企業は、投資に対して何が得られるのか明確な根拠を待たないまま、サイバーセキュリティ分野のAIにますます多くの資金をつぎ込んでいます。
この支出トレンドを後押しする要因は複数あります。AIが実験段階から本番運用へと急速に移行していること、攻撃者がAIを使って自らの活動を自動化し加速させるケースが増えていること、そして場合によっては、他社がこの技術の採用競争を繰り広げる中で自社が取り残されることへの不安などが挙げられます。
セキュリティ新規予算の最優先事項となったAI
IANSとArticoは最近、500人を超える最高情報セキュリティ責任者（CISO）を対象に、2026年のサイバーセキュリティ支出計画に関する調査を実施しました。その結果、2026年の平均セキュリティ予算の伸びはわずか5%にとどまり、2025年の4%からは増加したものの、中央値の予算は2年連続で横ばいであることが分かりました。
こうした状況の中、CISOの69%が新規予算の配分先として最優先すべき事項にAIを挙げており、24%はAI向けに独立したセキュリティ予算枠を設けています。一方、38%はAIをより広範なセキュリティ支出の一部として扱い、別の38%はITやデータ、イノベーション予算からAIの費用を賄っています。
今回の調査からは、AIがセキュリティチームを置き換えるというよりも、その形を作り変える存在になりつつあることがうかがえます。CISOの91%は、今後12カ月でAIが自分たちのチームの生産性を高めると見込んでおり、81%は新たなサイバーセキュリティ職種やスキルへの需要が生まれると予想しています。多くのCISOは、AIが反復的な作業を担う一方で、セキュリティ専門家は異常検知や脅威調査、新たな脅威に関する高度な意思決定といった、より付加価値の高い業務にシフトしていくと見ています。
「予算の構造上、支出をAIと正式に紐づけることは、想定以上に支出全体に大きな影響を与えています」と、IANSのシニアリサーチディレクターであるNick Kakolowski氏は述べています。AI専用の予算枠を設けることで、多くの組織がAI向けの資金をより獲得しやすくなっているようだと同氏は指摘します。AIが脅威の状況を急速に変化させていることへの懸念に加え、多くの「経営陣がAIで後れを取ることを恐れており、現場のリーダーに技術導入を迫るプレッシャーをかけている」と、この支出トレンドについて同氏は語っています。
最も追求されているAIの用途は、最も価値を生む用途ではない
サイバーセキュリティ分野へのAI投資が拡大する一方で、企業が実際にどれほどの価値を得ているのかについては不透明感も残っています。売上高5,000万ドル以上の企業に所属するIT専門家1,000人余りを対象にした最近のGartner調査のデータによれば、企業が最も積極的に取り組んでいるAIのユースケースと、最も高いリターンを生み出しているユースケースとの間には、乖離があることが示唆されています。
「最も広く取り組まれているAIのユースケースが、最も高いプラスのリターンをもたらすケースであることはめったにありません」とGartnerは指摘しています。例えば、経営幹部層は最も頻繁に取り組まれているAIのユースケースとしてサイバーセキュリティの脅威検知・対応を挙げましたが、最も価値をもたらしていたのはITアセットとコストのインテリジェントな最適化へのAI活用だったとGartnerは述べています。「現場のリーダーは、実質的な価値を生み出すAIアプリケーションよりも、『人気の高い』あるいは過度に注目を集めているAIアプリケーションを優先してしまう罠に陥りがちです」。
Acalvioの最高経営責任者（CEO）であるRam Varadarajan氏は、こうしたAI支出トレンドを後押ししているのは「恐怖の非対称性」だと指摘します。「侵害の見逃しは目に見える形で表面化し、キャリアを絶たれかねません。だからこそ『AI搭載』のセキュリティ製品を購入することは、検証済みの投資判断というより、責任回避のための保険なのです」と同氏は述べています。ベンダー各社はその恐怖心に付け込んで売り込みを行っており、AIが市場の標準的な期待値となった今、「証拠に基づく調達は、他社に追随するだけの調達に置き換わりつつあります」と同氏は語っています。
