CISOたちは、リソースや専門知識の増強を伴わないままAIガバナンスという役割を新たに引き受けており、データ保護、ID管理、レジリエンス、コンプライアンスといった既に広範な担当領域にさらなる負担が加わっています。Proofpointの『2026 Voice of the CISO』レポートが明らかにしています。
AIへの対応要求はリソースよりも速いペースで拡大している（出典: Proofpoint）
AIがセキュリティ責任を増大させる
生成AIは、機密データ、アクセス権限、従業員の行動をめぐって新たな懸念を生み出しています。CISOの78%がこれをセキュリティリスクと考えており、特に公開AIプラットフォームを通じた顧客データの流出が主要な懸念事項となっています。
企業各社は、従業員によるAI利用の制限を含め、統制を強化する形で対応しています。また、ヒューマンエラーを減らし脅威に対抗するためAI活用型のセキュリティツールにも目を向けており、アシスタントやコパイロット、自動化ツールの安全な利用を優先課題としています。
ただし、責任の増加に見合う支援が必ずしも伴っているわけではありません。CISOの79%が、リソースや専門知識の比例的な増強がないままAI関連リスクの管理を求められていると回答しています。AIが単独のツールにとどまらず、従業員が日常業務ですでに使用しているアプリケーションにまで浸透するにつれ、この課題はより困難になりつつあります。
ガバナンスは、個々のツールを単に許可するか遮断するかという次元にとどまらない対応が求められます。セキュリティチームは、従業員がデータにアクセスし、AIを利用し、業務を自動化するあらゆるプラットフォームにわたってポリシーを適用しつつ、新たに生じるリスクに即応できる体制を整える必要があります。
生成AIに関するセキュリティ懸念とAIリソースのギャップが最も大きかったのはインドで、従業員による生成AI利用に対する制限が最も厳しかったのはフランス、従業員がAIを通じて機密データを流出させることへの懸念が最も強かったのはシンガポールでした。
攻撃への懸念は低下する一方、職場でのリスクは拡大
セキュリティ責任者の61%が、今後12カ月以内に自組織が攻撃に直面する可能性があると考えており、これは2025年の76%から低下しています。重大なデータ損失の報告件数も減少していますが、それでも半数以上が、標的型攻撃への備えが不十分だと回答しています。
最も注目を集めている脅威の顔ぶれも変化しています。現在トップに立つのはクラウドアカウントの乗っ取りや侵害で、一方でメール詐欺、ランサムウェア、マルウェアは順位を下げています。これにより、従業員が業務、コミュニケーション、社内情報へのアクセスに依存するアカウントやサービスの保護に、より一層の焦点が当てられるようになっています。
職場のテクノロジー自体も懸念材料のひとつです。セキュリティリスクをもたらしかねない技術として、コラボレーションプラットフォームが首位に挙げられています。サードパーティ連携を伴うSaaSアプリケーションや、業務プロセスに組み込まれたAIも上位にランクインしており、続いて公開型の生成AIツール、クラウドストレージ、自動化技術が挙げられています。
従業員はこうしたサービスを使ってコミュニケーションを取り、ファイルを共有し、会社のデータを扱っており、連携するアプリケーション間で情報を移動させることも少なくありません。そのため、ID管理、権限設定、データの移動が、職場のセキュリティにおいてますます重要な要素となっています。
人的リスクは依然としてデータセキュリティ上の大きな懸念
回答者の79%にとって、人的リスクはサイバーセキュリティ上最大の脆弱性であり、データ損失に関する調査結果もその理由を裏付けています。機密情報の重大な損失を経験した組織では、悪意を持った、あるいは犯罪目的のインサイダーが最も多く挙げられた根本原因でした。
不注意によるインサイダーや、侵害を受けたインサイダーも目立って挙げられたほか、AIの悪用や誤設定、外部からの攻撃、サードパーティの侵害も要因として挙げられました。この調査結果は、データ損失が従業員の行動、侵害されたIDの悪用、そして職場で使用されるツールという複数の要因が絡み合って発生し得ることを示しています。
離職する従業員も特に懸念される要因です。重大なデータ損失を経験した組織では、セキュリティ責任者の93%が、離職する従業員がその一因になったと回答しています。
セキュリティチームは、利用中のデータリポジトリや生成AIツールの数について高い可視性を確保していると報告しています。難しいのは、その可視性を、ユーザーの意図、データの機微性、権限設定、そして情報が異なる業務環境間をどう移動するかを踏まえた統制へと落とし込むことです。
データ損失がもたらす事業上の影響はより深刻に
重大なデータ損失を報告する組織は減少していますが、いざインシデントが発生した際の影響はより深刻化しています。規制上の制裁、金銭的損失、復旧コスト、レピュテーション上の損害はいずれも増加しており、認証情報の窃取や重要データの損失も依然として大きな懸念事項となっています。
Proofpoint のGlobal Resident CISOであるPatrick Joyce氏は、次のように述べています。「取締役会との連携強化は好ましい兆候ですが、同時に期待値も高まります。サイバーセキュリティは今や、企業価値、ダウンタイム、レピュテーション、顧客の信頼、業務への支障といった観点から議論されるようになっています。それは正しい議論の方向性ですが、CISOには取締役会からの関心以上のものが必要です。明確な権限、専門的な知見、そして継続的な支援が求められています。目標は単にサイバーリスクをより効果的に報告することではなく、取締役会レベルの理解をより良い経営判断につなげることにあります」
データ保護は、ID管理やAIガバナンスとの結びつきをますます強めています。大多数のセキュリティ責任者は、クラウドサービス、コラボレーションツール、エンドポイント、AIシステム全体にわたって機密データへの可視性と統制を確保していると回答しており、AI、SaaSアプリケーション、現代的な働き方に伴うリスクに対して既存の統制で十分対応できていると考えています。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/proofpoint-ciso-ai-security-risks-report/
