デジタル庁が運用する「ガバメントソリューションサービス（GSS）」において、既知のVPN脆弱性を悪用した不正アクセスが発生し、最大約24万6,000件の職員情報等が漏洩した恐れがあることが判明しました。この事案が浮き彫りにしたのは、脆弱性評価スコア（CVSS）だけに頼る運用リスクと、従来の「境界型セキュリティ」および特権アカウント管理における構造的な課題です。
GSS不正侵入事案の概要と経緯
2026年9月11日、デジタル庁は国の23機関・約15万4,000人が利用する共通業務環境「GSS」への不正アクセスを発表しました。2026年6月25日に保守運用担当者のアカウントを用いてサーバー上の大量ファイルへアクセスがあったことを検知し、外部専門事業者の調査により同年7月9日、第三者がVPNの脆弱性を悪用してシステムに侵入していたことが判明しました。
悪用されたVPN機器の脆弱性は既知のものでしたが、CVSS（Common Vulnerability Scoring System）による評価では「Medium（中）」に分類されていたため、パッチ当ての順次作業の隙を突かれてハッキングを受けた格好となっています。デジタル庁は該当アカウントの停止と通信遮断を行い、今後の管理見直しを発表しています。
なぜ「CVSS Medium」で甚大な侵害が起きるのか：構造的3大リスク
本件は一府省庁の運用ミスにとどまらず、多くの企業・組織が共通して抱えるセキュリティ構造の歪みを顕在化させています。
1. CVSSスコア依存による「優先度判定の盲点」
一般的なIT運用では、CVSSの「Critical（緊急）」や「High（高）」を優先的に修正し、「Medium」以下は対応を後回しにする傾向があります。しかしCVSS基本値は「潜在的な影響度」を示すものであり、「実際の攻撃可能性」や「ネットワーク上の露出度」を即座に反映するわけではありません。インターネットに露出したVPN機器であれば、たとえ「Medium」であっても攻撃者にとっては一律に格好の侵入経路となります。
2. 境界型防御（VPN）の構造的限界
VPNを信頼の境界線とする従来型アーキテクチャでは、一度ネットワーク境界の通過を許すと、内部での横展開（ラテラルムーブメント）を防ぐセキュリティ境界が存在しません。「境界の内側は安全である」という前提そのものがリスクとなっています。
3. 保守運用・特権アカウントのガバナンス欠如
攻撃者は侵入後、正規の保守運用担当者アカウントを悪用してデータにアクセスしていました。特権IDに対する動作ログの異常検知（アノマリ検知）や、コンテキストに応じたアクセス制御が機能していない場合、正規ユーザーの振る舞いと攻撃行動の区別が極めて困難になります。
企業が取り組むべき次世代セキュリティ構造への移行
企業が同様の被害を防ぎ、安全なIT基盤を維持するには、単なる「パッチ適用の迅速化」を超えた構造的対策が求められます。
1. リスクベースのコンテキスト型脆弱性管理
CVSSスコアのみに依存せず、実社会での攻撃観測データ（EPSS：Exploit Prediction Scoring System）や、該当機器の配置環境（インターネット露出の有無）を組み合わせたリスク評価モデル（SSVC等）を導入すべきです。
2. ゼロトラスト・アーキテクチャへの段階的シフト
VPN機器を中核としたネットワーク構成から脱却し、Identity-Aware Proxy（IAP）やSASE（Secure Access Service Edge）を活用した「常に検証し、決して信頼しない」アクセスコントロールへの移行を推進することが推奨されます。
従来型セキュリティと次世代型アプローチの対比
| 評価軸 | 従来型アプローチ（境界型防御） | 次世代型アプローチ（ゼロトラスト・リスクベース） |
|---|---|---|
| 脆弱性評価 | CVSSスコアによる一律管理（Critical/High優先） | EPSSや露出度を考慮したコンテキスト型評価 |
| アクセス制御 | VPNによる一括接続・暗号化通信 | ID単位の最小権限原則・コンテキスト認証 |
| 特権ID管理 | 静的なアカウント運用・定期パスワード変更 | Just-In-Time（JIT）アクセスと常時行動検知 |
| 被害局限化 | 内部ネットワーク内での横展開リスク大 | マイクロセグメンテーションによる影響範囲の限定 |
よくある質問
Q1. CVSSが「Medium」の脆弱性もすべて即時対応すべきですか？
すべてのMedium脆弱性を即時修正するのは運用コスト上困難です。ただし、インターネットに直結するVPNやファイアウォールなどの境界機器においては、攻撃コードの有無や露出状況を踏まえ、優先度を格上げして対応する判断フレームワークが必要です。
Q2. ゼロトラスト移行には莫大なコストがかかりますか？
一度に全インフラを刷新する必要はありません。まずは「保守運用経路のSSO・多要素認証化」や「特権アクセス管理（PAM）の導入」といった、最もリスクが高い領域から段階的に実装することで、投資対効果を高めながら移行を進めることが可能です。
Q3. 外部委託先の保守アカウントによる不正アクセスを防ぐには？
常時利用可能なアカウントを廃止し、作業申請があった時間帯のみ一時的に権限を付与する「Just-In-Time（JIT）アクセス」の導入と、操作ログのリアルタイム分析・保管を徹底することが有効です。