AIをめぐる恐怖という要因
とはいえ、リターンや価値をめぐる不透明感が、サイバーセキュリティ分野へのAI投資を判断する上でセキュリティリーダーたちの足を止めているわけではありません。多くの場合、AIを悪用した脅威がもたらす切迫感の方が、この技術について明確なビジネスケースをまず確立する必要性を上回っているのです。
F5のフィールドCISOであるSean Murphy氏は、サイバーセキュリティ分野へのAI投資に急いで乗り出す動きは、投機的なリターンを追い求めているわけではないと言います。むしろその背景にあるのは、AIの実運用がすでに実験段階を抜け出し、そのまま本番環境に持ち込まれているという厳然たる現実です。
「つまり、脅威の状況は人間の防御担当者ではとても太刀打ちできないスピードで加速しているということです」と同氏は述べています。「攻撃者はすでにマシンのスピードで動いており、人間のスピードで防御しようとしても持続可能ではなく、勝ち目のある戦略とは言えません」。
実際のところ、ほとんどのCISOはサイバーセキュリティ分野におけるAIの明確なROI（投資対効果）が示されるのを待ってはいません。それは、彼らが恐怖を感じているからだと、Contrast SecurityのCISOであるDavid Lindner氏は付け加えます。「攻撃者はすでにAIを使って、より巧妙なフィッシングメールを作成したり、マルウェアを変異させたり、人間のチームではとても太刀打ちできないスピードでコードの欠陥を探し出したりしています」と同氏は述べています。「ビジネスケースが固まるのを待っていたら、それは要するに、自分たちはより緩やかに負けていくつもりだと取締役会に告げているようなものです」。
ROIをめぐる課題
加えて、複数のセキュリティ専門家は、セキュリティ投資のROIを測定することはこれまでも決して容易ではなかったと指摘します。収益を生み出す投資とは異なり、セキュリティ投資がもたらす最大の恩恵とは、データ侵害や業務の中断といった「起こらなかったこと」そのものだからです。同じ攻撃を防ぐために複数の層の対策が組み合わさって寄与している場合、この課題はさらに大きくなります。
セキュリティ投資対効果、いわゆるROSIの測定は昔から難しいとされてきました。なぜなら、これは損失回避を測るものであり、ROIは一般に、収益や節約を生み出すための取り組みを比較・優先順位付けする手段として捉えられているからだと、S&P Global Market Intelligenceのプリンシパルリサーチアナリストを務めるDaniel Kennedy氏は述べています。企業にとってのAI投資のROIをめぐる一般的な議論には価値がある一方、セキュリティに関する議論では特に、従業員が安全にAIを利用できるようにAIそのものをどう保護するか、そしてAIをセキュリティツールやSecOps、例えば生成されたコードのレビューなどにどう組み込むかに焦点を当てるべきだと、Kennedy氏は語ります。
Black Duckのサイバーセキュリティガバナンス責任者であるRonald Lewis氏は、サイバーセキュリティ分野へのAI投資から最大限の価値を引き出す鍵は、「『実現可能なこと』と『現実的に実行できること』の違い」を理解することにあると述べています。「AIはあらゆる問題への答えではありませんし、すべてのユースケースが意味のあるビジネス価値をもたらすわけではありません」。
単に利用可能だからという理由でAIを導入したくなる誘惑には抵抗し、代わりに、成果を明確に改善したり、リスクを低減したり、反復的な手作業をなくしたりできる領域に焦点を絞るべきだと同氏は言います。市場には新たなAI搭載製品が次々と投入されていますが、その中には変革的な価値をもたらすものもあれば、単にコストと複雑さを増やすだけのものもあります。リーダーはこの両者を見極める必要があります。
「勝者となるのは、必ずしも最も速くAIを導入した組織ではなく、最も思慮深くAIを導入した組織です」とLewis氏は述べています。「強固なガバナンス、明確な説明責任、適切な統制、そして測定可能なビジネス成果は、依然として不可欠です」。
