AIの進化により、システムのセキュリティホール*は今まで以上に見つかりやすくなっています。特に5年以上前に作られた社内システムは、開発当時の技術・体制のままセキュリティ対応が止まっているケースが少なくありません。古いシステムほど攻撃者に狙われやすくなっている昨今、セキュリティを考慮したリニューアルの検討が急務です。

本記事では、社内システムが抱えるセキュリティリスクの正体と、リニューアルを進める際の注意点を解説します。

*セキュリティホールとは…ソフトウェアやOSなどのプログラムに存在する安全上の欠陥（セキュリティ上の穴）。「脆弱性」とほぼ同義で使われる。

AIの進化で、これまで見逃されていたシステムの脆弱性が大量に見つかる時代へ

近年、AIによる脆弱性検出の精度が急速に向上しており、今まで見過ごされてきたセキュリティホールが次々と明らかになっています。企業は自社システムのセキュリティ対応スピードを上げる必要に迫られています。

象徴的な例が、Anthropicが2026年4月に発表したセキュリティ特化型AIモデル「Claude Mythos Preview」です。Anthropicによれば、同モデルはソフトウェアの脆弱性を発見・悪用する能力が熟練のセキュリティ専門家に近いレベルに達したとされています。2026年5月下旬時点では約50のパートナー企業・組織と連携し、1万件を超える「重大」または「高」レベルの脆弱性を発見しました。

こうした変化を受け、金融庁と日本銀行は2026年5月22日、金融機関に対してAIを用いたサイバー攻撃への早期の対応を複数項目にわたって要請しました。その中には、パッチ適用の優先順位付けや、ITベンダーとの協力体制の検証も含まれています。金融機関に限らず、システムを保有するすべての企業にとって、開発会社・保守会社との協力体制を見直すきっかけになる内容だといえます。

（参考）金融庁 「フロンティア AI による脅威変化を踏まえた金融機関等の短期的な対応」に係る要請について

古い社内システムがセキュリティリスクを抱えやすい3つの理由

古い社内システムは作られた当時は安全でも、時間の経過とともにリスクが積み上がっていく構造的な弱点を抱えています。理由は主に以下の3点です。

作った後も脆弱性は発見され続けるため

多くのシステムは、オープンソースソフトウェア（OSS）と呼ばれる公開されたプログラム部品を組み合わせて作られています。OSSは世界中の開発者によって継続的に改良・検証されており、リリースから何年も経った後に新たな脆弱性が発見されることも珍しくありません。

例えば、2021年12月に発覚した「Log4Shell」は、多くのシステムで使われていたログ出力ライブラリ「Apache Log4j」の脆弱性です。深刻度を示すCVSSスコアで最大値の10.0を記録しましたが、脆弱性自体は2013年から存在していました。システムを作った時点では安全でも、数年後に致命的な弱点が見つかるリスクは潜んでいるということを証明する事例です。

保守会社のセキュリティ対応不足

システムの保守を外部の開発会社に委託していれば安心、と考えるIT担当者は少なくありません。しかし保守契約の内容によっては、システムが正常に動くことの確認だけを対象とし、セキュリティパッチの適用やコードの脆弱性診断までは含まれていない場合があります。

保守契約を結んでいても、契約範囲によってはセキュリティリスクがゼロにならない点には注意が必要です。自社の保守契約に何が含まれているか、この機会に確認しておくとよいでしょう。

AIの登場で攻撃者の手口が巧妙化・無差別化

昨今は攻撃者側もAIを活用するようになり、状況は一段と厳しくなっています。AIを使えば、公開されているOSSのコードから脆弱性を自動で探し出し、攻撃を効率化できてしまうためです。

これまでは大企業や有名サービスが主な標的でしたが、AIによる自動化が進んだことで、企業規模を問わず無差別に狙われる時代に変わりつつあります。「自社は小規模だから狙われない」という前提は、もはや通用しにくくなっているといえます。

よくあるシステムの脆弱性と代表的な被害事例

セキュリティリスクと言われても、実際のところどのようなリスクがあり、どのような実害が起こり得るのかイメージしづらいという方も多いのではないでしょうか。ここでは実際に起きた被害パターンを3つ紹介します。

OSSライブラリの脆弱性を放置し、顧客情報が漏洩

前述のLog4Shellのように、システムに組み込まれたOSSライブラリの脆弱性を放置すると、それが攻撃の突破口になります。実際にLog4Shellでは、脆弱なサーバーに不正な暗号資産のマイニングソフトを仕込まれたり、ランサムウェア被害につながったりした事例が国内外で報告されました。

自社で開発したコードに問題がなくても、組み込まれたシステムや機能の脆弱性が放置されていれば同様のリスクを抱えることになります。

SQLインジェクションにより顧客データベースへ不正アクセス

SQLインジェクションは、入力フォームなどを通じて不正な命令文を送り込み、データベースを不正に操作する攻撃手法です。古くから知られる手口ですが、対策が不十分なシステムでは今でも被害が発生しています。

