サイバーセキュリティ担当者の大半が、侵害の隠蔽を指示された経験あり――報告書が明らかに

Dive Brief:

• サイバーセキュリティ専門家のうちわずかに半数を超える割合が、AIは防御側よりも攻撃側を助けていると考えていることが、セキュリティ企業Bitdefenderの新しい報告書で明らかになりました。
• マルウェアの高度化、ソーシャルエンジニアリング手法、そして攻撃挙動（ラテラルムーブメントや自動脆弱性スキャンなど）が、Bitdefenderの調査回答者を悩ませるAI関連の脅威ベクトルの上位を占めました。
• 報告書はまた、シャドーAIへの懸念、侵害の隠蔽、そして経営層と現場担当者との間のセキュリティに対する自信のギャップにも焦点を当てています。

Dive Insight:

Bitdefenderの年次報告書で最も衝撃的な発見の一つは、回答者の55%が侵害について沈黙するよう指示された経験があると答えたことです。この割合は2024年の42%から2025年には58%へと上昇し、今年は横ばいとなりました。「この横ばい状態は、当初の急増と同じくらい憂慮すべきことだと言えるでしょう」とBitdefenderのアナリストは記しています。

同社は、各組織が米国および欧州の侵害開示規制への対応を進めているものの、「文化的な変化は政策の変化に追いついていない」と指摘しています。

「行動を変えるには、情報開示を懲罰的だと感じさせないようにする必要があるかもしれません」とアナリストは記しています。「あるいは逆に、隠蔽を正当化できないようにする必要があるのかもしれません」

Bitdefenderの報告書は、米国を含む6カ国のIT・サイバーセキュリティ専門家1,200人を対象に、4月から6月にかけて実施した調査に基づいています。回答者には現場担当者、中間管理職、経営幹部が含まれています。

回答者の半数以上が、調査期間直近の12カ月間にデータ侵害またはその他のサイバーセキュリティインシデントを経験したと回答しており、42%がクラウドへの不正アクセス、36%がビジネスメール詐欺（BEC）、26%がランサムウェアを挙げています。BECは米国で最も多く見られた一方、クラウドへの不正アクセスは英国、フランス、ドイツ、シンガポール、イタリアの他5カ国で最も多く見られました。

シャドーAI問題にも地域差が見られました。自組織におけるAI利用状況を完全に把握していると回答した割合は米国が最も高く（63%）、次いで英国（58%）、ドイツ（52%）と続きました。

この結果は、米国とそれ以外の国の組織との間に見られる、より広範な自信のギャップとも一致しています。「米国の回答者は、私たちのデータセット全体の中で最も強いプレッシャーを受けていると同時に、最も自信を持っているという、相反する特徴を示しています」とBitdefenderは述べています。「侵害の隠蔽率が高く、AIを駆使した攻撃も多く、ツールの複雑さもより深刻だと回答している一方で、自社のセキュリティ体制への自信も高く、ベンダーとの関係もより強固で、投資への意欲もより高いと回答しているのです」

この報告書のより憂慮すべき発見の一つとして、管理職は現場の従業員よりも自組織のサイバーセキュリティ対策に対して著しく強い自信を持っていることが挙げられます。最大のギャップ――12ポイント――はAI利用状況の完全な把握という項目で見られ、サイバーセキュリティ担当部門とより広範な事業部門との連携（7.4ポイント）など、他の項目でも規模は小さいながら依然として顕著なギャップが見られました。