サイバーリスクは業務ワークフロー内部へ移行、Proofpoint調査で判明——生成AI規制は78%に達するもリソース不足が浮き彫りに

要点

• プルーフポイント（Proofpoint）の調査レポートにより、企業のサイバーリスクが日常的な業務プロセスの内部へ移行している実態が明らかになった。

• 生成AIをセキュリティリスクと捉えるCISO（最高情報セキュリティ責任者）は78%に達し、同率の78%の組織が従業員による利用を制限または遮断している。

• 79%のCISOが、予算や専門知識が比例して増えないままAI関連リスクの管理を求められていると回答した。

• 人的リスクを最大の脆弱性と挙げる割合は過去5年間で最高の79%となり、重大な情報損失を経験した組織の93%で退職予定者が関与していた。

• 攻撃予測や重大なデータ損失の報告率は前年比で減少したものの、依然として半数以上の組織が重大な損失を報告している。

• サイバーセキュリティ企業のプルーフポイント（Proofpoint）が公表した調査レポート「Voice of the CISO」第6版のデータから、企業が直面するサイバーリスクの所在が日常業務のワークフロー内部へと移行している実態が明らかになった。海外セキュリティメディアのThe Hacker Newsが2026年10月に報じたところによると、過去5年間の推移分析から、セキュリティ責任者の課題が外部脅威への警戒から業務環境全体の統制へとシフトしているという。攻撃予測の沈静化や取締役会との連携強化が見られる一方で、急速に浸透する生成AIへの対応や人的リスクの深刻化、運用リソースの不足といった課題が浮き彫りとなっている。

5年間の推移から見るリスク環境とCISOの役割の変化

今回のレポートでは、前年からの変化だけでなく過去5年間の長期的な推移が比較分析されている。今後12か月以内に重大なサイバー攻撃を受けると予測したCISO（最高情報セキュリティ責任者：企業のセキュリティ対策を統括する役員）の割合は、2025年の高水準から減少したものの、2022年の水準は上回ったままだ。機密情報の重大な損失を報告した割合も前年比で減少したが、依然として半数を超えるCISOが重大な損失を経験したと回答しており、組織の準備状況を示す数値もほぼ横ばいにとどまる。

一方で、取締役会との足並みを示す指標は本調査シリーズの中で過去最高水準に回復した。しかし同時に、取締役会からの過剰な期待も高まっていると報告されている。過去5年間で攻撃予測は増減を繰り返し、経営陣との関係性も大きく変動してきた。こうした状況を受け、CISOの役割は「次にどんな脅威が襲ってくるか」を警戒する段階から、「重要な業務がどこで行われ、誰や何がアクセス権を持ち、クラウドやSaaS、AIツール間を移動する機密データをどう保護できるか」という実務プロセスの管理へ移行していると説明されている。

生成AIの浸透と管理能力のギャップ

業務環境の変化において最も顕著な要因となっているのが、急速に普及したAIの存在だ。生成AI（文章や画像などを自動生成する人工知能技術）を自社のセキュリティリスクとみなすCISOの割合は、2024年の54%、2025年の60%から、2026年には78%へと急増した。

これに伴い、多くの組織が利用制限に動いている。従業員による生成AIツールの利用を遮断または制限している組織は、2025年の59%から2026年には78%へと跳ね上がった。しかし、アシスタントやコパイロット、自律的に業務を進めるエージェント型ワークフローが日常業務に定着しつつある中、単なる利用遮断という二者択一のルールでは実際の業務実態に対応しきれないと指摘されている。

AIがもたらすリスクは、入力プロンプトや事実と異なる情報を生成するハルシネーション（AIの誤生成現象）にとどまらず、利用者が閲覧可能なデータ範囲や権限、AIが判断・行動する際の制御など、データセキュリティ全般に直結する。その一方で、79%のCISOが「予算や専門知識が増加しないままAIリスクの管理を求められている」と回答しており、問題の本質がリスクの認知から実際の運用キャパシティの不足へと移っていることが浮き彫りになった。

深刻化する人的リスクと退職者の関与

過去5年の調査において、組織内の人的要因は最も根強い脆弱性として挙げられ続けている。人的リスクまたは人為的ミスを自社の最大のサイバー脆弱性と回答した割合は、2022年の56%から2023年60%、2024年74%、2025年66%と推移し、2026年には過去最高の79%に達した。

レポートによると、人的リスクは単に従業員向けのセキュリティ教育や意識向上トレーニングだけで防げる範疇を超えているという。実際に重大なデータ損失を経験した組織を対象とした調査では、実に93%の組織において退職予定の従業員が情報損失に関与していたことが判明した。

重大なデータ損失を引き起こした主な根本原因には、悪意ある内部不正者、不注意な内部関係者、アカウントを侵害された内部関係者、AIツールの誤用や誤設定、外部からの攻撃、そしてサードパーティ（外部委託先や提携先）の侵害が挙げられている。元記事では、データ損失は利用者の行動やID、アクセス権限、使用ツール、利用者の意図などが交差する場所で生じていると分析されている。そのため、単なる注意喚起にとどまらず、誰がどのデータにアクセスし、雇用状況の変化によってリスクがどう変化したかなど、個別の業務コンテキストに応じた体系的な管理が求められていると示されている。