撃側が有利なのは間違いない。しかし、地道な対策しかない。地道な対策が恐らく最も効果が高い。
地道な企業サイバーセキュリティ運営に、幸ありますように。
	

        
    
    （※１）
・Anthropic　Assessing Claude Mythos Preview’s cybersecurity capabilities
https://red.anthropic.com/2026/mythos-preview/
・AISI　Our evaluation of Claude Mythos Preview‘s cyber capabilities
https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities
・OpenAI
https://openai.com/ja-JP/index/scaling-trusted-access-for-cyber-defense/
・Anthropic　System Card: Claude Opus 4.7
https://www.anthropic.com/claude-opus-4-7-system-card
・CSA　Claude Mythos: AI Vulnerability Discovery and Containment Failures
https://labs.cloudsecurityalliance.org/research/ai-vuln-discovery-containment-claude-mythos-v1-0-csa-styled/
・自由民主党　高度自律型AIの対策強化を最新AI「ミトス」巡り議論
https://www.jimin.jp/news/information/213064.html
・OpenAI　GPT 5.5 System Card
https://openai.com/index/gpt-5-5-system-card/
・金融庁　「AI脅威に対する金融分野のサイバーセキュリティ対策強化に関する官民連携会議」の作業部会の開催について
https://www.fsa.go.jp/news/r7/sonota/20260514/20260514.html
・Anthropic　Claude Security by Anthropic
https://www.anthropic.com/product/security
・OpenAI expands Trusted Access program with GPT-5.5-Cyber
https://dataconomy.com/2026/04/30/openai-expands-trusted-access-program-with-gpt-5-5-cyber/
・AISI　Our evaluation of OpenAI‘s GPT-5.5 cyber capabilities
https://www.aisi.gov.uk/blog/our-evaluation-of-openais-gpt-5-5-cyber-capabilities
・Anthropic CEO、AIサイバーリスク 今は「危険な状況」防御側の猶予は6カ月
https://www.sbbit.jp/article/fj/185322#image241597
・IMF　Financial Stability Risks Mount as Artificial Intelligence Fuels Cyberattacks
https://www.imf.org/en/blogs/articles/2026/05/07/financial-stability-risks-mount-as-artificial-intelligence-fuels-cyberattacks
・経済産業省　高性能AIへの対応に関して赤澤経済産業大臣が重要インフラ事業者との意見交換を実施しました
https://www.meti.go.jp/press/2026/05/20260501001/20260501001.html

（※２）Anthropic　Assessing Claude Mythos Preview’s cybersecurity capabilities
https://red.anthropic.com/2026/mythos-preview/
（※３）Anthropic　Project Glasswing
https://www.anthropic.com/glasswing
（※４）AISI　Our evaluation of Claude Mythos Preview‘s cyber capabilities
https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities
（※５）CSA　Claude Mythos: AI Vulnerability Discovery and Containment Failures
https://labs.cloudsecurityalliance.org/research/ai-vuln-discovery-containment-claude-mythos-v1-0-csa-styled/
（※６）AISI　Our evaluation of OpenAI‘s GPT-5.5 cyber capabilities
https://www.aisi.gov.uk/blog/our-evaluation-of-openais-gpt-5-5-cyber-capabilities
（※７）
・Anthropic　System Card: Claude Mythos Preview
https://www.anthropic.com/claude-mythos-preview-system-card
・Anthropic　System Card: Claude Opus 4.7
https://www.anthropic.com/claude-opus-4-7-system-card
・Anthropic　Claude Security by Anthropic
https://www.anthropic.com/product/security
・OpenAI　GPT 5.5 System Card
https://openai.com/index/gpt-5-5-system-card/
・OpenAI　Scaling Trusted Access for Cyber with GPT 5.5 and GPT 5.5 Cyber
https://openai.com/ja-JP/index/gpt-5-5-with-trusted-access-for-cyber/

