チェック・ポイントの医療AI提携、米連邦政府が自社ファイアウォールの修正を命じた期限の6日後に発表

値札のない4製品契約

2026年10月1日、チェック・ポイント・ソフトウェアとクラリット・ヘルス・サービスは戦略的提携を発表↗した。クラリット向けに共同開発したAIゲートウェイに加え、本部と14の病院、1,600を超える診療所をカバーする形で、チェック・ポイントのAIセキュリティー、エクスポージャー管理(Exposure Management)、ワークスペースの各ツールを導入する。約6万人の職員が500万人超の会員に医療を提供する組織だ¹。発表文には2人のCEOの談話と4つの製品ラインが並ぶが、カネの話だけがない。契約金額も期間も納入時期も記されていない¹。イスラエルの報道↗は「数百万ドル規模の提携」と伝えているが、この数字は発表文のどこにも出てこない²。

病院攻撃こそ需要曲線

チェック・ポイントの調査部門の集計では、医療分野へのサイバー攻撃は2年間で30%超増え、1組織当たり週平均2,268件に達する。業種別では3番目に攻撃の多い分野だ¹。3年に及ぶ戦争の末、クラリットのセキュリティー責任者アヴィ・アティア氏は今回の購入を「戦時下の脅威への対処から長期的な防衛インフラの構築へ」という転換と位置づけた¹。この予算を巡る競争は既に始まっている。9月29日、クラウドストライクはファルコン(Falcon)プラットフォームをOpenAIのマーケットプレイスに出品し、企業顧客が既存のOpenAI契約の枠からセキュリティー費用を賄えるようにした⁶。

「門番」自身のゲートウェイが弱点だった

事態をややこしくしているのはここだ。病院にAIの「門番」を売り込む一方で、チェック・ポイント自身は9月下旬、米連邦政府の命令の下で自社機器の修正に追われていた。10点満点で9.8点と評価された脆弱性2件が実際の攻撃で悪用されている↗。うち「CVE-2026-85102」は、クアンタム(Quantum)とスパーク(Spark)のVPNゲートウェイで認証前のリモートコード実行を許す脆弱性で、9月9日に修正済みだったものの、同12日から攻撃に用いられた。もう1件の「CVE-2026-93616」は、管理・ログ・SmartEventのスタックを突くディレクトリトラバーサル型ゼロデイで、7月23日以降、悪用が続いている³⁴⁵。米サイバーセキュリティー・インフラセキュリティー庁(CISA)は9月22日、両脆弱性をリストに登録し、米連邦政府機関に9月25日までの対処を命じた³⁴。病院の「門番」を売るベンダー自身が、まさにその週、既に販売したゲートウェイの修正期限を迫られていたのである。チェック・ポイントによれば、攻撃を受けた顧客はごく少数という⁵。ただ、これは単発のつまずきではない。6月以降、ランサムウェア集団がチェック・ポイントの別のゼロデイも悪用している⁵。

クラリットの答えと、残る溝

クラリットは自らの言葉でこう説明する。最高経営責任者(CEO)のエイタン・ヴィルトハイム氏は「情報セキュリティーはイノベーションへの制約ではない。私たちがより速く前へ進むための条件だ」と述べた¹。修正を公開の場で進め、自社のインシデントを自ら名指しして公表するベンダーは、正直な部類だと評してもよいだろう。残る課題は一点だ。価格が開示されない以上、取引の外にいる誰にも、この信頼がどれだけのコストにあたるのかを量ることはできない。

次の数字は11月2日

チェック・ポイントは2026年11月2日、第3四半期決算を発表する↗⁷。売上高の前年同期比伸び率は、2025年第3四半期の6.7%から2026年第2四半期には1.3%へと4四半期連続で鈍化しており、そのさなかの決算となる⁸。AIセキュリティーという柱がプレゼン資料の飾りにとどまらないためには、クラリットのような実名の顧客が必要だ。

ゲートウェイは売れた。請求書は非公開だ。