のちょうどいい
サイバーセキュリティ

ASKULのセキュリティ体制から学ぶ——「ここまで対策していても起こる」現実

 

2025年10月に公表されたアスクル株式会社のランサムウェア被害は、多くの企業関係者に衝撃を与えました。 それは単なる「標的になった企業」ではなく、既に高度な情報セキュリティ体制を整えていた企業だったからです。

本記事では、アスクルが自社のディスクロージャーサイトで公開している情報セキュリティ対策内容をもとに、 「なぜそれでも被害が起こるのか」「私たちは何を見直すべきか」という観点で整理します。

インシデント自体については、別の記事でまとめています↓

2025年アスクルのインシデントまとめ

 

1. アスクルが実施していたセキュリティ対策

アスクルの公式サイト（情報セキュリティページ）によると、同社は以下のような包括的対策を行っていました。

つまり、同社は「やるべきことをやっていた」企業の典型例でした。

 

2. それでも被害が発生した理由——“完全防御”は存在しない

現代のサイバー攻撃は、もはや「入口防御」だけでは防げないレベルにあります。 攻撃者は、正規アカウントの乗っ取り、業務委託先経由の侵入、ゼロデイ脆弱性の悪用など、従来の検知網をすり抜ける経路を巧妙に選びます。

アスクルのケースでは、公式発表では侵入経路や攻撃主体は非公表ですが、ランサムウェア被害であることは明言されています。 これは、内部に侵入した後に横展開（Lateral Movement）され、バックアップや主要システムが暗号化される典型的な流れと考えられます。

この段階では「どれだけ防いでいたか」よりも、どれだけ早く気づけるか・隔離できるかが勝負になります。 多層防御やゼロトラストを整備していても、監視の盲点（クラウド連携や特権アカウント）が残ると、侵入検知が遅れる可能性があるのです。

 

3. セキュリティ成熟度が高い企業でも“被害ゼロ”は保証されない

アスクルのように情報公開が進んでいる企業ほど、攻撃者は「セキュリティの強度」を分析対象にします。 一見パラドックスですが、透明性の高さが“研究対象”になるのです。

さらに、攻撃対象が1社にとどまらない点にも注目すべきです。 今回の事例では、アスクルの倉庫やネットワークを利用していたロフト・無印良品・そごう西武など複数社が間接的な影響を受けました。 つまり、単体企業の防御力だけではなく、サプライチェーン全体でのリスク共有・対策連携が不可欠な時代です。

 

4. 教訓：セキュリティ対策の「次の一手」

アスクルの取り組みは、決して失敗ではなく、むしろ多くの企業が見習うべき水準です。 ただし今回の事例が示したのは、既存の枠組みを“維持する”だけでは足りないということ。

次に注目すべきは、以下の3点です。

こうした体制強化は、単なる“セキュリティコスト”ではなく、事業継続性の投資として位置づけるべきフェーズに入っています。

 

5. まとめ：「守っていた企業が被害に遭う」時代の意味

アスクルは、対策を講じ、情報を開示し、教育にも投資していた企業です。 それでも被害が起きたという事実は、サイバー攻撃の非対称性と、組織防御の限界を如実に示しています。

完璧な防御よりも、被害を局所化し、回復を早める力が問われる。 その意味で、アスクルの透明性は“リスクを隠さない新しい企業文化”として評価すべき一歩です。

これを他山の石として、どんなに整備された体制でも「想定外を前提にした運用」を再確認することが、 いま全ての企業に求められています。

 

参考：アスクル株式会社 情報セキュリティへの取り組み

ではまた。

 

またご意見などがありましたら、

是非とも以下のLINEやメールでご連絡お待ちしています。

その他SNSでも
様々な情報をお届けしていますので
ぜひチェックしてください！↓