PC1台が会社を止める——エンドポイントセキュリティを「経費」と見なすリスク

「守れている」という感覚が、最も危ない

サイバー攻撃の被害を受けた企業の多くは、攻撃される前に「自社は大丈夫だろう」と考えていた。セキュリティソフトは入れてある、社員教育もしている——そうした積み上げがあっても、社員が使うPC1台への侵入が、会社全体の業務を止める起点になりうる。2025年後半に相次いだアサヒグループホールディングスとアスクルへのランサムウェア攻撃は、その現実を日本企業に突きつけた。

問題の本質は「守り方を知らない」ことではなく、「守ることにかけるコストの位置づけ」にある。セキュリティを削れる経費として見ている限り、エンドポイント（業務端末）は永遠に最も弱い環が残り続ける。

何が起きたか——ランサムウェアとエンドポイントの関係

ランサムウェアとは、感染した端末やネットワーク上のファイルを暗号化し、復号と引き換えに身代金を要求するマルウェア（悪意あるソフトウェア）の一種だ。2025年後半、アサヒグループホールディングスとアスクルはこの攻撃を受け、基幹システムの停止や業務の大規模な中断を余儀なくされた。

両社の事例で注目すべきは、侵入経路が「エンドポイント」——つまり社員が日常的に使うPCや端末であったとみられる点だ。巨大なシステムへの直接攻撃ではなく、末端の1台から侵入し、そこを足がかりに社内ネットワーク全体へ広がるのが、現代のランサムウェア攻撃の典型的な手口である。

日本HPが「投資」と言う意味

日本HPの岡戸伸樹社長はこの状況を受け、「セキュリティは経費ではなく投資だ」と明言した。この言葉は、単なる売り文句として流すべきではない。コスト削減の文脈でIT予算が見直されるとき、セキュリティは「目に見える成果が出にくい」として後回しになりやすい項目だ。しかしランサムウェア攻撃による業務停止が発生した場合、その損害——システム復旧費用、機会損失、顧客・取引先への影響、ブランド毀損——は、削減したコストの何倍にも膨らむ。

日本HPが強調するのは、ハードウェアレベルでのセキュリティ設計だ。OSやソフトウェアに頼るだけでなく、PC本体のファームウェア（機器を動かす基本プログラム）レベルから攻撃への耐性を持たせる設計思想は、エンドポイントを「侵入の入口」から「最初の防壁」に変えることを目指している。

誰に影響するか

最も直接的に影響を受けるのは、PC調達とIT投資の意思決定に関わる経営者・情報システム部門・CFOだ。ただし、その影響は大企業に限らない。アスクルの事例が示すように、中規模企業であっても、サプライチェーン（調達・物流の連鎖）の一端を担っていれば攻撃のターゲットになりうる。規模の小ささは、守りの薄さと表裏一体であることが多い。

また、今後のPC更新サイクルを迎える企業にとっては、端末選定の基準に「セキュリティ設計」を加えるかどうかという実務的な判断が迫られる。

日本で使う場合の意味

日本企業のセキュリティ投資は、欧米と比較して依然として低水準にあるとされる。背景には、「攻撃されるのは大企業や海外企業」という意識、稟議プロセスの中でセキュリティが後回しになる組織文化、そして「これまで問題がなかった」という経験則がある。

しかし今回の2件の事例は、業種・規模を問わず攻撃が現実化していることを示した。特に日本では、リモートワークの普及でエンドポイントが社外に分散した結果、ネットワーク境界（会社の外と内の境目）による防御が機能しにくくなっている。端末そのものが自律的に防御できる設計でなければ、分散した働き方は攻撃対象の広がりを意味する。

様子見すべき点・注意点

エンドポイントセキュリティ強化の方向性は正しいとしても、注意すべき点はある。第一に、ハードウェアレベルのセキュリティ機能は、既存端末への後付けが難しい。投資対効果を考えるなら、更新サイクルに合わせた計画的な移行が現実的だ。

第二に、エンドポイント対策だけで全体のリスクが消えるわけではない。フィッシングメール（偽メールによる認証情報の詐取）や内部不正、クラウドサービスの設定ミスなど、攻撃経路は多岐にわたる。端末を強化することは必要条件であっても十分条件ではない。

第三に、セキュリティ投資の効果は「何も起きなかった」という形でしか現れないため、経営層への説明が難しい。この構造的な問題が解決されない限り、予算の優先順位は変わりにくい。

「経費か投資か」より、問われるべき問い

「セキュリティは投資だ」という言葉は正しい。だが、その言葉が響かない組織では、アサヒやアスクルのような事例が「他社の話」として消費され、次のサイクルには忘れられる。

本当に問われているのは、セキュリティへの支出額ではなく、「攻撃が成功したとき、自社にとって何が止まるか」を経営層が具体的にイメージできているかどうかだ。そのイメージがある組織は、端末1台の設計仕様を調達基準に入れることを「コスト増」とは見なさない。逆に、そのイメージがない組織では、どれだけ警告を重ねても投資判断は後回しになる。PC1台のセキュリティ設計は、技術の問題である前に、経営の解像度の問題だ。

本記事は公開情報をもとに、NEWGATA編集部で確認のうえ掲載しています。