AIを悪用した脅威の増大から根強いスキル不足まで、セキュリティ責任者たちは、長年の懸案と新たな懸念の両方に対応するため、自らの優先課題を見直しています。
CISOは毎年、攻撃の量、速度、巧妙さが増していく様子を目の当たりにしています。同時に、自社の攻撃対象領域も拡大し、複雑さを増しています。
人工知能（AI）の進歩と、ビジネスにおけるAI利用の急速な拡大も、セキュリティの課題に影響を与えています。新たな攻撃が登場し、攻撃対象領域はAIインフラにまで広がりました。特にエージェント型システムが稼働し始めたことで、ガバナンスやセキュリティ統制の面でも新たな課題や複雑さが生じています。
ISACAの「2026 State of Cybersecurity」調査によると、セキュリティ責任者の68%が、過去5年間で自身の役割のストレスが増したと回答しました。また、CISOの71%が、複雑化する脅威環境を最大のストレス要因に挙げており、2025年の63%から上昇しています。
さらに、Absoluteによる最近の調査では、Mythosクラスの AIモデルの登場を受けて、CISOの50%がこの職業そのものからの撤退を考えていることが明らかになりました。
ますます複雑で過酷になるセキュリティ環境に立ち向かうには、セキュリティ責任者は、自分自身とCISO仲間が今まさに直面している最重要課題を軸に、戦略とチームのスキルを磨き上げなければなりません。
そこで、セキュリティ責任者やサイバー専門家に取材し、CISOが取り組むべき7つの大きな課題を整理するとともに、それぞれへの対処法について知見を聞きました。
1. 侵害の防止――レジリエンスと復旧への重視を強めて
CISOは事業リスクに関する責務やガバナンスの責任をますます担うようになり、守備範囲を広げています。それでも、Siemens USAの最高サイバーセキュリティ責任者であるカイル・マクミラン（Kyle McMillan）氏は、セキュリティ組織のあらゆる業務は今も「侵害を防ぐという文脈の中で位置づけられている」と話します。
マクミラン氏によると、これは途方もなく大変な仕事です。あらゆるCISOに通用する、唯一無二の正しい防御策があるわけではないからです。CISOは、自社固有のリスクプロファイル、IT環境の詳細、脅威環境の全体像、さらには自社の業界特有の脅威まで把握しなければなりません。そのうえで、それらをもとに、利用可能なリソースに見合った独自の防御計画を立てる必要があります。
「しかも、そこには常にトレードオフがつきまといます」とマクミラン氏は付け加えます。
2. 組織固有のニーズに沿ったセキュリティプログラムの主導
CISOが引き続き直面する最大の課題の一つは、自社のプロセス、インフラ、リスクプロファイルを正確に評価し、そのうえで固有のセキュリティ要件に合わせたプログラムを構築することだと、サイバーセキュリティ分野のベテランで、現在はセキュリティ責任者向けの専門教育を提供するCruiseConのCEO兼プログラムディレクターを務めるアイラ・ウィンクラー（Ira Winkler）氏は語ります。
「CISOは一枚岩ではありません」とウィンクラー氏は指摘します。重大な脆弱性へのパッチ適用が追いつかないCISOもいれば、限られた人員と予算で不可欠な業務をこなすのに苦労するCISOもいます。また、自らの役割に戦略的に取り組めていないCISOもいます。
これは突き詰めると、リーダーシップの問題であることが多いといえます。自社の事業に合ったセキュリティ戦略を定め、リソースをうまく管理し、チームが細部まで確実に実行できるようにすること。これらは、セキュリティ責任者が自分自身と右腕となる部下の双方について、引き続き磨くべき重要なリーダーシップスキルです。
ウィンクラー氏によれば、その成果はCISOが整備するシステム、プロセス、統制と、それらが組織全体の変化への対応にどれだけ役立っているかに表れます。
「CISOの質は、日々整備するシステムの質で決まります」と同氏は言います。優れたサイバーセキュリティプログラムは船のようなものだ、という格言のとおり、CISOはどんな問題が起きても前進し、浮き続けられるプログラムを築かなければならないというのです。
「常に何かに対処することになりますし、常に何かが起きています」と同氏は話します。「だからこそ、問題は、ちょっとした波に進路を少しそらされる程度で済む仕組みがあるのか、それとも仕組みがなく、大波のように感じてしまうのか、ということです。優れたCISOは、自分が管理するプロセスを理解し、手持ちのリソースでそれらのプロセスを守れる運用面・技術面のツールがどのようなものかを理解しています」
ウィンクラー氏は、船長が艦橋にいなくても航行できる堅牢な船を築けるCISOこそ、最高の状態にあると語ります。
3. AI時代に向けたサイバーセキュリティの再考
