InfoSec Taiwan 2026 で見えた、学生と企業の Cybersecurity に対する距離

はじめに：イベントレポートではなく、考え直すきっかけ

InfoSec Taiwan 2026 に参加したあと、最初は普通のイベントレポートを書くつもりだった。

見たブース、聞いたセッション、出会った企業、印象に残った技術キーワードを整理するような記事になると思っていた。けれど戻ってから頭に残っていたのは、特定の講演でも展示エリアでもなく、かなりはっきりした「距離感」だった。

その距離は、どちらが優れているかという話ではない。学生が努力していないとか、企業が学生を理解しようとしていない、という話でもない。

同じ Cybersecurity という領域を見ているのに、両者がかなり違う問題意識で考えているように感じた。

学生はよく「自分は何を作れるか」と考える。

企業はより多くの場合、「それはどんな現実の問題を解くのか」と考える。

どちらの問いも重要だ。ただ、その問いは人をまったく違う方向へ連れていく。InfoSec Taiwan 2026 に参加して、いちばん書き残したいと思ったのはこの観察だった。

学生の研究として見えたもの

学生の視点から見ると、Cybersecurity は技術に引き寄せられやすい分野だと思う。

CTF に触れ、Web、Crypto、Reverse、Pwn、Forensics を練習し、大会を通じて自分の力を証明していく。CTF には魅力がある。目標が明確で、フィードバックが速く、問題を解ければ自分が一歩前に進んだことがはっきり分かるからだ。

CTF 以外では、近年の学生プロジェクトは AI を中心にしたものも多い。

たとえば AI による攻撃検知、フィッシングメール判定、Malware 分類、異常トラフィック分析、あるいは大規模言語モデルを資安ツールに組み込み、より賢く自動化されたシステムに見せるような方向だ。これらは悪い方向ではない。むしろ可能性のあるテーマも多い。

創意展示、科学展、プロジェクト発表、競技会などでも、IoT、攻防技術、スマート監視、脆弱性スキャン、自動化テストといったテーマをよく見る。これらの作品は、画面があり、流れがあり、技術的な見せ場があり、短時間で「何をするものか」を伝えやすい。

自分自身も、この考え方にはかなり馴染みがある。

学生としては、「自分はどんな技術を使えるか」から考え始め、それを「どんなプロジェクトにできるか」へ広げるのは自然なことだ。最近 AI を学んだなら、AI を資安に入れてみたくなる。攻防を練習したなら、攻撃検知や防御プラットフォームを作りたくなる。IoT に触れたなら、デバイスセキュリティと資安を結びつけたくなる。

こうした方向には努力があり、学習価値もある。

ただ、今回の展示会で、学生が慣れているテーマと企業が直面している課題は、必ずしも同じ平面にはないのだと感じ始めた。

企業側の需要として見えたもの

InfoSec Taiwan 2026 で見た企業の資安の話は、多くの場合、きれいな技術デモから始まっていなかった。むしろリスク、責任、運用、コンプライアンスから始まっていた。

金融資安は分かりやすい例だった。

金融業が向き合うのは、単一システムに脆弱性があるかどうかだけではない。取引の安全性、本人確認、不正検知、データ保護、サプライチェーンリスク、監査要求、そして運用を止められないという圧力がある。企業にとって Cybersecurity は後から付ける機能ではなく、サービスが信頼されるための基盤だ。

SOC もよく語られていた方向の一つだった。

企業には、log を読み、アラートを分析し、インシデントの深刻度を判断し、攻撃経路を追い、限られた時間の中で合理的な対応を決められる人が必要になる。これは CTF とはかなり違う。CTF の問題には通常、明確な答えがある。しかし実際のインシデントでは、データが不完全だったり、誤検知が混ざったり、攻撃者が出題者の想定通りに動かなかったりする。

Incident Response も同じだ。

企業が気にするのは、実際に攻撃が起きたとき、影響範囲をどう判断するか、ホストを隔離すべきか、通報すべきか、証拠をどう保存するか、サービスをどう復旧するか、そして技術者、管理層、法務、顧客が理解できる報告をどう作るか、という問題だ。

