最高情報セキュリティ責任者(CISO)——そもそもそのポジションを置く余裕がある企業であればの話ですが——は、真夜中に緊急の電話で叩き起こされます。侵害が発生した、というのです。攻撃者は極めて機微な顧客データを盗み出し、身代金を要求してきました。支払わなければダークウェブにデータを流出させると言っています。この瞬間から、時計の針とともに金銭的な代償も刻まれ始めるのです。
それがランサムウェア攻撃であれ、ビジネスメール詐欺であれ、サードパーティ経由のサプライチェーン攻撃であれ、残念ながら組織はデータ侵害を被ることに慣れつつあります。しかし企業は、無視できない脅威の高まりと、もはや維持できない防御コストの増大との板挟みに置かれています。
このパラドックスが、サイバーセキュリティの「値上がり危機」とも言うべき状況を生み出しています。大企業のような潤沢な資金を持たない中小企業(SMB)にとっては、たった一度の侵害が事業の永久停止につながりかねません。
IBMの「2026年版データ侵害コストレポート」によると、データ侵害による世界平均コストは2025年に過去最高となる499万ドルに達し、前年比で12%の上昇を記録しました。これは1時間あたり1,100ドルに相当します。
一方でGartnerは、ネットワークセキュリティ、セキュリティサービス、ソフトウェアセキュリティを含む組織の世界的なサイバーセキュリティ支出について、今年は2,398億ドルに達すると予測しています。2024年の1,934億ドルからの増加です。人工知能(AI)の導入も、組織が最新モデルの実装を競う中で、この課題をさらに深刻化させる要因となっています。
中小企業を救うことが、世界を救うことにつながる
攻撃者が大企業よりも中小企業を標的にすることが多いのは、予算の制約やサイバーセキュリティが優先事項になっていないことから、中小企業が弱い環(リンク)であると知っているからです。中小企業はサプライチェーン全体にとってシステミックなリスクをもたらす存在であるにもかかわらず、市場はそれを反映していません。
新しいセキュリティツールをリリースするベンダー自身は正しい動機を持ち、本当にリスクを管理し攻撃を防ぎたいと考えているかもしれませんが、彼らを支えるベンチャーキャピタルはより利益率の高い大口顧客の獲得を求める、とHuntressのサイバーセキュリティアドバイザーであるBryson Byrd氏は説明します。
その結果、ベンチャー資本の支援を受けたベンダーは、大企業向けにより高価な製品を開発するようになり、専任のセキュリティチームや24時間体制のセキュリティオペレーションセンターを持たない中小企業のニーズを考慮しなくなり、取り残されてしまいます。これはあらゆる規模の組織にとって不利益だ、とByrd氏はDark Readingに語っています。
「無数の中小企業が存在する状況において実際に起きているのは、国として、あるいはコミュニティとして、どう定義するにせよ、私たちが不釣り合いなほど脆弱になっているということです」とByrd氏は述べています。
サイバーセキュリティは予算の問題である一方、それと同じくらい優先順位付けと事業レジリエンスの問題でもある、とByrd氏は主張します。特に中小企業の領域では、これらの問題こそが解決されるべきだと同氏は訴えています。
AIによるコスト削減をあてにしてはいけない
問題は、組織が突然サイバーセキュリティへの投資をやめてしまったということではなく、経済性の維持が次第に難しくなっているという点にあります。セキュリティの人員数は変わらないまま、コストが予算の伸びを上回るペースで増加している、とArmorCodeのソリューションエンジニアリング担当バイスプレジデントであるSyed Ghayur氏は指摘します。同氏は、業界がサイバーセキュリティの値上がり危機の初期兆候を目にしていると見ています。
セキュリティチームは、人員や予算の比例的な増加を伴わないまま、桁違いに多くのリスクを処理するよう求められている、とGhayur氏は付け加えます。同氏によれば、平均的な企業はすでに40種類のセキュリティスキャナーを運用しており、Palo Alto NetworksとIBMの共同調査では、より広範なセキュリティスタックには29社のベンダーによる83種類のツールが含まれているとされています。
ツールの乱立は大きな重複を生み出している、とGhayur氏は言います。各企業は数十種類のスキャナーやセキュリティ製品に投資していますが、それらは重複する検出結果を出す一方で、自社のビジネス文脈に即した情報を提供してはいないのです。
AIはさらに別のコスト層を積み増します。組織はセキュリティツールを補完するためAIの導入を急速に進めましたが、調査によれば、トークン利用料やプレミアムプランへの支出を含め、そのコストは想定を上回っていることが分かっています。すべての脆弱性検出結果を無差別に高額なAIで分析すれば、コストが膨らむだけでなく、アラート疲れを助長する結果にもなりかねません。
「優先順位付けとコストガバナンスがなければ、支出は実際に削減されたリスクの量ではなく、検出結果の件数に比例して拡大してしまいます」とGhayur氏は述べています。
さらに、AIはかえって問題を増やす場合もあります。1Passwordのある調査によれば、大規模言語モデルが生成した修正パッチは、平均して53.9%の確率で脆弱性を解決できていなかったか、新たな脆弱性を追加してしまったか、あるいはその両方でした。
報告される脆弱性の件数が修復能力を上回るペースで増加しているため、人員やスキャナーを増やして対処しようとしても、必ずしもリスクの低減にはつながらないまま、コストだけが増大していく、とGhayur氏は警鐘を鳴らします。
「リスクとなるのは、組織が二つの好ましくない方法のいずれかで反応してしまうことです」と同氏は述べます。「無差別に支出を増やして追いつこうとするか、コスト削減のために無差別に自動化を進めるか、のどちらかです。後者は、サイバーセキュリティにおいて特に危険となり得ます」
検出結果ではなく、リスクに焦点を当てる
この問題に対処することが重要なのは、それが医療などの重要インフラ機関や製造業に影響を及ぼすからです。こうした業界はレガシー設備で稼働している一方、国家支援型のハッカーを含む多様な脅威アクターから頻繁に狙われています。コンサルティング会社のSignisysは、ほとんどの企業がIT予算全体の8%から12%をサイバーセキュリティに割り当てるべきであり、医療、金融サービス、政府機関の組織であれば10%から15%を目標とすべきだと推奨しています。
リソースが限られている組織にとって、これは大きな要求となり得ます。答えはセキュリティへの投資を減らすことではなく、組織がすでに保有しているセキュリティ投資から、より測定可能な形でリスクを低減する成果を引き出すことにある、とGhayur氏は勧めています。それには、測定の単位を「検出結果の件数」から「リスク」へと転換することが出発点になると同氏は言い、AI投資にも同じ規律を適用する必要があると付け加えています。
Ghayur氏は、サイバーセキュリティ経済学の次の段階は、クラウドの世界においてFinOps Foundationが果たしてきた役割によく似たものになると考えています。今日のAI導入と同様に、組織はオンプレミスサーバーよりもコストを削減できると考えてクラウドへ移行しましたが、実際にはコストは想定以上に膨らみました。FinOpsは、ポリシーとコスト管理の枠組みを整備することで、可視性、効率性、説明責任の向上を目指しました。
「セキュリティリーダーたちは今後、リスクを低減していることを証明するだけでなく」と同氏は予測します。「1ドル、1エンジニア時間、そしてますます重要になる1AIトークンに至るまで、そのすべてが最も重大なエクスポージャーに対して使われていることを証明する必要に迫られるでしょう」
翻訳元: https://www.darkreading.com/cybersecurity-operations/is-cyber-facing-an-affordability-crisis-
