一番多い脅威が、一番怖いのか ── ENISA報告を「数字の読み違い」で読む【今週のセキュリティを、教養で読む #17】

「今年、最も多かったサイバー攻撃はこれです」。

経営会議でそう報告されると、その脅威へ予算を厚くするのが自然に思えます。しかし、最も多く観測された脅威と、自社を最も深く傷つける脅威は、同じとは限りません。

9月22日、欧州連合サイバーセキュリティ機関（ENISA）は「脅威ランドスケープ2026」を公表しました。2025年にEUへ影響した事象を分析したもので、記録された事象の51％は、全体として影響度の低いDDoS攻撃でした。一方、短期的に最も影響が大きい類型として挙げられたのはランサムウェアです。

この二つの記述は矛盾しません。数えているものと、経営が恐れるものが違うからです。

今週、何が起きたか

ENISAの報告は、公開情報、EU加盟国から共有された匿名情報などをもとに、2025年1月から12月までの事象を整理しています。

件数では、地政学的な動きに伴うDDoS攻撃が全体の51％を占めました。公共行政は記録された対象の32％で最多となり、その公共行政で記録された事象の82％は、主に思想的動機によるDDoSでした。

ここで「企業も攻撃の半分以上をDDoS対策へ振り向けるべきだ」と読むのは早計です。51％はEUで観測された事象の構成比であり、日本企業の発生確率ではありません。32％も、すべての公共機関の3割が被害を受けたという意味ではありません。

そして、DDoSの件数が多いことと、ランサムウェアによる業務停止やデータ窃取の影響が大きいことは両立します。統計は答えを一つに決めるものではなく、何を数えた数字かを確かめるための入口です。

碧コンサルの視点：ランキングは、経営判断の代わりにならない

人は、数字が大きいものを重要だと感じます。順位が付くと、1位から対策したくなります。数字は議論を簡潔にする一方で、その数字が作られた範囲を隠してしまいます。

たとえば「問い合わせの半分がパスワード再設定だった」という社内報告があっても、経営上の最大問題がパスワードとは限りません。問い合わせが一件しかなくても、基幹システムの停止や顧客情報の流出なら、損失ははるかに大きいでしょう。

サイバーセキュリティのランキングも同じです。「多い」は観測頻度を示します。「怖い」は、止まる業務、失う信用、法的責任、復旧に必要な時間を含みます。両方とも重要ですが、同じ物差しではありません。

もう一つ注意したいのは、よく見えるものほど多く数えられることです。観測の仕組みが整った脅威は数字になりやすく、気づきにくい侵入や、報告されなかった損失は集計に現れにくい。集計件数は現実そのものではなく、観測できた現実の一部です。

それでも経営会議では、一つの円グラフや順位表にまとめたくなります。資料が短くなり、前年とも比較しやすいからです。問題は簡略化そのものではありません。簡略化によって消えた条件を、結論まで消してしまうことです。「多いから最優先」と言う前に、件数と損失を別々に示す必要があります。

さらに、ニュースの数字には母数があります。地域、期間、対象業種、収集方法が変われば、順位も変わります。今回のENISA報告はEUの2025年を映したものです。その鏡を日本の一企業へそのまま重ねるのではなく、自社の依存関係や事業影響と照らして読む必要があります。

これは統計を疑って捨てる話ではありません。数字が示す範囲を守ることで、むしろ数字を経営に使えるようにする話です。

あなたの組織では？ 次の役員報告に「数字の脚注」を付ける

明日からの仕事は一つです。次回のセキュリティ報告に載せる数字を一つ選び、次の三つを脚注として添えてください。

1. 何の件数か：攻撃、検知、問い合わせ、被害のどれを数えたか。

2. 誰の数字か：地域、期間、業種、対象組織はどこか。

3. 自社では何を意味するか：重要業務の停止、顧客影響、復旧時間とどう結び付くか。

合成例です。

完成条件は、役員が「外部で多く観測されたこと」と「自社で優先する理由」を別々に説明できることです。脚注は脅威レポート、月次報告、予算説明、取締役会資料へ再利用できます。

例外もあります。現に被害が進行している、悪用が確認されている、法令や契約の期限がある場合は、集計値の比較を待たずに対応します。また、観測できないことをゼロと扱ってはいけません。データがない場合は「未確認」と記録し、誰がいつ確かめるかを置きます。

AIは資料から数字と注記候補を拾い、母数の抜けを確認できます。しかし、許容できる停止時間、守るべき顧客、使える予算、どの損失を避けるかは、人間が決める事項です。

もっと深く知りたい方へ

セキュリティ報告の目的は、大きな数字で不安を作ることではありません。経営が、自社にとっての意味を決められる状態を作ることです。

一番多いものが、一番怖いとは限らない。だからこそ、ランキングを捨てるのではなく、数字の横に範囲と事業影響を書く。

その短い脚注が、ニュースの数字を、借り物の危機感から自社の判断材料へ変えます。

碧（AOI）セキュリティコンサルティング
戦略的セキュリティ・コンサルタント。

#ENISA #リスク管理 #経営判断 #統計リテラシー #事業継続 #サイバーセキュリティ #セキュリティ #碧コンサルティング #AOISecurity

参照ソース（公開前確認用）

• ENISA, “ENISA Threat Landscape 2026,” 2026-09-22
  https://www.enisa.europa.eu/publications/enisa-threat-landscape-2026

• ENISA, “Exploring the evolution of the cyber threat landscape: How dependencies weaken our digital resilience,” 2026-09-22
  https://www.enisa.europa.eu/news/exploring-the-evolution-of-the-cyber-threat-landscape-how-dependencies-weaken-our-digital-resilience

<!-- 公開前必須: note公開済み最終番号、9月18日稿との採用順、ENISAページの更新、本文リンク、画像品質を人間が確認 -->