レガシーシステムによるセキュリティリスク

レガシーシステムのセキュリティリスクとは

長期間稼働し続け、ブラックボックス化や老朽化が進んだ「レガシーシステム」は、現代のサイバーセキュリティにおいて最大の脆弱性（弱点）となりつつあります。

なぜなら、多くのレガシーシステムは、開発当時の古いセキュリティ基準で設計されており、高度化する現代のサイバー攻撃に耐えうる構造を持っていないからです。

最も深刻な問題は、OSやミドルウェアのメーカーサポート終了（EOS）です。サポートが切れたソフトウェアには、新たな脆弱性が発見されても修正パッチ（修正プログラム）が提供されません。これは、泥棒に対して「鍵の壊れた裏口」を放置しているのと同義です。

現場の担当者としても、「システムを止めると業務に支障が出る」「古すぎてパッチを当てると動作保証ができない」というジレンマから、危険性を認識しつつも「塩漬け」運用を続けざるを得ないケースが散見されます。

さらに、仕様書が更新されていないシステムでは、どこにリスクが潜んでいるかを把握することさえ困難です。侵入検知の仕組みを組み込むことも難しく、被害に気づいた時には既に手遅れという事態を招きかねません。

製造業が最もサイバー攻撃の被害に

レガシーシステムを狙った攻撃は、特定の業界に集中する傾向があります。IBMが発表した「X-Force脅威インテリジェンス・インデックス2025」によると、業界別では「製造業」が4年連続で最もサイバー攻撃の標的となっています。

地理的な傾向を見ると、アジア太平洋地域（APAC）での攻撃が前年比で13%増加しており、その中でも日本はAPAC諸国の中で最も多くの攻撃を受けています。

日本の製造業が狙われる背景には、サプライチェーンの中核を担っているにもかかわらず、工場内の制御システムや基幹システムに古いOS（Windows XPや7など）が残存している「レガシーシステムの悪用」が容易である点が挙げられます。守りが手薄な箇所を一点突破され、そこから取引先大手企業への侵入経路として利用されるサプライチェーン攻撃のリスクも高まっています。

参照元：IBM｜X-Force脅威インテリジェンス・インデックス2025（https://www.ibm.com/thought-leadership/institute-business-value/jp-ja/report/2025-threat-intelligence-index）

国内のサイバー攻撃事例の原因の多くは「レガシーVPN」

近年、国内で多発しているランサムウェア（身代金要求型ウイルス）被害の多くは、外部から社内ネットワークへ接続するための「VPN（仮想私設網）機器」の脆弱性を突かれたものです。特に、従来型の「レガシーVPN」と呼ばれる、境界防御モデル（社内は安全、社外は危険という考え方）に依存した機器が狙われています。

レガシーVPNの課題は、一度認証を突破されると、社内ネットワーク全体へのアクセスが可能になってしまう点にあります。攻撃者は、アップデートが滞っている古いVPN機器の脆弱性をスキャンし、IDやパスワードを盗んで侵入します。

実際に、徳島県のつるぎ町立半田病院や、大阪急性期・総合医療センターで発生した大規模なシステムダウン事例も、VPN機器からの侵入が発端であった可能性が高いと報告されています。これらの事例では、給食調理センターや委託事業者など、セキュリティ対策が手薄になりがちな関連組織のVPNが突破口となりました。

一度侵入を許した結果、電子カルテシステムを含む基幹データが暗号化され、診療業務が長期間停止するなど、地域医療に甚大な影響を及ぼしました。これらは決して対岸の火事ではなく、古いVPN機器とレガシーシステムを使い続けるすべての企業に起こり得る現実です。

参照元：つるぎ町立半田病院｜徳島県つるぎ町立半田病院コンピュータウイルス感染事案有識者会議調査報告書［※PDF］（https://www.handa-hospital.jp/topics/2022/0616/report_01.pdf）

参照元：大阪急性期・総合医療センター｜情報セキュリティインシデント調査報告書 概要（https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf）

レガシーシステムの脱却はインシデントの防止にもつながる

こうしたセキュリティリスクへの対抗策として注目されているのが、「ゼロトラストネットワークアクセス（ZTNA）」という考え方です。これは「社内ネットワークからのアクセスであっても信用しない」という前提に立ち、ユーザーや端末ごとに厳格な認証とアクセス制御を行う仕組みです。

しかし、既存のレガシーシステム上でZTNAのような最新のセキュリティ対策を実装することは、技術的な制約から極めて困難です。つぎはぎの対策でVPNの穴を塞ごうとしても、いたちごっこに終わる可能性が高いでしょう。

したがって、基幹システムのリプレイスこそが、根本的なセキュリティ対策となります。クラウドネイティブな最新システムへ刷新することで、自動的なパッチ適用や高度な認証機能を利用できるようになり、結果として情報漏洩やランサムウェア被害といった致命的なインシデントを未然に防ぐことにつながるのです。