これらは派手な展示にはしにくいが、とても現実的な問題だ。

そのほかにも、法規遵循、Zero Trust、AI Blue Team、Post-Quantum Cryptography は、企業側の需要として強く感じたテーマだった。短時間で目立つ成果を見せられるものばかりではないが、どれも一つの方向を指している。企業が必要としている資安能力は、単発の技術ではなく、実環境の中で動かせる能力なのだ。

距離はどこにあるのか

学生と企業の距離は、単純に技術力が足りないという話ではないと思う。

強い学生はたくさんいる。

CTF を深く解ける人もいる。自分で脆弱性を研究できる人もいる。ツールを書ける人もいる。AI モデルをシステムに組み込める人もいる。短時間で完成度の高いプロジェクトを作れる人もいる。

本当の違いは、問題意識にあるのかもしれない。

学生がプロジェクトを作るとき、多くの場合は自分の能力から出発する。

自分はプログラムを書ける。だからプラットフォームを作る。

自分は AI を使える。だから AI 検知システムを作る。

自分は攻防を知っている。だから攻撃シミュレーションツールを作る。

自分は IoT を触ったことがある。だからスマートデバイスのセキュリティ案を作る。

この考え方は自然だ。学生は、自分が何を学んだかを作品で示す必要があり、競技会や展示で成果を見せる必要もある。

しかし企業の出発点は違うことが多い。

企業は「どんな新しい技術を使ったか」よりも、次のようなことを気にする。

リスクを下げられるのか。

インシデントをより早く見つけられるのか。

誤検知を減らせるのか。

監査要求に対応できるのか。

現場の人が本当に使えるのか。

事故が起きたときに、組織の判断を助けられるのか。

つまり、距離は学生が技術を分かっていないことでも、企業が制度だけを重視していることでもない。学生は「技術で何ができるか」から始めがちで、企業は「現場で何を解決する必要があるか」から始めがちだ、という違いに近い。

なぜ企業は実装できる能力を重視するのか

以前の自分は、技術が十分強ければ多くの問題を解決できるはずだと思っていた。

けれど今は、企業が実装可能性を重視するのは、技術を軽視しているからではなく、現実の環境には制約が多すぎるからだと理解し始めている。

システムは動けばよい、というものではない。

保守できること、引き継げること、既存の流れと統合できること、誤検知や見逃しの影響に耐えられること、法規や管理上の要求に対して説明できることが必要になる。

たとえば AI 検知システムは、学生プロジェクトなら精度がそれなりに見えれば説得力を持つかもしれない。しかし企業環境に置くと、問題はかなり複雑になる。

データはどこから来るのか。

モデルはなぜ異常だと判断したのか。

誤検知が多すぎたら、SOC アナリストの負担は逆に増えないのか。

モデルが間違えた場合、責任はどう定義するのか。

攻撃者が意図的にモデルを回避したら、システムを継続的に調整できるのか。

これらの問題は、技術そのものより面白くないかもしれない。しかし、ツールが本当に使われるかどうかを決めるのは、こうした問題だ。

企業が資安人材を見るときに重視するのも、ここなのだと思う。機能を作れるだけでなく、環境、リスク、プロセス、コミュニケーションを理解できる人が必要なのだ。

SOC、Incident Response、AI Blue Team

今回、SOC と Incident Response には特に強い印象を受けた。

これまで資安を学ぶとき、自分は攻撃手法や脆弱性に意識を向けやすかった。直接的で、自分が強くなっている感覚を得やすいからだ。

しかし企業の Blue Team の仕事は、最もきれいな攻撃手法を追うことではなく、大量のノイズの中から本当に重要なシグナルを見つけることに近い。

SOC アナリストは、絶えず流れてくる log、アラート、エンドポイントイベント、ネットワークトラフィック、ユーザー行動と向き合う。Incident Response の担当者は不確実性と向き合い、時間の圧力の中で、どのシステムが影響を受けたのか、どのデータが漏えいした可能性があるのか、どのサービスを止めるべきか、復旧すべきかを判断する。

AI Blue Team は、この問題をさらに複雑にする。

AI はアラート整理、インシデント要約、関連付け、判断支援に役立つ可能性がある。一方で、新しいリスクにもなる。モデルは誤判定するかもしれない。プロンプトは操作されるかもしれない。データソースが汚れているかもしれない。自動対応が誤った判断によって、より大きな影響を生むかもしれない。

