企業のAI導入急増も73%が攻撃対応に「準備不足」、侵害懸念が浮き彫りに——Sygnia調査
要点
-
サイバーセキュリティ企業Sygniaのグローバル調査で、63%の組織が2027年までにAIを全面導入予定である一方、73%が重大なサイバー攻撃への対応準備が不十分だと回答した。
-
包括的なAIポリシーを策定済みの組織は38%にとどまり、ツールの急速な普及に対してガバナンスやインシデント対応態勢の整備が追いついていない。
-
経営幹部の67%が未承認のAIツールに起因するセキュリティ侵害を経験したと回答し、シャドーAIや過剰な権限を持つAIエージェントが新たな侵入経路となっている。
-
攻撃者側もAIを活用して攻撃の自動化と大規模化を進めており、導入前から運用に至るライフサイクル全体でのリスク管理が求められている。
-
サイバーセキュリティ企業のSygnia（シグニア）は、世界各国のITおよびセキュリティ責任者を対象とした年次調査レポート「2026 CISO Survey Report」を公開した。業務効率化や脅威検知へのAI活用が急速に進展する一方で、7割以上の組織が重大なサイバーインシデントへの備えを完了できていない実態が明らかになった。統制が追いつかない未承認ツールの利用や、自律型AIエージェントの普及に伴うリスク拡大に対し、組織的な対応が急務となっている。
急速なAI導入と遅れるセキュリティ態勢
Sygniaが世界のシニアIT・セキュリティリーダー600人を対象に実施した調査によると、回答者の約3分の1がすでに脅威検知やインシデント対応（事案発生時の調査・復旧支援）において広範にAIを活用していると回答した。さらに、2027年までには組織全体へ完全にAIが組み込まれると見込む割合は63%に達している。
しかし、その一方で「明日重大なサイバー攻撃が発生した場合に完全に対応できる」と回答したITセキュリティ意思決定者は27%にとどまり、残る73%が準備不足を認める結果となった。多くのセキュリティチームがツールの配備スピードに適応する十分な時間を確保できておらず、ガバナンスや防御統制、インシデント発生時の備えが置き去りにされている実態が示されている。
エージェント型AIの台頭と拡大する攻撃対象
企業内におけるAIの導入経路は多岐にわたり、正式に承認されたプラットフォームだけでなく、SaaSの拡張機能やベンダー製ツール、従業員による独自の回避策、開発現場での試行運用などを通じて急速に広がっている。
リスクの性質は、導入されるAIの形態によっても大きく変化する。単に文章作成などを補助する従来の「生成AI」から、システムを横断して自律的または半自律的に処理を実行する「エージェント型AI」へとシフトするにつれ、単なる生産性ツールとして扱うことは困難になるという。AIがシステム上で直接操作を行う領域が増えるほど、企業の攻撃対象領域（アタックサーフェス）は大幅に拡大し、新たなセキュリティリスクが生じることになる。
ガバナンス不足と「シャドーAI」がもたらす侵害リスク
レポートによると、包括的なAIポリシーを策定していると回答した組織は全体の38%にすぎない。経営層は監視の必要性を認識しつつも確立された運用手順を持たず、従業員側もツールの安全性や影響を自ら評価する知識が不足している。迅速な導入が優先される結果、セキュリティ審査やベンダー評価、データ管理基準の設定が後回しになりやすい環境が生まれている。
こうした統制の不備は、管理者の把握していないAI利用、いわゆる「シャドーAI」の蔓延を招いている。調査では、経営幹部層の67%が「自社はすでに未承認のAIツールが原因でセキュリティ侵害を被った」と認識していることが明らかになった。
現在、セキュリティ監査を受けないまま急速に増加している主な侵入経路として、以下の3点が挙げられている。
- シャドーAIを含む統制外のAI利用
- 検証が不十分な場当たり的（アドホック）なシステム連携
- 必要以上の実行権限が付与されたAIエージェント
攻撃者の自動化に対抗する「ライフサイクル管理」
リスクが高まっている背景には、サイバー攻撃者側の進化もある。攻撃の基本的な手口自体は従来と同様であるものの、AIを悪用することで攻撃の実行速度や自動化率が大幅に向上し、大規模かつ高精度な攻撃が可能になっている。Sygniaが実際に調査・対処したインシデント対応の事例でも、AIによって攻撃プロセスが加速され、既存の脆弱性がより効果的に悪用されていたことが確認されている。
これに対し、レポートではAIツールのライフサイクル全体を通じた一貫したセキュリティ管理の必要性を提唱している。具体的には、本格的な導入や重要業務への組み込みが行われる前に、以下の対策を講じることが重要だと結論づけている。
- 組織内におけるすべてのAI利用状況を把握・可視化すること
- 用途やツールに応じたリスクを分類し、管理責任者を明確にすること
- AIやエージェントに与えるアクセス権限を最小限に制限すること
- セキュリティ統制の有効性を事前に検証すること
- 想定されるインシデントのシナリオを作成し、事前の対応準備を整えること