AIを駆使した攻撃の増加に備えるため、CISOはAIを効果的に活用できるセキュリティプログラムを設計しなければなりません。BNSF RailwayのCISOで、初代のTIME + Commvault CISO of the Yearを受賞したアレックス・レヴィ（Alex Levy）氏は、これを現在のセキュリティ責任者にとって最も重大な課題の一つに挙げます。
レヴィ氏が構築しているのは、中程度のスキルのハッカーでもAIを使って高度な攻撃を仕掛けられる世界に向けたセキュリティプログラムです。そうした攻撃は、かつては潤沢なリソースを持つ国家支援の攻撃者だけが作成・実行できるものでした。さらにレヴィ氏は、AIのおかげで驚異的な速さで作成・実行できてしまう攻撃にも、自らのセキュリティプログラムが対応できなければならないと指摘します。
こうした状況は、同氏をはじめとするCISOに、AIを自社のセキュリティ部門に組み込むよう迫っています。AIを活用した攻撃に立ち向かう能力を、速度と規模の両面で高めるためです。それには、ツールを導入することだけでなく、エージェント型AIと協働できるようチームを備えさせることも含まれます。
医療IT企業XiFinのCISO兼最高法務・コンプライアンス責任者であるマーティ・バラック（Marty Barrack）氏は、AIの台頭によってCISOはセキュリティ戦略の全領域を見直すことを迫られていると見ています。
「AIはあまりにも多くの層でセキュリティに影響を及ぼしており、CISOの仕事を非常に難しいものにしています」と、ISACAのEmerging Trends Working Groupのメンバーでもあるバラック氏は話します。「それが、CISOがパッチ適用、サポート終了（EOL）、自動化、ツールの活用、優先順位づけをどう考えるかを大きく左右しています。環境はまったく別物になりました。1年前、2年前、3年前と同じやり方は通用しません。私たちは、あらゆる反復作業について、ビジネスリスクに対処しつつ、どうすれば自動化できるか、あるいはチームの負担を減らせるかを問いかけています」
4. AIの利用とAIインフラの保護
テクノロジー企業AppfireのCISOであるダグ・カーステン（Doug Kersten）氏は、自身が直面するもう一つの重要な課題を指摘します。自社でますます導入が進むAIを、いかに保護するかという課題です。
CISOの大多数が、同じ状況に置かれています。Proofpointの「2026 Voice of the CISO」レポートによると、世界のCISOの78%が、生成AIの利用は自社にとってセキュリティリスクだと考えています。また、88%が、AIアシスタントやコパイロット、自動化技術を安全に利用できるようにすることを、今後2年間の最優先事項の一つに挙げています。
カーステン氏は、自社のAI評議会、最高法務責任者、IT運用責任者、エンジニアリングチームと連携し、経営陣が定めたAIガバナンス方針が組織全体で守られるよう取り組んでいます。あわせて、各部門にAIリードを任命しました。AIリードは同僚にガバナンスについて指導するとともに、部門内で使われる新しいAIツールが、セキュリティ部門の定める承認済みの安全利用基準やガイドラインに収まるよう確認します。
カーステン氏は、無許可のAI利用の監視にも取り組んでいます。これもCISOが大きな問題として挙げる点です。Oktaの「Global CISO Insights 2026」レポートによると、CISOの68%が自社で無許可のAI利用を確認しています。
さらにCISOは、自社のAI運用やAIインフラをどう守るか、戦略を練る必要があります。その中には、AIエージェントの保護と統制という非常に厄介な課題も含まれます。こうして新たに拡大する攻撃対象領域を守るため、CISOの43%がAIセキュリティポスチャ管理（AI-SPM）ツールへの投資を増やすと回答しており、Foundryのセキュリティ優先事項リストで首位となりました。また、CISOの34%は、今後12カ月でチームがより高い専門性を身につけるべき重要分野として、エージェント型AIの保護を挙げています。これはクラウドセキュリティに次ぐ2位です。
5. スキルギャップへの対処――今日と明日のために
専門性といえば、CISOにとってもう一つの最重要課題は、組織を現在も将来も守るために必要なスキルをチームに備えさせることです。
「最初に挙げたい課題は、セキュリティチームが求められるあらゆる業務をこなすスキルと余力を持っているかどうかです。有能なチームを抱えていても、クラウドセキュリティ、AIセキュリティ、リスク評価、新種の攻撃への対応など、特定の分野で深刻なギャップに直面することはあります」と、ISC2のCOOであるケーシー・マークス（Casey Marks）氏は述べます。
