2026年7月7日（火）、日本カード情報セキュリティ協議会（JCDSC）主催の「カードセキュリティフォーラム2026」が東京国際フォーラムにて開催されました。
本フォーラムは、PCI DSSへの準拠やキャッシュレスに関するセキュリティの最新動向について、企業・業界関係者が一堂に会する年に一度のイベントです。当日は多くのカード情報を取り扱う事業者や加盟店の方々が来場され、進化するAIがPCI DSSやセキュリティに及ぼす影響に関するパネルディスカッションをはじめ、様々な講演や展示が行われました。
当社からはセキュリティコンサルタントの江藤・藤澤が登壇し、「QSA/ASVが解説！AIで加速するクラウドに対する攻撃の備え」というテーマで講演を行いました。
講演テーマとその背景
本講演では、最新のクラウド脅威とセキュリティ技術動向を踏まえ、PCI DSS対応を軸にQSAとASVの視点から運用設計と技術的対策を解説しました。今回このテーマを選んだ背景には、クラウド環境が主流となった現代において、設定不備や認証情報を狙うサイバー攻撃に加え、AIを活用した高度なサイバー攻撃による被害も確認されているという状況があります。
クラウドの利用率は80.6%*（2024年）に到達し、過去10年で約2倍に急増、企業活動を支える「標準インフラ」として名実ともに定着しました。また、生成AI・AIエージェントの爆発的な普及により、クラウドは単なる保存場所から「AIを駆動させる高度な計算基盤」へとその役割を劇的に進化させています。同時に、攻撃側もAIを活用することで侵入後の展開速度が異常に加速しており、クラウドはもはや例外的に狙われる対象ではなく、「常時攻撃に晒される主戦場」へと変化しています。
出典：総務省｜令和7年版 情報通信白書
こうした背景を踏まえ、本講演では「攻撃者視点で見るクラウドリスク」と「PCI DSSに基づく運用と統制の高度化」の2つのテーマについて解説しました。
講演内容
まずは診断業務を主として担当している江藤から、「攻撃者視点で見るクラウドリスク」について解説しました。
攻撃者がクラウドを狙う理由を「データの集約化」「設定ミス」「IDによる境界」という3つの観点から整理したうえで、実際のクラウド環境図を用いて、公開すべきでない開発環境や内部APIサーバの露出（シャドーIT）、および過剰な権限設定（権限設定ミス）という2つの代表的な攻撃パターンを取り上げ、情報漏洩やシステム破壊に至る一連の流れを具体的に解説しました。
そのうえで、最小権限の設定、多要素認証の導入、情報資産の棚卸、開発環境への制限、ログ監視といった対策を、CNAPPツール等を用いてクラウド全体で網羅的に実施することの重要性を強調しました。
江藤パートの講演資料の一部を抜粋
続いて、PCI審査業務を主として担当している藤澤から、「PCI DSSに基づく運用と統制の高度化」について解説しました。
「設計は正しくても、維持する仕組みがなければ状態は崩れる」という視点から、NIST CSFが定める識別・防御・検知・対応・復旧・統治の6機能すべてにおいてセキュリティ対策が崩れうることを説明し、先述のシャドーITや権限設定ミスといった攻撃パターンを題材に、なぜ正しい設計であっても維持できなくなるのかを整理しました。
そのうえで、PCI DSSの各要件（資産台帳の維持、監査ログの自動レビュー、権限の定期的な棚卸、多要素認証の適用など）に対応する具体的な運用サイクル（予防・検知・是正）や、AWS Config／Azure Resource Graphによるクラウドリソースの可視化、IaC（Infrastructure as Code）による設定の自動維持といった実践的な手法を紹介しました。
さらに、フロンティアAIの急速な進化を受けて金融庁が要請した短期的対応（9項目）にも触れ、AI時代のセキュリティ運用においては「仕組み化」による継続的な維持こそが本質であるとまとめました。
藤澤パートの講演資料の一部を抜粋
※具体的な講演内容（事例や対策詳細）は、こちらよりダウンロードできます。
▲講演の様子
▲ユービーセキュアから一緒に登壇した江藤さん
講演準備の裏側
