サラエボで開催されるCyber Security Summit 2026では、サプライヤーやネットワーク機器、重要なデジタルサービスが停止したときに組織が直面する実務上の課題を掘り下げます。何が止まるのか、誰が判断するのか、どれだけ早く業務を復旧できるのか、といった問いです。
深刻なサイバーインシデントは、必ずしも組織の中核ネットワークから始まるわけではありません。サプライヤーのアカウントが侵害されたり、境界に置かれた機器が外部に露出していたり、クラウド事業者で障害が起きたりするだけで、重要なアプリケーションへのアクセスが断たれ、取引が遅れ、生産工程が止まる可能性があります。
これが「サプライチェーンリスク」の実態です。問題は、ファイアウォールやエンドポイント保護、多要素認証を導入しているかどうかだけではありません。重要なサービスを支える依存関係を把握しているか、その依存先が停止した場合を想定した訓練を行っているか、そして圧力のかかる状況で場当たり的に対応せずに復旧できるかが問われます。
ENISAの「2026 Threat Landscape」は、この問題を測る有用な指標を示しています。調査データで標的となった組織のうち、73%がNIS2における「必須事業体」または「重要事業体」に分類されていました。最も狙われた分野は公共行政で、全体の32%を占めています。ENISAはまた、サードパーティーやサプライチェーンへの攻撃を含むサイバー依存関係を、大規模かつ影響の大きいインシデントにつながり得る要因として挙げています。短期的に最も大きな影響をもたらしたインシデントの種類は、引き続きランサムウェアでした。
e-Transformacija Associationが主催する第6回Cyber Security Summitは、2026年11月18日から19日まで、Hills Congress Center Sarajevoで開催されます。プログラムでは、こうしたテーマに加え、耐量子暗号、AIを悪用した脅威、ネットワークセキュリティ、データセンターのレジリエンス、インシデントからの復旧も取り上げます。
耐量子暗号への備えは「将来の問題」ではなく移行の問題
量子コンピューティングは、しばしば遠い将来の懸念として語られます。しかし、機密性を長期間保つ必要のある情報を抱える組織にとって、そうした捉え方はもはや十分ではありません。金融記録、知的財産、医療データ、ID情報、戦略的に機微な通信などがこれに当たります。
NISTは2024年8月、最初の3つの耐量子暗号標準を確定しました。鍵確立向けのFIPS 203と、デジタル署名向けのFIPS 204およびFIPS 205です。製品、プロトコル、サプライヤー全体にわたる完全な移行には時間がかかるため、NISTは各組織に移行の開始を促しています。
差し迫った懸念は、現在広く使われている公開鍵暗号がすでに量子コンピューターで破られたことではありません。そのような事実はありません。懸念されているのは「今収集し、後で解読する（harvest now, decrypt later）」攻撃です。攻撃者が暗号化されたデータを今のうちに収集して保管し、暗号解読に実用的な量子コンピューターが登場した時点で解読を試みる可能性があります。長期にわたって守るべき機密情報の場合、解読を可能にする機械が現れるずっと前から、リスクにさらされることになります。
そのため、最初のステップは全面的な置き換えではなく、棚卸しです。セキュリティ責任者は、暗号がどこで使われているかを把握し、何年にもわたって機密を保つ必要があるデータを特定し、自社の製品やサービスが暗号アジリティ（暗号方式を柔軟に切り替える能力）に対応できるかをサプライヤーに確認する必要があります。あわせて、証明書、鍵管理のワークフロー、VPN、署名の仕組み、組み込み機器のファームウェアを入れ替える際の運用面への影響も計画しておくべきです。
プログラムには、LevelBlueのSrebrenko Šehić氏が登壇するセッション「Quantum Is Coming: Can You Afford To Wait?」が含まれています。主催者によると、このセッションでは量子の脅威、「harvest now, decrypt later」のシナリオ、既存システムに適用できる実践的な耐量子暗号の選択肢を検討します。
資産の可視化がレジリエンスの出発点
多くのチームにとって、より差し迫った課題は、単純でありながら難しいものです。自分たちが依存しているシステムを、信頼できる形で把握できていないのです。ハイブリッド環境では、オンプレミスのインフラ、クラウドサービス、リモートアクセス、ネットワーク機器、API、SaaSプラットフォーム、サードパーティーによる管理が混在しています。影響を受ける資産が外部に露出しているのか、事業上重要なのか、あるいはそもそもまだ使われているのかを判断できなければ、脆弱性に適切な優先順位を付けることはできません。
