【BASIC SYNC】決裁のリードタイム — 攻撃は機械の速度、判断は会議の速度

攻撃側は機械の速度で動き、守る側は会議の速度で決める。McKinsey が公開したレポート「The speed problem」は、この時間差を企業のセキュリティ体制における中核的な弱点として挙げた。CrowdStrike の年次報告では、侵入から社内の別システムへ横展開するまでの平均時間は 29 分、最速の観測値は 27 秒まで縮んでいる。経営層にとっての論点は、ツールの選定ではなく「誰がどこまでを事前の承認で止められるか」という権限設計にある。

何が起きたか — 「速度の問題」という診断

McKinsey Insights は、フロンティア AI が企業のサイバーセキュリティの弱点をあらわにしているとするレポートを公開した。同社の診断は単純で、攻撃者はすでに機械の速度で動いているのに、組織の意思決定は委員会の速度のままだ、というものである。そのうえで、この差を埋めるには、技術部門への委任ではなく、経営の関与を前提にした別の運用モデルが要る、と述べている。

診断を裏づける数字は、セキュリティ業界の年次統計から取れる。CrowdStrike が公開した年次のグローバル脅威レポートによれば、金銭目的の攻撃における平均のブレイクアウトタイム、つまり最初の侵入から別のシステムへ横展開するまでの時間は 29 分まで縮み、前年と比べて 65% 速くなった。最速で観測された事例は 27 秒である。同レポートは、AI を取り入れた攻撃者による攻撃の件数が 89% 増えたこと、検知された侵入の 82% がマルウェアを使わないものだったことも示している。公開前に悪用された脆弱性も 42% 増えている。

なぜ会議の速度では間に合わないのか

マルウェアを使わない侵入が多数派になったという事実は、非エンジニアにとっても理解しやすい含意を持つ。攻撃者は不審なプログラムを持ち込むのではなく、盗んだ ID とパスワードで正規の入口から入り、管理者が日常的に使う標準的な道具をそのまま使う。つまり、画面の上では正規の社員が働いているようにしか見えない。ウイルス対策ソフトが「危険なファイル」を見つけて警報を鳴らす、という旧来の絵は、もう前提として成り立たない。

そこに 29 分という数字が重なる。侵入に気づいた担当者が上司に報告し、上司が部門長に上げ、部門長が関係部署を集めて対応方針を諮る。この手順を踏むだけで 29 分は消える。ましてや 27 秒である。生成 AI が攻撃側の作業を自動化すると、偵察から侵入、横展開までの一連の工程が人手を介さず連続して走る。守る側が同じ工程を人の承認で一段ずつ進めている限り、速度差は縮まらない。日本企業でよく見る「担当役員が捕まらないので朝まで待つ」という状態は、その間ずっと攻撃側に時間を渡していることになる。

ここで注意したいのは、解決策が「AI で守る」という道具の話に収束しないことである。検知を自動化しても、遮断や隔離の実行に人の決裁が要るなら、ボトルネックは移動しただけで消えていない。詰まっているのは検知ではなく、決めることそのものである。

経営層への影響 — 決裁のリードタイムを測る

この問題は、情報システム部門の運用改善では解けない。止める判断には事業の損失がついて回るからである。基幹システムを一時的に切り離せば受注が止まり、取引先の接続を遮断すれば納期に響く。だからこそ現場は上に判断を上げ、上は情報が揃うのを待ち、その間に時間が溶ける。判断を速くしたいなら、判断の内容ではなく、判断の権限をあらかじめ配っておくしかない。

実務的には、平時のうちに三つを文書化しておく話になる。第一に、どの事象なら現場の判断だけで遮断してよいか、という閾値。第二に、その遮断によって生じる事業影響を誰が引き受けるか、という責任の所在。第三に、事後にどこへ何分以内に報告するか、という手順。この三つが決まっていれば、担当者は上司を探す時間を使わずに手を動かせる。決まっていなければ、どれほど優秀な検知基盤を入れても、最後の一歩で会議の速度に戻る。

日本企業では、稟議と合議が品質を担保してきた側面がある。それ自体は否定するものではない。ただし稟議は「間違えた判断を未然に減らす」ための仕組みであり、「間に合わない判断を避ける」ための仕組みではない。攻撃の速度が分と秒の単位に入った以上、少なくともインシデント対応の領域では、合議の前提を意識的に外す範囲を決める必要がある。

SYNCON の視点 — 事前承認は権限委譲ではなく設計図

事前承認という言葉は、しばしば「現場に丸投げすること」と誤解される。実際は逆である。事前承認とは、経営が平時に時間をかけて、どの損失なら受け入れるかを決めておく作業だ。緊急時に現場が独断で決めるのを許すのではなく、緊急時に現場が迷わないよう、経営の判断をあらかじめ書き出しておく。判断を手放すのではなく、判断を前倒しする。この違いを取り違えると、権限規程はいつまでも緩められない。

そして、この設計図は一度書けば終わりではない。攻撃側の速度は毎年更新され、82% がマルウェアを使わない侵入という前提も、数年前には成立していなかった。閾値は、脅威の実測値に合わせて引き直すべきものである。来週の経営会議で問うべきは、どのセキュリティ製品を導入するかではない。深夜に侵入が検知されたとき、社内の誰が、誰の承認を待たずに、どこまでを止められるのか。その答えを紙で示せるかどうかである。

要点まとめ

• McKinsey は、攻撃が機械の速度で進む一方で組織の意思決定が委員会の速度に留まる時間差を、企業セキュリティの中核的な弱点として指摘した
• CrowdStrike の年次報告では、侵入から横展開までの平均時間は 29 分、最速の観測値は 27 秒、前年比で 65% 速くなった
• 検知された侵入の 82% はマルウェアを使わず、盗んだ資格情報と正規の管理ツールで進む。AI を使う攻撃者の攻撃件数は 89% 増えた
• 検知を自動化しても、遮断の実行に人の決裁が要るならボトルネックは消えない。詰まっているのは決めることそのものである
• 平時に決めるべきは、現場判断で遮断してよい閾値、事業影響を引き受ける責任の所在、事後報告の手順の三つ
• 事前承認は権限の丸投げではなく、経営判断の前倒し。閾値は脅威の実測値に合わせて引き直す

情報ソース:
・McKinsey Insights「The speed problem: How frontier AI exposes weakness in enterprise cybersecurity」(2026 年 9 月 11 日)
・CrowdStrike「2026 CrowdStrike Global Threat Report: AI Accelerates Adversaries and Reshapes the Attack Surface」(2026 年 2 月 24 日)
・CrowdStrike Blog「CrowdStrike 2026 Global Threat Report: The Evasive Adversary Wields AI」(2026 年 2 月)