ゼロトラスト、SASE、AIを使った脅威検知——2026年のセキュリティ界隈は、相変わらず派手なキーワードで賑わっている。だが、米CISAが2025年12月に改訂し、IPA（情報処理推進機構）が2026年4月8日に日本語訳を公開した「Cross-Sector Cybersecurity Performance Goals Ver.2.0（CPG 2.0）」が、重要インフラの現場に突きつけたメッセージは驚くほど地味だ。いわく——「ゼロトラストを語る前に、まず出荷時の既定パスワードを変えろ」。
現役のネットワークエンジニア（以下、NE）として、この一文は刺さる。なぜなら、現場ではこの「基本中の基本」がいまだに徹底されていないからだ。本記事では、CPG 2.0が何者なのかを正確に整理したうえで、「なぜ高度な対策よりも基本対策が先なのか」を実データで確認し、現場でその基本がどう抜け落ちるのかをNE視点で掘り下げる。
CPG 2.0とは何か——まず性質を正確に押さえる
最初に、ここを誤解すると記事全体がズレるので明確にしておきたい。これはIPAが独自に策定した新ガイドラインではない。 米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が策定したフレームワークを、IPAがCISAの了解のもとで翻訳・公開したものだ。
時系列を整理するとこうなる。
- 2025年12月11日：CISAが「CPG」をVer.2.0に改訂して公開
- 2026年4月8日：IPAがVer.2.0の日本語訳を公開（IPAの制御システムセキュリティのページ上で更新。同ページ自体は2023年8月にVer.1.0.1の翻訳から運用されている）
CPG（分野横断サイバーセキュリティパフォーマンス目標）は、規模を問わずすべての重要インフラ事業者が実装することが望ましい「最低限」の保護策をまとめたものだ。重要なのは、これが網羅的なチェックリストでも、法的拘束力を持つ規制要件でもないこと。あくまで自主的な採用を意図した、投資対効果の高い対策に絞った「ベースライン」である。
Ver.2.0最大の構造変化は、2024年に改訂されたNIST CSF 2.0に完全準拠し、6つの機能（統治・識別・防御・検知・対応・復旧）に目標を再整理した点だ。旧Ver.1.0.1は5機能だったが、ここに「統治（GOVERN）」が加わった。サイバーセキュリティを現場の技術課題から、経営層がコミットすべき全社的リスクマネジメントへと引き上げる思想の表れである。
「ゼロトラストの前に」——なぜ基本対策が先なのか
CPG 2.0が全編を通じて突きつけるのは、「ZTNAのような高度な次世代アーキテクチャを追う前に、泥臭いサイバーハイジーン（衛生管理）を徹底せよ」という一点だ。具体的には、出荷時の既定パスワードの撤廃、フィッシング耐性のある多要素認証（MFA）、そしてオフラインバックアップ——この3つが最優先に据えられている。CISA自身、長期的にはゼロトラストへの移行を推奨している。だが「その前に、あるいはそれ以上に優先すべきベースライン」として基本対策を置いているのだ。
この「基本回帰」には、脅威データに基づく明確な根拠がある。Verizonの「2025年データ漏洩侵害調査報告書（DBIR）」が示す現実はこうだ。
- 侵害の22%が、盗まれた（漏洩した）認証情報を初期侵入経路としている（認証情報の悪用は依然として最大級の侵入ベクター）
- Webアプリへの基本的な攻撃の88%が、盗まれた認証情報を使用していた
- クレデンシャルスタッフィング（漏洩IDリストを使った自動ログイン試行）は、認証試行の中央値で全体の19%を占める
- ランサムウェア被害者の54%が、攻撃前にインフォスティーラーのログ等で認証情報を露出させていた
- ランサムウェア自体は侵害の44%に出現し、前年の32%から増加している
この数字が示す冷酷な事実はこうだ。どれだけ予算を投じてマイクロセグメンテーションを敷き、AI駆動のEDRを導入しても、エッジに置いたVPNゲートウェイや管理インターフェースに初期パスワードが残っていたり、MFAが未設定だったりすれば、攻撃者はシステムを「ハッキング」する必要すらない。正規の認証情報で「ログイン」するだけだ。一度初期アクセスを許せば、攻撃者は正規権限で監視ツールを無効化し、横展開（ラテラルムーブメント）を始める。こうなると、正規通信と悪意ある通信をシグネチャで見分けるのは極めて難しい。