（※８）
・Project Glasswing
https://www.anthropic.com/glasswing
・Our evaluation of Claude Mythos Preview‘s cyber capabilities
https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities
・Our evaluation of OpenAI‘s GPT-5.5 cyber capabilities
https://www.aisi.gov.uk/blog/our-evaluation-of-openais-gpt-5-5-cyber-capabilities
・How do frontier AI agents perform in multi-step cyber-attack scenarios?
https://www.aisi.gov.uk/blog/how-do-frontier-ai-agents-perform-in-multi-step-cyber-attack-scenarios
・Tests by a UK government agency revealed that 'Claude Mythos Preview' is capable of autonomously executing a complete network takeover attack.
https://gigazine.net/gsc_news/en/20260414-claude-mythos-preview-aisi-evaluation/#gsc.tab=0
・GPT-5.5 matches Anthropic’s Mythos in UK cyber evaluations, raising wider questions about AI security risk
https://www.thehackacademy.com/news/gpt-5-5-matches-anthropics-mythos-in-uk-cyber-evaluations-raising-wider-questions-about-ai-security-risk/
・Claude Mythos: I‘m so powerful that I’m afraid to let you use me.
https://eu.36kr.com/en/p/3757746947883783
・Gemini 3.1 Pro Model Cards
https://deepmind.google/models/model-cards/gemini-3-1-pro/
・Gemini 3.1 Pro Preview: The new leader in AI
https://artificialanalysis.ai/articles/gemini-3-1-pro-preview-new-leader-in-ai
・OpenAI‘s GPT-5.5 is the new leading AI model
https://artificialanalysis.ai/articles/openai-gpt5-5-is-the-new-leading-AI-model
・AA-Omniscience: Knowledge and Hallucination Benchmark
https://artificialanalysis.ai/evaluations/omniscience
・Hugging Face zai.org/GLM-5.1
https://huggingface.co/zai-org/GLM-5.1/commit/bef021499129c8734c071411f980c5c718874da3
・Model Drop: GPT-5.5
https://handyai.substack.com/p/model-drop-gpt-55

（※９）Stanford University　The 2026 AI Index Report
https://hai.stanford.edu/ai-index/2026-ai-index-report
（※１０）Dragos　AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility’s OT
https://www.dragos.com/blog/ai-assisted-ics-attack-water-utility
（※１１）Paloalto Networks　フロンティアAIのサイバーセキュリティへの影響についての防御担当者向けガイド: 2026年5月更新
https://www.paloaltonetworks.com/blog/2026/05/defenders-guide-frontier-ai-impact-cybersecurity-may-2026-update/?lang=ja


        ]]></description>
		</item>
			
		<item>
			<title>デジタルマネーは決済の主役になれるのか</title>
			<link>https://www.dir.co.jp/report/technology/feature/20260428_012419.html</link>
			<pubDate>Tue, 28 Apr 2026 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    1.はじめに
近年、金融業界では技術発展を背景に新しい制度やサービスが次々に登場している。こうした動きは、実際の業務の進め方にも少しずつ影響を与え始めており、金融分野におけるIT動向の重要性は一段と高まっている。そこで本稿では、海外の金融機関および金融IT分野における動きの中から、実務への大きなインパクトが予想されるテーマを取り上げ、その背景や意義を整理しながら紹介する。
今回はその題材として、米国におけるGENIUS法成立（2025年7月）以降、ステーブルコインおよびトークン化預金が決済分野でどのように利用され始めているのかに着目する。

2.本稿で取り上げる視点
近年、ステーブルコインの発行残高は大きく伸びているが、その多くは暗号資産関連での利用にとどまる。一方で、GENIUS法や日本の資金決済法をはじめとする各国の制度では、ステーブルコインを決済手段として位置付けることが明確に意識されている（※１）。
また、すでに一部の銀行が商用化しているトークン化預金も、銀行の信用力や既存の金融インフラを活用した新たな決済手段として注目を集めている。
そこで、本稿では、ステーブルコインやトークン化預金の本来の役割である「決済」に着目する。とりわけ、既存の顧客基盤や金融インフラを持つ金融機関の取り組みに焦点を当て、こうしたデジタルマネーが決済分野で普及するためにどのような要素が必要となるのかを考えてみたい。

3.米国の金融機関における動向
以下では、米国金融機関におけるデジタルマネーの発行事例を取り上げ、各社の狙いを整理する。

3.1 米国金融機関におけるステーブルコイン実用化事例
ここでは、GENIUS法成立以降、決済用途を明確に打ち出している事例の中から、投資家・証券取引との連携、地域金融機関による会員向けサービス、法人間決済・システム外販という異なる特徴を持った3つの事例を取り上げる。

