サイバー攻撃のレジリエンス格差

経営層はこうした変化をすでに把握しているようです。調査に協力した組織の約3分の2が、過去12カ月間に1件以上の重大なサイバーセキュリティインシデントがあったと回答しました。また、過去3年間でサイバー攻撃の頻度は増加していると述べています。

このため、脅威に対応し、ビジネスを混乱や被害の長期化から守る「サイバーレジリエンス」が、いま経営層の最大の課題となっています。サイバーレジリエンスについて「組織全体の戦略において極めて重要」と67％の経営層が回答したのに対して、「技術的な要件に過ぎない」と回答したのはわずか33％でした。

多くの組織がサイバー攻撃のリスクを認識していますが、対応レベルはさまざまです。当社の調査によると、リーダーシップや投資、イノベーションなどを通じてレジリエンスを強化できた組織と、脆弱な組織との間には、大きな差があることがわかります。

ガバナンスによる対応は、往々にして事後的になりがちです。半数以上（56％）の組織では、最初から特定のセキュリティに予算をあてて対策を立てるのではなく、テクノロジー導入後に既存のセキュリティ対策をあてはめていると回答しました。このような目的に合わない仕組みには脆弱性が残り、悪用されやすいのが特徴です。

透明性の確保も課題です。多くの経営層が、従業員がどのようにAIを利用しているのか把握していないと述べています。57％は、組織の管理下にない、いわゆる「シャドーAI」が大きなリスクだと指摘しています。AIの適切なガバナンスにはモニタリング体制が必要です。

一方で調査は、AIがもたらすポジティブな効果も示しています。組織が適切なガバナンスを確立できれば、セキュリティの領域を超えたメリットがあるというのです。回答者の約10人中7人（68％）が、強固なAIセキュリティは顧客やパートナー企業との信頼を強化し、長期的なビジネス価値につながると述べています。AIの推進とサイバー対策のバランスは難しい課題ですが、実現した際の成果は非常に大きいといえます。

従来のサイバーセキュリティ対策は、発生前に止める未然防止を軸に構築されてきました。しかし、攻撃が激増し手口も巧妙化したいま、サイバー犯罪を完全に防ごうとするのは現実的ではなくなっています。

この点について、多くの経営層も理解しているようです。現在のサイバーセキュリティは発生を前提としており、予防が主眼ではないと回答したのは67％です。サイバー攻撃に対するレジリエンスの真価とは、すべての攻撃を阻止できたかではなく、インシデント発生後も業務を継続できるかどうかにあります。組織は、最悪の事態に備えてセキュリティ対策を立てる必要があるのです。

調査結果を分析したところ、レジリエンスへの取り組み方には、組織によって明確な差があることがわかりました。一部の経営層は、重大なサイバーセキュリティ攻撃に適切に対処し、大きな損害を出さずに業務を復旧できると確信しています。このグループを、本調査では「先行グループ」と呼びます。一方で、サイバー攻撃が自社に与えるさまざまな影響がとにかく心配な経営層もいます。こちらは「その他の組織」と呼びます。

2つのグループの自信の差は、それぞれの戦略的な選択の違いからくるものです。次に、先行グループのサイバーレジリエンスが強い要因と、その他の組織が自信を持てない理由、そして両グループから何を学べるか考察してみましょう。

先行グループは、レジリエンスには継続的な学習が不可欠だと理解しています。その大多数（93％）が、「社外・社内で発生するサイバーインシデントから常に学び、レジリエンスを強化している」と回答したのに対し、その他の組織では35％にとどまっています。また、73％は「外部パートナー、同業者、業界団体などと積極的に連携し、サイバーの脅威とレジリエンスに関する情報を共有している」と回答しましたが、その他の組織で同様の取り組みを行っているのは半数以下（49％）でした。

リードする企業では、サイバーレジリエンスはIT部門だけではなく、企業文化や意思決定のレベルで取り組まれていることが指摘できるでしょう。

レジリエンスの高い組織ほど、イノベーションとガバナンスを両立できる傾向にあります。調査結果からは、先行する企業グループは、意識しながら両者のバランスを取っていることがうかがえます。72％は、「新興のテクノロジーはサイバーリスクを十分に理解し、安全策が整ってから慎重に導入する」としています。

その他の組織を見てみると、異なるアプローチです。過半数（59%）は、セキュリティ上の影響を完全に理解していない状態でも、スピード感を重視して導入しています。こちらのグループは導入競争では勝てるかもしれませんが、存在する認識の差は一度サイバー攻撃の標的となった場合、壊滅的な結果を招くおそれがあります。

格差は、AI戦略で特に顕著です。先行するグループは、そうではない組の4倍高い確率で、深刻なサイバーリスクにあわずAI主導のイノベーションを推進できる戦略を立てています。先行グループでは、従業員がどこでどのようなAIを使用しているかを把握しています。「シャドーAI」の使用状況については、56％が把握できているのに対し、その他の組織はわずか27％にとどまっています。

先行グループでは、次のフロンティアともいわれる「AIエージェント」についても一歩リードしています。10人中6人（61％）が、AIエージェントのシステムにも対応できるセキュリティ対策を組み込んでいます。これに対し、そのほかの企業では28％にとどまっています。

パターン認識や事前定義されたタスクに限定される従来のモデルとは異なり、AIエージェントは自律的に動き、少しの人間の介入や監督のもとで意思決定を行うことができます。この性質の違いは、実は脅威を増大させるものです。

内部的には、AIエージェントは複数のシステムと相互に作用することで脆弱性を生み出すおそれがあります。これは管理や監視が従来よりも難しいと考えられています。

AIエージェントに関する知識不足は、その他の組織で多かった課題です。社内のAIエージェントが、よくわからないサイバーリスクをもたらすのではと心配する割合は71％でした。先行グループの中で同じ懸念を抱いているのは37％と少なくなっています。

加えて、その他の組織の中では、サイバー犯罪にテクノロジーが悪用されることへの懸念も高い状態です。AIエージェントによるサイバー攻撃が発生した場合、新たなレジリエンス対応が必要になると、10人中8人（81％）が回答しました。これは先行グループの38%と比較して高い数値です。

AIの導入が加速する中では、組織はこのような知識の格差をできるだけはやく埋めていくことが求められています。アップスキリング、人材採用、外部とのパートナーシップなどがその手段となるでしょう。