裏を返せば、既定パスワードの撤廃とフィッシング耐性MFAという「地味な基本」を完遂するだけで、高度なAPTを含む初期アクセスの大半を潰せる、あるいは攻撃者のコストを劇的に引き上げられる。これがCPG 2.0が最新鋭ソリューションより基本対策を上に置く最大の理由だ。
6機能で読むCPG 2.0——ネットワークエンジニア向けチェックリスト
CPG 2.0の各機能を、現場の実装要件に落とすと次のように整理できる。
| NIST CSF 2.0機能 | 重要インフラ事業者に求められる目標 | NE視点の実装要件 |
|---|---|---|
| 統治（GOVERN） | 経営層によるセキュリティ統治と、MSP等を含むサプライチェーン全体のリスク管理 | 保守委託先（MSP）のネットワークアクセス権限の棚卸しと監査／MSP侵害時の影響を局所化する論理分割 |
| 識別（IDENTIFY） | 全資産と脆弱性の可視化、既知脆弱性の優先緩和 | CISA KEVカタログに基づくエッジ機器の迅速なパッチ適用／NAC等による動的な資産インベントリ／IT・OT境界の特定 |
| 防御（PROTECT） | 堅牢なアクセス制御とアイデンティティ管理で初期侵入と横展開を阻止 | 全機器の既定パスワード変更・初期アカウント無効化／特権・リモートアクセスへのフィッシング耐性MFA／最小特権ACL、脆弱な旧式認証プロトコルの排除 |
| 検知（DETECT） | 異常な認証試行やマルウェアの早期発見 | ブルートフォース・パスワードスプレーのログ記録とSIEM相関分析／ログ改ざんを防ぐ完全性保護（WORM等） |
| 対応（RESPOND） | インシデント時の迅速な連絡と封じ込め | 通常通信網ダウン時のアウトオブバンド通信の確保／侵害セグメントを即座に隔離する手順整備 |
| 復旧（RECOVER） | データ暗号化・破壊からの確実な復元 | ネットワークから切り離したオフラインバックアップ／イミュータブル（不変）ストレージ／定期的なリカバリーテスト |
特に「対応」「復旧」は、ランサムウェア対策の最後の砦になる。攻撃者は侵入後、事業継続の要であるバックアップを真っ先に狙い、スナップショットやシャドウコピーを削除・暗号化してくる。だからこそ、テープや論理的にエアギャップされたイミュータブルストレージによる「本当に切り離されたバックアップ」が要件として明記されているのだ。
なぜ「基本」が現場で抜け落ちるのか——現役ネットワークエンジニアの視点
ここからが本記事の本題だ。CPG 2.0の要求は理にかなっているが、現場でこれを徹底するのは想像以上に難しい。なぜ既定パスワードのような初歩がいまだに残るのか。NEとして実感する理由を挙げる。
1. 機器の初期設定は「動けば後回し」になりがち
FortiGate、Cisco、ヤマハRTXといったネットワーク機器は、出荷時に既知の初期アカウントや初期パスワードを持つ。検証段階では初期アカウントのまま触り、本番投入時に変更し忘れる——これは珍しくない。とくに増設・更改のタイミングで、既存機器の設定はレビューされても、新規追加機器の初期認証情報の棚卸しが漏れる。Shodanのようなスキャンエンジンで、初期認証情報のまま公開されている機器が容易に見つかってしまう現実がある。
2. 属人化と検証機の放置
「あの拠点のルーターは前任者が設定した」「検証用に立てた機器がそのまま生きている」といった属人化・管理外（野良）デバイスは、可視化（＝識別）が効かないため致命的な盲点になる。CPG 2.0が「IPアドレスを持つ全IT/OT資産の棚卸し」を求めるのは、まさにこの穴を塞ぐためだ。
3. OT・レガシー環境では「可用性」が壁になる