・フィデリティ・インベストメンツの「FIDD」
米国を代表する大手資産運用会社であるフィデリティ・インベストメンツは米国内の大手金融機関としては初めて、ステーブルコイン「FIDD（Fidelity Digital Dollar）」を発行した（実際の発行は子会社）。特徴として、FIDDの購入から償還までグループで一括して提供している点、発行・準備状況をWebサイトで公開し透明性を確保している点が挙げられる。
フィデリティは、「投資家にオンチェーンのユーティリティを提供する」と述べており、低コストかつ効率的な決済手段の提供を狙っている。なお、明言はされていないものの、証券決済の即時化やトークン化証券とのシームレスな連携も視野に入れているものと考えられる。

・セントクラウド・ファイナンシャル・クレジットユニオンの「CLDUSD」
ミネソタ州に拠点を置く地域密着型の金融機関セントクラウド・ファイナンシャル・クレジットユニオン（以下、セントクラウドFCU）は、ブロックチェーン企業のメタリカス社およびクレジットユニオン向けのシステム開発を行うDaLand CUSO社と共同でステーブルコイン「CLDUSD」を発行している。
同クレジットユニオンは、発行の狙いとして、個人・法人問わずクレジットユニオンの会員間の低コストかつ即時の送金および法人会員がクレジットカード発行会社に支払っている加盟店手数料の削減を挙げている。また、将来的に暗号資産取引を希望する顧客に対する対応の一環であることも表明しているため、自らステーブルコインを発行することで顧客接点の維持や資金流出の抑制を企図していると言えよう。

・SoFiの「SoFiUSD」
デジタルチャネルで総合金融サービスを展開するフィンテックSoFiは子会社のSoFi Bank N.A.を通じて、ステーブルコイン「SoFiUSD」の発行を開始した。主な狙いは、銀行やカードネットワーク向けに24時間対応の決済インフラを提供することであり、越境決済や財務管理といった用途が想定されている。
同社の特徴は、BaaS基盤を提供する子会社のGalileo社と連携してステーブルコイン関連システムの外販を明示している点にある。また、マスターカードとの提携を通じて、グローバル決済ネットワークにおける決済通貨としての利用も進めており、自社発行とシステム販売という二方向で展開を進める戦略がうかがえる。

3.2 米国金融機関におけるトークン化預金実用化事例
ここでは、米国において商用化が進展しているトークン化預金の事例の中から実装の方向性が異なる3事例として、JPモルガン・チェース、Citi、BNY(Bank of New York Mellon)を取り上げる。

・JPモルガン・チェースの「JPM Coin」
米国最大の銀行であるJPモルガン・チェースは、2019年2月に法人・機関投資家向けの決済用途に特化したトークン化預金「JPM Coin」をリリースしている。想定用途は海外送金、デジタル資産取引における担保等が挙げられる。
国際送金における高額な手数料や着金に長時間を要するといった、法人顧客が金融サービスを利用するうえでの諸課題に対し、世界中に支店を持つ同行が一つの解を提示したと言えよう。

・Citiの「Citi Token Services」
大手グローバル銀行Citiは、2023年からプライベートチェーン上でトークン化預金サービス“Citi Token Services”をスタートした。JPモルガン・チェースと同様に、海外送金等を主な想定用途としている。特徴としては、決済と商流情報の連動に着目している点が挙げられる。一例として、スマートコントラクトを利用して国際貿易における信用状（L/C）が特定の条件を満たした際に、トークン化預金に情報が連携され決済を自動的に行うといった事務フローの自動化が示されており、トークン化による恩恵が実務まで繋がっていることが分かる。

・BNYのトークン化預金サービス
世界最大のカストディアンであるBNYは、2026年1月に機関投資家向けのトークン化預金サービスをスタートした。
特徴は、証券取引における担保や証拠金（マージン）決済の自動化・高速化など、証券業務の自動化・効率化が掲げられている点にあり、同社が証券市場に対して提供する新たな決済インフラという性格が強い。
プレスリリースでは、将来的にステーブルコインやトークン化証券との接続も視野に入れていることが示されており、トークン化預金が抱えやすい「外部との繋がりにくさ」を補おうとする意図が見てとれる。