2018年6月には、三菱地所・サイモンが運営するアウトレット・モールのクーポンサイト「ショッパークラブ」がSQLインジェクション攻撃を受け、約27万件の情報漏洩が確定しました。2019年1月にも、釣り情報を発信する「釣りビジョン」のウェブサイトが不正アクセスを受け、6万3,656件のフォーム入力情報が流出しています。

これらはいずれも、開発時にSQLインジェクション対策が施されていなかったことが原因です。対策自体は技術的に確立されており、新規開発であれば標準的に組み込まれます。しかし古いシステムでは当時の基準のまま放置されているケースがあり、今この瞬間も同じリスクを抱えている可能性があります。

認証機能の弱点を突かれ、不正ログインからランサムウェア被害に発展

警察庁の調査によると、2023年度のランサムウェア感染経路はVPN機器が63.4%、リモートデスクトップが18.3%を占め、両者を合計すると81.7%にのぼります。多くのケースで、認証を回避されたり、漏洩した認証情報を使ってなりすましログインされたりしたことが侵入のきっかけになっています。

こうした被害の背景には、脆弱性へのパッチが適用されないまま放置されていた状況が少なくありません。認証まわりの対策は、被害の入り口を塞ぐうえで欠かせない要素です。この認可が不十分だと、URLの数字を変えるだけで他人のプロフィールや注文履歴を見られてしまうことがあります。

システムの脆弱性に不安を感じたらすべきこと

ここまで読んで、自社システムの状態が気になり始めているという方も少なくないのではないでしょうか。そのような方は、まずは以下の3ステップから着手することをおすすめします。

1. 現在のシステムの状況と保守体制の確認

最初に行うべきは、現状把握です。開発当時に開発会社から受け取った資料を見直し、使用している技術やバージョンを確認しましょう。あわせて、現在の保守契約にセキュリティパッチの適用やコード診断が含まれているかどうかも確認してください。

2. セキュリティ診断の実施

現状把握と並行して、専門会社によるセキュリティ診断（脆弱性診断）を依頼するのも効果的です。診断方法によって費用は幅がありますが、ツールを使った自動診断であれば20万〜50万円程度、専門エンジニアによる手動診断であれば50万〜300万円程度が目安です。実際にシステムを攻撃してみて弱点を洗い出すペネトレーションテストになると、100万〜500万円程度かかることもあります。予算や目的に応じて、どこまでの精度で診断するかを検討しましょう。

3. システムリニューアルの検討

現状把握と診断の結果、次のいずれかに当てはまる場合はシステムをリニューアルすることも視野に入れた方が良いでしょう。

・開発から5年前後が経過し、技術や保守体制の見直しが必要になっている
・サポートが終了した技術・バージョンを使用している
・診断でセキュリティ上の問題が見つかった

これらは単独でも十分にリニューアルを検討する理由になりますが、複数当てはまる場合は優先度がより高いと言えます。

システムリニューアルを考える際の注意点

セキュリティ面の課題が明らかになったことでシステムリニューアルを行うことが決まった場合、進め方にも気を配る必要があります。ここでは3つの注意点を紹介します。

リニューアルしたい機能と要件を明確にする

リニューアルは、既存システムがあるからこそゼロから作るより検討しやすいことが多いです。セキュリティ対応に加えて、業務の変化に合わせて追加・変更したい機能を洗い出し、要件として整理しておきましょう。

要件をうまく言語化できない場合は、AIを使って開発会社に共有する提案依頼書（RFP）の作成を効率化する方法もあります。具体的なプロンプト例は以下の記事で紹介しています。

ただし、AIに完全に委ねるのではなく、出力されたRFPは自身でもしっかり確認し、実態や要望と相違がある場合は正しく調整しましょう。

バイブコーディングで開発する場合は専門家の協力を得る

AIにコードを生成させながら開発を進める「バイブコーディング」を使えば、リニューアルを社内で内製することも不可能ではありません。ただし、専門知識を持たない担当者だけで進めると、セキュリティ設計の不備に気づけないまま公開してしまうリスクがあります。

バイブコーディングが抱える具体的なリスクや、安全に活用するためのポイントは以下の記事で詳しく解説しています。ぜひご参考ください。

信頼できるシステム開発会社に依頼する

内製が難しい場合や、より確実にセキュリティを担保したい場合は、外部の開発会社への発注が現実的な選択肢になります。その際は、価格だけで選ぶのではなく、開発会社のセキュリティやシステム構造への理解度、開発実績の豊富さを見極めることが重要です。

開発会社選びで失敗しないためのポイントは、以下の記事にまとめています。

まとめ

AIによる脆弱性検出の進化と攻撃の巧妙化により、長期間運用され十分な保守やアップデートが行われていない社内システムは、これまで以上にリスクを抱えやすくなっています。まずは現状の保守体制を確認し、必要に応じてセキュリティ診断を実施したうえで、リニューアルの要否を判断しましょう。リニューアルを進める際は、機能要件の明確化と、内製・外注いずれの場合も専門家の関与を欠かさないことが成功の鍵になります。