出典: The Hacker News – https://thehackernews.com/2025/10/the-death-of-security-checkbox-bas-is.html
原題: The Death of the Security Checkbox: BAS Is the Power Behind Real Defense
セキュリティチェックボックスの終焉とBASによる実証的防御の重要性
近年、サイバーセキュリティの現場では「設計や計画による防御」から「実際の防御効果の証明」へと大きなパラダイムシフトが起きています。Picus社が主催したBAS（Breached Attack Simulation）サミットでは、セキュリティはもはやチェックリストの完了ではなく、実際に攻撃をシミュレーションして防御力を検証することが重要だと強調されました。
主要なポイント
- セキュリティは設計ではなく反応で決まる
従来のセキュリティは設計・構築・検査・認証のプロセスを重視していましたが、攻撃者は常に防御の弱点を物理的な力で突いてきます。BASは設計の妥当性ではなく、防御が実際に攻撃にどう反応するかをテストします。 - 自己理解から始まる防御
攻撃を模倣する前に、自社の資産や権限、運用状況を正確に把握することが不可欠です。BASは実際の攻撃チェーンを安全に再現し、防御がどこで破綻するかを明らかにします。 - AIは創造ではなくキュレーションに活用
AIは攻撃ペイロードの自動生成ではなく、膨大で散在する脅威情報を整理・検証し、正確な攻撃シナリオを作成する役割を担います。これにより、攻撃手法の特定からシミュレーション計画の作成までの時間が大幅に短縮されました。 - BASは日常運用の一部に
実際の企業では、BASを週次や週末のルーチンとして導入し、検知や対応の遅れを早期に発見・修正しています。これにより、経営層への説明も「証拠に基づく回答」が可能となりました。 - パッチ適用は「すべて」ではなく「重要なもの」から
BASにより、環境内で実際に悪用可能な脆弱性を特定し、優先的に対応することで効率的なリスク管理が可能です。単なるスコアに頼るのではなく、実証的な防御効果に基づくパッチ運用が推奨されます。
技術的な詳細や背景情報
BAS（Breached Attack Simulation）は、実際の攻撃者が使う技術・戦術・手順（TTPs）を安全に模倣し、組織の防御体制がどのように反応するかを検証する手法です。従来のペネトレーションテストは「ある時点の脆弱性評価」に留まるのに対し、BASは継続的かつ実環境に近い条件での防御力評価を可能にします。
また、AIは単一の大規模言語モデル（LLM）による攻撃生成ではなく、複数の専門エージェントが連携して脅威情報の収集・検証・計画作成・検証を行う仕組みとして活用されています。これにより、攻撃シナリオの精度と安全性が担保され、迅速なシミュレーション実行が実現しました。
影響や重要性
この変化は、サイバーセキュリティの運用において「証明できる防御」が不可欠であることを示しています。経営層はリアルタイムでの防御状況を求めており、BASはそのニーズに応える手段として定着しつつあります。さらに、パッチ管理や脆弱性対応も「すべてを網羅する」ことから「実際にリスクがある箇所に集中する」戦略へと進化しています。
これにより、限られたリソースを効率的に配分しつつ、攻撃の影響を最小化することが可能となります。BASは単なるツールではなく、継続的脅威露出管理（CTEM）の中核として、組織のセキュリティ体制を強化する役割を果たしています。
まとめ
セキュリティチェックボックスに頼る時代は終わりを迎え、実際の攻撃を模倣し防御の有効性を「証明」するBASが主流となっています。AIと自動化の活用により、脅威情報の整理からシミュレーション実行までの時間が大幅に短縮され、日常的な運用に組み込まれています。
組織はまず自社の資産と防御状況を正確に把握し、影響を最小化するためのシナリオを選定してBASを開始することが重要です。これにより、単なる理論や想定ではなく、実証的な防御力を持つサイバーセキュリティ体制を構築できます。
今後のセキュリティ運用は「信念」ではなく「証拠」に基づくものとなり、BASはその中心的役割を担うでしょう。