本講演では、より多くのご担当者様が自社のクラウド環境が抱える課題の解決につなげていただきたいという思いから、単なる要件解釈や対策案の解説にとどまらず、診断のプロの視点から見た攻撃者目線でのクラウドリスクや、リスク評価のプロによる効果的な運用対策の例示とその活用方法といった内容を盛り込みたいと考えました。
そこで、社内の診断チームが持つ技術的な知見と、審査チームがこれまでのPCI DSS準拠支援・審査業務を通じて蓄積してきた効果的な対策のノウハウを融合できるよう、多くの関係者と連携しながら講演内容の検討を重ねました。
当初はAIやクラウドを取り巻く現状から各種対策に至るまでお伝えしたい内容が多く、講演時間を大幅に超えてしまうほどのボリュームとなっていましたが、限られた時間の中で聴講者にポイントが的確に伝わるよう内容の取捨選択を重ね、社内での確認・調整を繰り返しながら準備を進めていきました。
参加者からの反響
講演前後には、多くの方にお声がけいただきました。「対策が具体的で非常に参考になった」「分かりやすい内容だった」といった声をいただき、自分たちの講演が実務に役立つものとして受け取っていただけたことを、とても嬉しく思っています。
いただいた感想の一つひとつが、講演準備を行ってきた自分たちにとって大きな励みとなり、講演をしてよかったと実感する機会となりました。
当日はブースも出展しました。脆弱性をモチーフにしたユービーセキュアのオリジナルキャラクター「ゼイジャッキー」のシールを、カプセルトイ形式で配布したところ、こちらも大変ご好評をいただきました。多くの方が楽しそうにハンドルを回してくださり、セキュリティというテーマをきっかけに自然と皆様が交流していく様子が大変印象的でした。
▲ ユービーセキュアのブースの様子
▲ ミニ講演ではセールスエンジニア部の土居さんが登壇しました
登壇を終えて
自分自身にとって初めての登壇機会となり、当日は大変緊張しましたが、ご参加いただいた皆様からの拍手や講演中の反応を通じて、AI時代のセキュリティ運用における「仕組み化」による継続的な維持の重要性について、しっかりと共有できた手応えを感じました。
また、本講演の準備を通じて、AI時代のクラウド環境が抱える課題とその対策について、自分自身も改めて学び直す貴重な機会となりました。この経験を、今後のお客さまへのご支援にも活かしていきたいと思います。
発表前後には多くの方々とご挨拶や名刺交換をさせていただき、その中で各社の取組みや課題を伺うことで新たな気づきや視点を得ることができ、大変有意義な時間となりました。今回の登壇は私にとって大きな挑戦でしたが、今後も挑戦を継続し、皆さまに貢献できるよう努めていきます。
一緒に登壇した江藤さんの感想
サイバーセキュリティコンサルティング二部
江藤 海羽さん
今回、登壇の機会をいただきました。講演では、診断の現場に立つ立場だからこそお伝えできる視点を意識し、実務に少しでも役立てていただける内容をお届けできるよう努めました。技術的なテーマを、背景や目的とあわせて説明することの大切さをあらためて実感することができたと思います。
今回お伝えした内容が、皆さまの日々の取組みのヒントとなれば嬉しく思います。この経験を今後の活動にも活かしてまいります。
おわりに
改めて、AI時代のクラウド環境においては、「クラウド資産と脆弱性の可視化」と「持続可能なクラウドセキュリティ」が重要になることを本講演ではお伝えしました。自社クラウドのリスクを具体化し次のアクションへと繋げるため、第一歩として資産と脆弱性の洗い出しが必要不可欠です。また、技術的対策のみならず、継続して運用できていることにより、AIを活用した高速化・容易化した攻撃にも備えられる持続可能なセキュリティを実現します。
ユービーセキュアでは、QSA・ASVとしてPCI DSS準拠支援コンサルティングや審査、ASVスキャン等をはじめとした多くの実績から得たノウハウを活かし、お客さまの業務内容やシステム規模に応じた最適な対策方法を提案いたします。
今回の講演内容にご関心をお持ちいただいた方や、自社での対応に不安や課題を感じていらっしゃる方は、ぜひお気軽にご相談ください。