4.ステーブルコイン・トークン化預金の利用拡大に向けた要素
今回取り上げた、各事例を主な用途と各社が考える実装上の狙いという観点から図表１のとおり整理する。各社事例を横断的に見ると、発行目的や利用領域にはいくつかの共通点が見えてくる。

        

	
    

	
		前述のとおり、ステーブルコインの用途はその多くが暗号資産関連取引での利用であり、金融機関による決済用途を志向したステーブルコインの事例はなお限定的かつ初期段階ではあるが、トークン化預金の事例とあわせて検討することで、普及に向けた重要要素を整理した。こうした整理から、図表２に示すとおり、決済分野におけるデジタルマネーの普及には、支払側インセンティブの設計および法人・機関投資家への訴求が重要な要素になると考える。
	

        

	
    

	
		
	

        
    
    ①支払側インセンティブの設計
新しい決済手段を導入し、広く普及させるためには、決済の起点となる支払側に、明確な実務上のメリットが設計されていることが必要である。
この点を考えるうえで、まず参考になるのが、すでに商用化ベースで利用が広がりつつあるトークン化預金の事例である。
今回取り上げた事例では、トークン化預金が支払側の実務上の課題を解消する手段として位置付けられており、支払側の事務負担やコスト軽減が設計に組み込まれている点に着目する必要があろう。例えば、JPモルガン・チェースでは即時送金による資金移動の効率化、Citiでは商流情報との連動による事務コストの削減、BNYでは担保・証拠金決済の自動化・迅速化による資本効率改善やオペレーショナルリスクの低減などが期待されている。ステーブルコインの事例でも、フィデリティ・インベストメンツは用途を証券決済に絞っており、BNYのトークン化預金に近い発想が見られる。SoFiの事例でも、法人間決済のコスト低減といった支払側のメリットが示されている。
逆に言えば、こうした支払側のメリットが見えにくい場合は、すでに便利な決済手段が多数ある中で、あえてステーブルコインを選ぶ理由はあまりない。セントクラウドFCUの事例に見られるように、加盟店における決済手数料の低減は、資金の受領側にとっては大きな利点になるため、それを支払側にどう還元できるかが、普及を進めるうえで重要なポイントになろう。

②法人・機関投資家向け決済への訴求
今回取り上げた全ての事例で、法人間の資金決済あるいは貿易決済や証券決済といったバックエンド領域がターゲットとなりデジタルマネーの導入が進められている。法人・機関投資家の決済業務では、高額・多通貨の取引が日常的に発生するため、資金移動の24時間化やプログラマブルな送金といった機能の効果が発揮されやすい。こうした点を踏まえると、デジタルマネーの普及には、法人向けに既存決済インフラの課題解決を訴求することが重要だと考える。
もっとも、実際に導入を進めるうえでは、ステーブルコインおよびトークン化預金の特性を考慮して選択する必要がある。トークン化預金は異なる金融機関への送金には利用できず、既存の決済インフラ（Swiftやコルレス銀行ネットワーク）を利用する必要があり、元々期待される利便性を十分に発揮しにくい場面もある。一方、ステーブルコインでは、十分な流動性の確保、規制対応、受領後の取り扱い方法などを考慮する必要がある。

5.おわりに
本稿では、米国の事例を通じて、デジタルマネーの導入初期には、支払側にとってのインセンティブ設計と法人・機関投資家向け決済インフラの改善が重要なポイントであることを確認した。
こうした視点は日本においてデジタルマネーの有効活用を考えるうえでも参考になる。日本では、資金決済法上、資金移動業に対しては送金額や資金滞留に一定の制約があるため、高額・高頻度の決済領域では、金融機関がデジタルマネーの提供主体として関与する意義が相対的に大きいと考えられる。
デジタルマネーが実務の中に定着していくには、単に新しい技術として導入されるだけでは足りない。既存の決済業務が抱えるコストや事務負担といった具体的な課題を解決する手段として組み込まれていくことが、重要になるだろう。

        
    
    （※１）ステーブルコインおよびトークン化預金の制度面の詳細は、中田理恵・鈴木利光「デジタル通貨覇権競争の幕開けと次世代決済の展望」（『大和総研調査季報』2026年新春号（Vol.61）、pp.22-39）を参照されたい。

        ]]></description>
		</item>
			
	</channel>
</rss>