だからこそ、資産インベントリはコンプライアンス用の表計算シートではなく、運用上の能力として扱うべきです。システムを、事業サービス、所有者、特権ID、データフロー、復旧時の依存関係と結び付ける必要があります。そうして初めて、セキュリティチームは、露出したルーターや侵害されたIDから、重大な事業中断に至るまでの経路全体を評価できます。
サミットのアジェンダには、Damir Avdić氏のセッション「Walls Won’t Save You: Router or Weapon?」や、ネットワーク設計から攻撃後の復旧までを扱うデータセンターのセキュリティとレジリエンスに関するパネルも含まれています。これらは、より大きな問いを考えるきっかけになります。セキュリティプログラムは、対策が存在すると報告するだけでなく、対策が破られたときにその影響が事業全体にどう波及するかを示せるでしょうか。
AIは攻撃サイクルを加速させるが、説明責任はなくならない
AIは、サイバー作戦の経済性を変えつつあります。英国の国家サイバーセキュリティセンター（NCSC）は、2027年までにAI対応ツールが侵入作戦の一部をほぼ確実に効率化し、サイバー脅威の頻度と激しさを高めるとの見方を示しています。AIによって、偵察、脆弱性の調査、エクスプロイトの開発、ソーシャルエンジニアリング、窃取したデータの処理が強化されると予想しています。
重要なのは、これによって完全自律型でエンドツーエンドの高度な攻撃が近い将来に避けられなくなるわけではない、という点です。NCSCは、2027年までにそうした攻撃が実現する可能性は低いと判断しています。一方で、熟練した攻撃者がAIによる自動化を使って攻撃の規模を拡大し、検知を回避すると見込んでいます。攻撃チェーンには、今後も人間の攻撃者が関わり続けます。
防御側にも同様の規律が求められます。AIはアラートのトリアージ、コードレビュー、異常検知、脅威分析を支援できます。しかし、脆弱なID管理、不十分なデータガバナンス、不明確なインシデント対応の権限を補うことはできません。より自律的なAIエージェントを導入する場合、NCSCは、タスクに必要なリソースへのアクセスに限定すること、サンドボックスを使うこと、ログ記録と監視を維持すること、そして実効性のある人間による監督を残すことを推奨しています。
Cyber Security Summit 2026では、Ilijana Vavan氏のセッション「Redefining Resilience: Cybersecurity Strategy in an AI-Driven World」を通じて、この戦略的課題に取り組みます。Emir Vajzović博士は、正式な資格と、AIが形作る環境で効果的に働くために必要な実践的スキルとの間にあるギャップについて検討する予定です。
セキュリティ責任者が答えられるべき問い
カンファレンスでの議論から得られる最も有益な成果は、新たなツールの一覧ではありません。取締役会、経営幹部、セキュリティ責任者が下すべき判断が、より明確になることです。たとえば、次のような問いがあります。どのサービス、サプライヤー、IDが、最も重要な業務プロセスを止め得るのか。侵害をどれだけ早く検知し、封じ込め、優先サービスを復旧できるのか。耐量子暗号への移行計画を今から立てる必要があるほど、長期にわたって機密を保たなければならない暗号化データはどれか。AIにはどこまで行動する権限があり、どこから人間が承認または停止すべきか。復旧計画は、社内の障害だけでなく、サードパーティーの停止に対しても検証されているか。
これらの問いは、銀行、製造業、テクノロジー企業と同様に、公共機関や重要インフラの運営者にも当てはまります。本当に難しいのは、次のセキュリティ製品を選ぶことではありません。技術的な対策を、責任の所在が明確な意思決定、検証済みの復旧、そして事業を実際に支える依存関係と結び付ける運用モデルを築くことです。
西バルカンにとって、これこそが実践的なレジリエンスの課題です。あらゆる侵入を防ぐことではなく、一つの侵害が長期にわたる業務危機に発展しないようにすることが求められます。
詳細と最新のプログラムは、Cyber Security Summit 2026のウェブサイトで確認できます。
翻訳元: https://www.helpnetsecurity.com/2026/11/06/sarajevo-cyber-security-summit-2026/