同氏が挙げるのは、ISC2の「2025 Cybersecurity Workforce Study」です。この調査では、セキュリティ専門家の95%が、少なくとも1つのサイバーセキュリティスキルが必要だと回答しました。
一方、ISACAの調査では、58%の組織が自社のサイバーセキュリティチームは人員不足だと考えており、2025年の55%から増加しました。また、サイバーセキュリティ責任者は、チーム内のスキルギャップとして、ソフトスキル（57%）、LLM SecOps（45%）、クラウドコンピューティング（31%）、データセキュリティ（31%）、ML SecOps（31%）などを挙げました。
マクミラン氏は、セキュリティ戦略を実行できるのは、必要なスキルを備えた人材がいてこそだと話します。「あらゆる仕事を見事にこなすサイバーセキュリティの『ユニコーン』をずらりと揃えたいところですが、そんな人材は存在しません」と認めます。そこで同氏は、「市場の進化と同じ速さで成長し、発展できる」人材を採用しています。具体的には、確かな技術的素養を持ち、自社と事業内容を理解し、対人スキルに優れた人材です。
マクミラン氏は、スタッフが必要に応じてスキルを高められるよう、人が成長できる環境づくりにも取り組んでいます。「私の日々の業務の大部分は、チームや個人が［学びの］交流や機会を得られる場を作ることに費やされています」と付け加えます。
ISACAの調査によると、チームの構築と維持のために、サイバーセキュリティ責任者の68%が、チームメンバーに専門能力開発の研修を提供している（前年の60%から増加）と回答しました。認定資格の受験料を負担しているのは61%（2025年は54%）、認定資格の維持費用を負担しているのは59%（同52%）でした。
6. 変化の速さに追いつく、俊敏なセキュリティ実務とチームの確立
セキュリティのスピードも、セキュリティ責任者とそのチームにとってもう一つの重要課題です。攻撃の速度、ますます短くなる要求対応時間、急速に変化するIT環境が、セキュリティ担当者にいっそうの迅速さを迫っていると、Tiro SecurityのCISO兼CTOで、ISACAのEmerging Trends Working Groupのメンバーでもあるジェナイ・マリンコビッチ（Jenai Marinkovic）氏は指摘します。
「インシデント対応のプロセス全体が、根底から覆されました」と同氏は言います。「もはや対応に何時間もかけていられません。AIを使った攻撃は5分足らずで起こります。侵入し、環境内で突ける一点を見つけ出し、バックアップされていない場所を特定して、ランサムウェア攻撃を実行できるのです」
バラック氏も、セキュリティがますます速く動き続ける必要があることを、この職業が今日直面する最大の課題の一つに挙げています。
「企業は毎月のように、新しい方針、新しいツール、新しい機能を打ち出し、セキュリティはそれらをすべて検討しなければなりません。イノベーションが非常に多く、ついていくしかありません。それには、個人の覚悟と、適切な優先順位づけのプロセス、そしてチームの熟練した人材が必要です」と同氏は話します。
7. 基本の徹底
AIは、企業のセキュリティチームの運営方法を含め、あらゆるものを変えつつあります。それでもCISOは、セキュリティ機能の土台を成す従来からの基本的な実務を、少しもおろそかにできません。
「目新しいものを追いかけるのは簡単ですし、サイバーセキュリティの世界には常に目新しいものが現れます。しかし、基本原則から外れてはいけません」と、テクノロジー企業GigamonのCISOであるグラント・ヤコメニ（Grant Yacomeni）氏は語ります。「脆弱性管理、ID管理、暗号、サプライチェーン管理、エンドポイント保護。こうした基盤となる基本的な業務は、今も変わらず重要です」
ヤコメニ氏は、サイバーセキュリティにおける昔からの根幹的な原則である「基本の徹底」が難しいことを認めています。「簡単ではありません。サイバーセキュリティは楽な職種ではなく、楽な仕事でもありません」と話します。
基本を確実に押さえるため、ヤコメニ氏は業務の優先順位づけとプロセスの構築に力を入れています。リーン・シックスシグマのスキル（グリーンベルトを保有）を活用して、これらの業務を成功させています。
「私は火消しが好きではありません。単純なことが大ごとになってほしくないのです」と同氏は説明します。「ただ、口で言うのは簡単でも、実行するのは難しい。だから、プロセスと人材の育成が［欠かせません］。そこにいたいと願う、才能と情熱のある人材、そしてプロセス、ポリシー、効果の測定という土台を築かなければなりません。たとえ［セキュリティ機能が］成熟していても、組織も脅威環境も常に変化しています。常に微調整を重ね、時間をかけて改善し続ける必要があります」
