重要システムは分割すべきだとSCSK顧問が寄稿

室脇氏のコラムは、ユーザー企業とSIerの関係に潜む構造問題を扱う連載の一本だ。同氏はこの関係を、ITシステム全体の最適化よりも「御用聞き」に傾きがちだと評する。今回はその組織論から、AIで攻撃を止めにくくなる時代に重要システムをどう設計するかという技術論へ移る。

切迫感の根拠は相次ぐ報告にある。室脇氏は、脆弱性の発見から悪用可能になるまでの中央値がすでに24時間を大きく下回り、AIがエクスプロイトを書く技術的能力を備えたと指摘。Anthropicが2026年4月、Claude Mythos Previewが深刻な脆弱性を数千件発見し多くの攻撃コードを生成したと述べ、安全上の理由で当時公開しなかったことに触れる。2026年7月のSysdig報告から、JADEPUFFERと呼ばれる攻撃者のAIエージェントが偵察、認証情報収集、横展開、恐喝を順に実行した事例も引く。

こうした状況を踏まえ、室脇氏は二つの方向を打ち出す。SBOM管理と迅速なパッチ適用で防御を強化すること、そしてシステムをマイクロサービスに分割して障害の影響を減らすことだ。東京証券取引所と証券会社のメッセージ交換を用いて状態遷移図を説明し、マイクロサービスではネットワーク接続単位ではなくAPI単位で状態遷移を定義する必要があると論じる。最後は、独立したサービスが「見えざる手」の下で競争し共存する自然生態系の比喩に結びつけ、データフロー図がデータ分析や既存システムの分析に今も有用だと訴えて筆を置く。