だから企業が必要とする AI 資安能力は、単に「ツールに AI を入れる」ことではない。

より重要なのは、AI を Blue Team の作業のどこに置くべきか、どこには置くべきではないか、そしてそれを新しいリスクではなく補助として機能させるにはどうすればよいかを理解することだ。

このことは、自分の AI 資安プロジェクトへの見方を変えた。

以前なら、まず「このモデルは正確か」と聞いていたかもしれない。

今はむしろ、「このモデルを実際の SOC フローに置いたとき、誰の作業をより明確にし、どんな新しいリスクを増やすのか」と聞きたい。

Post-Quantum Cryptography：企業は未来十年のリスクを考え始めている

Post-Quantum Cryptography も、今回強く印象に残った方向だった。

学生にとって、Post-Quantum Cryptography は遠く感じられるかもしれない。Web 脆弱性のようにすぐ成果が出るわけでもなく、AI プロジェクトのように見た目で示しやすいものでもない。暗号学、標準化、システム移行、長期的なリスク計画を理解する必要がある。

しかし企業の視点では、これは遠い話ではない。

企業が今保存しているデータは、十年後にも価値を持っているかもしれない。金融取引、身分情報、営業秘密、政府や重要インフラに関わるデータは、今日安全だからといって永遠に安全とは限らない。

将来、量子計算能力が成熟すれば、今暗号化されて保存されたり、傍受されたりしたデータが、何年も後に解読される可能性がある。このリスクは、量子コンピューターが本当に成熟してから準備するものではない。今のうちに資産を棚卸しし、暗号利用の場面を評価し、移行計画を立てる必要がある。

ここにも、企業と学生の違いが見えた。

学生のプロジェクトは、一学期や一つの大会の中で成果を見せる必要があることが多い。

企業の資安は、三年後、五年後、場合によっては十年後のリスクまで考えなければならない。

どちらが良い悪いではない。ただ、時間の尺度がまったく違うのだ。

自分の反思

今回いちばん大きかった反思は、プロジェクトの価値を「その技術が展示しやすいか」だけで判断してはいけない、ということだった。

展示は重要だ。成果を見せられるし、自分の考えを分かりやすく説明する訓練にもなる。しかしプロジェクトが展示で止まってしまうと、見た目は完成しているのに、どこで使われるべきか分からない作品になりやすい。

自分がこれまで持っていた問題意識も、見直し始めた。

以前の自分はよく「自分は何を作れるか」と考えていた。

この問いは間違っていない。学生にとって、実際に作れることは重要だ。知識を手を動かす形に変えた証拠だからだ。

ただ、これからはもう一つの問いをもっと頻繁に考えたい。

「これはどんな現実の問題を解くのか」

AI 資安プロジェクトを作るなら、モデルが動くかだけではなく、アナリストがインシデントをより早く理解できるのかを問うべきだ。

IoT 資安プロジェクトを作るなら、あるデバイスを攻撃・防御できるかだけではなく、そのデバイスが実環境でどんなリスクを担っているのかを問うべきだ。

Blue Team ツールを作るなら、機能が完成したかだけではなく、SOC、Incident Response、監査フローに入れられるのかを問うべきだ。

こうした問いは難しいし、短時間できれいな成果になりにくい。

それでも、現実世界にはより近い。

結び

InfoSec Taiwan 2026 は、自分にとって単なる展示会やイベント参加ではなかった。

学生の資安学習と企業の資安需要の間には、確かに距離があるのだと気づかせてくれる経験だった。

この距離は、必ずしも悪いものではない。

学生には探索が必要だ。CTF、AI プロジェクト、創意展示、IoT、攻防技術、競技向けプロジェクトを通じて能力を作る必要がある。企業もまた、金融資安、SOC、Incident Response、法規遵循、Zero Trust、AI Blue Team、Post-Quantum Cryptography などを通じて、現実世界のリスクに向き合う必要がある。

本当に大切なのは、互いに違う問いを立てていることに気づけるかどうかだと思う。

学生はよく「自分は何を作れるか」と問う。

企業はより強く「それはどんな現実の問題を解くのか」を気にする。

これからの自分は、技術を見せるだけのプロジェクトではなく、現実世界の需要に応えられるプロジェクトも作りたい。

Cybersecurity は、技術を作るだけではない。

その技術が誰のために、どんな問題を解くのかを理解することが、より重要なのだと思う。