AIと人的リスクが2026年のCISOの優先課題を再編

サイバーセキュリティ担当者は自社の防御体制にやや自信を深めているかもしれませんが、だからといって仕事が楽になっているわけではありません。

むしろ、CISOが管理すべきリスクは、従業員が日常的に使用するテクノロジーの奥深くへと入り込みつつあります。IDと日常業務のワークフローも、そうしたリスクの中でより大きな比重を占めるようになっています。

これは、16カ国のCISO1,600人を対象に調査したProofpointの「2026年版 Voice of the CISO」レポートから得られた、最も明確な知見の一つです。

同レポートによると、重大なサイバー攻撃を予想したり、大規模なデータ損失を報告したりするセキュリティ担当者の割合は、前年より減少しました。

その一方で、人工知能(AI)と人的リスクは、取締役会からの期待が高まり続ける中で新たな課題を生み出しています。

AIがCISOにとって最大の課題に

生成AI(GenAI)は、新興の懸念事項から中核的なセキュリティ責務へと急速に変化しています。

現在、CISOの約78%が生成AIをセキュリティリスクと見なしており、2025年の60%から増加しています。また77%が、公開の生成AIツールを通じた顧客データの流出を懸念しています。

同時に85%が、AIアシスタントやコパイロットの安全な利用を実現することを、今後2年間の最優先事項に挙げています。この優先課題は自動化テクノロジーにも及んでいます。

これは難しい綱渡りを迫られる状況です。CISOには、従業員の生産性向上に役立つツールの利用を妨げることなく、データを保護することが求められています。

多くの組織はアクセス制限で対応しています。レポートによると、従業員による生成AI利用をブロックまたは制限している企業は78%に上り、前年の59%から増加しました。しかし、AI機能がSaaSプラットフォームや日常業務のワークフローに直接組み込まれるにつれ、制限だけでは実効性を保つのが難しくなっています。

さらに大きな懸念となりうるのがリソース不足です。CISOの79%が、リソースや専門知識をそれに見合う形で増強されないままAI関連のリスクへの対応を求められていると回答しています。

サイバーリスクは日常業務のテクノロジーへとシフト

一方で、セキュリティプログラムが進展している兆候も見られます。

今後12カ月以内に自社が重大なサイバー攻撃に直面すると考えるCISOは約61%で、2025年の76%から減少しました。

重大なデータ損失を予想する割合も66%から53%へと減少しています。それでも56%は、自社が標的型サイバー攻撃への対応において準備不足だと回答しています。

CISOが懸念する対象も変化しています。最も多く選ばれた脅威はクラウドアカウントの乗っ取りや侵害で、33%を占めました。リスクをもたらしかねないテクノロジーとしては、コラボレーションプラットフォームが最も懸念されており、僅差でAIアシスタントやAIエージェント、そしてサードパーティ統合を伴うSaaSアプリケーションが続いています。

人的リスクがデータセキュリティの課題に

テクノロジーはこの方程式の一部にすぎません。人的リスクは、自社最大のサイバー脆弱性としてCISOの79%が挙げており、前年の66%から増加しました。

重大なデータ損失を経験した組織のうち、悪意のある、あるいは犯罪的なインサイダーが最も多い根本原因で46%を占めました。不注意によるインサイダーと侵害されたインサイダーはそれぞれ38%で並び、AIの誤用や設定ミスが37%で続きました。

退職する従業員には特に注意が必要です。重大なデータ損失を経験した組織のCISOの93%が、退職者が何らかの形で関与していたと回答しています。

データ損失インシデントの件数は減少も、影響はより深刻に

報告されるデータ損失の減少は、別の問題も覆い隠しています。実際に発生したインシデントは、企業にとってより高くつくものになっているようです。

影響を受けた組織のうち、規制当局からの制裁を受けた割合は34%から40%に増加し、金銭的損失は27%から38%へと急増しました。復旧コストは38%に達し、評判の毀損は37%に上昇しています。

取締役会もこの状況に注目しており、CISOの85%が、サイバーセキュリティについて取締役会と認識が一致していると回答しました。これは2025年の64%から増加しています。しかし77%は、CISOやCSOに過度な期待がかけられているとも述べています。

CISOにとっての教訓は、従来型セキュリティにおける進展が、必ずしも業務負荷の軽減につながるわけではないということです。

AIガバナンスとIDは、人間の行動とますます密接に絡み合うようになっています。データ保護は、これらすべての領域を横断する課題です。

次のステップは、可視化をユーザーとアプリケーション間を移動する機密データを保護する具体的な制御へと昇華させることです。こうした制御は、クラウドサービスやAI対応のワークフローにも及ぶ必要があります。

ゼロトラストソリューションの導入は、機密データやアプリケーションへのアクセスを継続的に検証することで、組織がこうした制御を強化する助けとなります。同様のアプローチは、クラウドリソースへのアクセス保護にも役立ちます。