CISOのAI導入加速、セキュリティ負担が重く

最高情報セキュリティ責任者(CISO)の多くは、企業全体におけるAIのセキュリティ確保を担うことを期待されている一方で、十分な支援を受けられていないと感じていることが、Proofpointの調査結果から明らかになりました。

Proofpointが毎年実施しているVoice of the CISO調査によると、AIアシスタントやコパイロット、自動化ツールの安全な利用を確保することを今後2年間の最優先課題に挙げたCISOは約85%に上りました。CISOの10人に8人は、リソースや専門知識が比例して増えないまま、AI関連のセキュリティリスクへの対応を求められていると回答しています。

「CISOはAI導入の安全確保において重要な役割を担っていますが、リスクを一人で背負うことはできません」と、ProofpointのグローバルレジデントCISOであるPatrick Joyce氏はCybersecurity Diveに語りました。「AIは事業全体で導入が進んでおり、しばしば従来のガバナンスモデルが追いつかないスピードで広がっています」

サイバーリスクの状況

今回の調査は世界1,600人のCISOを対象に実施され、全体的なリスクの変化とCISOと経営陣との関係性における重要な変化が浮き彫りになりました。Censuswideが実施したこの調査には、米国、英国、インド、日本など世界16カ国の主要企業に勤める100人のCISOが含まれています。

とはいえ、CISO全体としては自組織のリスク態勢に対する自信を強めています。重大なサイバー攻撃への懸念を表明したCISOは約6割で、2025年調査の約4分の3から減少しました。それでも、CISOの半数以上は、標的型サイバー攻撃を組織が管理しきれないのではないかと懸念しています。

セキュリティ課題について取締役会とおおむね足並みがそろっていると回答したCISOは約85%に上り、CISOの3分の2未満しか足並みがそろっていなかった1年前から大幅に改善しました。この改善にもかかわらず、10人に8人近くのCISOが、業務の中断やデータ損失から風評リスクに至るまで、取締役会から過度なプレッシャーを受けていると回答しています。

「CISOには、事業の保護、AIの活用推進、データの保護、規制リスクの管理、事業継続の支援、そしてそれらすべてを商業的な観点から取締役会に説明することまで、ますます多くの役割が期待されています」とJoyce氏は述べています。

AIによるリスクエクスポージャー

CISOにとって最大の懸念の一つが、従業員による生成AIの利用です。生成AIを重大なセキュリティリスクとみなすCISOは合計78%に達し、前年比で18%増加しました。

CISOの約86%は、AI、SaaS、そして現代的な働き方がもたらすリスクに対して、自組織の内部セキュリティ管理体制が十分な保護を提供していると考えています。こうした自信があるにもかかわらず、75%を超えるCISOが、従業員が機密性の高い企業データを流出させかねない形でAIを使用しているのではないかと懸念しています。

AIに関する懸念に加えて、CISOは従業員の行動そのものについても、より大きな懸念を抱いています。組織内で最大のサイバー脆弱性は人間の行動であると考えるCISOは10人中8人近くに上り、1年前の66%から増加しました。過去1年間に重大なデータ損失を経験した組織のうち、約46%はその損失が悪意ある、または犯罪的な内部関係者に関連していたと回答しています。