製造・電力・水道・交通といったOT（制御技術）環境では、IT環境と原則が逆転する。最新パッチや機密性よりも、止まらないこと＝可用性が絶対視される。OSの再起動を伴う月次パッチ適用は物理的に困難な場合が多く、Purdueモデルの下層では稼働後10〜20年のレガシーOSがHMIとして現役、というケースも珍しくない。ここに最新の最小特権設計をそのまま当てると非互換でトラブルを招きかねない。基本対策の「徹底」が、環境ごとに難易度を変える典型だ。
4. 認証情報は「盗まれる」前提で考える——国内の最近の事例
既定パスワードだけが問題ではない。2025年末から2026年初にかけて、テキストエディタ「EmEditor」の日本語版公式サイトでダウンロード導線が改ざんされ、正規に酷似した偽インストーラーが配布されるインシデントが起きた（提供元のエムソフト／Emurasoftが公表）。実行すると多段階のインフォスティーラーが動き、Chromium系ブラウザに保存されたCookieやログイン情報を窃取する挙動が確認されている。
これは直接の「既定パスワード」問題ではないが、CPG 2.0の「防御」が伝えたいことを補強する好例だ。仮に認証情報が窃取されても、特権アクセスにフィッシング耐性のあるMFA（FIDO2/WebAuthn、ハードウェアキー等）が設定されていれば、他システムへの不正ログイン＝被害拡大を食い止められた可能性が高い。提供元自身も、対策としてパスワード変更とMFAの有効化を推奨している。
5. AI時代だからこそ、基本の欠落が「即死」になる
このマクロ文脈は無視できない。政府（内閣官房 国家サイバー統括室ら）は2026年5月18日、「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化」として、政策パッケージ「Project YATA-Shield」を取りまとめた。背景には、2026年4月にAnthropicが公開した「Claude Mythos Preview」など、脆弱性の発見・修正能力を持つフロンティアAIモデルの登場がある。攻撃側がAIで脆弱性や初期認証情報を24時間体制・高速にスキャンする時代において、既定パスワードの放置は文字どおり「瞬時の陥落」を意味する。
逆説的だが、AI脅威という最新の文脈こそが、「基本対策の徹底」というCPG 2.0の価値を最大化している。派手なAI防御の議論と、地味な既定パスワード撤廃は、対立しない。むしろ前者を成立させる土台が後者なのだ。
ゼロトラストへの橋渡し——CPG 2.0をどう位置づけるか
最後に、他のフレームワークとの関係を整理しておく。実務で混同しやすいポイントだ。
- IPA「情報セキュリティ10大脅威 2026」は「何を恐れるべきか（What to fear）」を示す脅威ランキングであり、状況認識と予算獲得の根拠になる。
- CPG 2.0は「どう防御を組むか（How to defend）」を技術要件に落とした対策目標体系（アクションプラン）である。
両者は競合せず、「脅威の認識→対策の実行と評価」という一連のサイクルの両輪だ。さらに国内では、NISC（内閣サイバーセキュリティセンター）の安全基準が組織体制・運用プロセスの大枠を定めている。CPG 2.0は、それを「どの技術で、どのレベルまで実装するか」というグローバル標準の道標として補完する位置づけになる。
そしてCPG 2.0は、ゼロトラストを否定していない。むしろ長期的なゴールとして推奨したうえで、「ゼロトラストという理想に進む前に、まず自組織のインフラの隅々まで基本を行き渡らせよ」という順序を示しているにすぎない。
関連：海底ケーブル防護報告書をネットワークエンジニア視点で解説｜BGP冗長化と経済安保
まとめ
CPG 2.0が現役NEに突きつける問いはシンプルだ。新しい高価なアプライアンスを導入する前に、いま社内・拠点にあるすべてのネットワーク機器の設定ファイルとアクセスログを監査し、「デフォルトの排除」を済ませているか。ゼロトラストもAI防御も、その土台の上にしか立たない。まずは自分の管理する機器の初期パスワードから——本記事を読み終えたら、そこを確認することをおすすめしたい。
本記事は2026年6月時点の公開情報に基づく。CPG 2.0の原文・日本語訳はIPAおよびCISAの公式ページを参照のこと。
