CISOの5人に1人、パッチチューズデーを避けるために休暇や病欠を取得

サイバーセキュリティ責任者の5人に1人が、パッチチューズデーを避けるために病欠の連絡を入れたり、意図的に休暇を取得したりしていたことが、Socuraの新たな調査データで明らかになりました。

MDR（マネージド検知・対応）サービスを手がける同社は、AIに対する姿勢と、Microsoftやアドビなどのベンダーが最新のセキュリティ更新プログラムを公開する月1回の定例日について理解を深めるため、英国のCSO、CISO、IT セキュリティ責任者500人を対象に調査を実施しました。

最も多かった回答は、パッチ適用サイクルに対応するために残業したというもので、41%に上りました。パッチを展開するために遅くまで働いたと答えた人も3分の1強（37%）いました。その一方で、22%という無視できない割合の人が、この日そのものを回避しようとしたと回答しています。

Socuraは、パッチの増加とストレスレベルの上昇が原因だと指摘しています。回答者の4分の1強（29%）は、パッチチューズデーの前夜に「強い不安」を感じると答えました。同じ割合の人が、その週は同僚や家族に対してよりいら立ちやすくなることも認めています。

CISOのストレスに関する関連記事：仕事の満足度が低下する中、CISOに人材定着に向けたイノベーションを促す声

SocuraのCEO、アンドリュー・ケイズ（Andrew Kays）氏は、次のように指摘しています。「会計士には確定申告の期限に対応してもらいたいと思うでしょうし、弁護士には裁判の日に出廷してもらいたいと思うはずです。サイバーセキュリティ責任者が、最も重要な業務日にあえて職場を避けるという事実は、この業界のストレスや燃え尽きが不健全な水準にあることを如実に物語っています」

AIを活用した脆弱性調査によって、ベンダーがソフトウェアの欠陥をより大量に発見できるようになったことで、業務負荷は増大しています。Microsoftは2026年9月のパッチチューズデーで、過去最多となる974件のCVEを修正しました。わずか2か月前に記録した570件という過去最多記録を塗り替えた形です。

比較として、2025年1年間に公開された脆弱性は1130件にとどまります。

今回のデータは、CISOのストレスレベルに関するこれまでの報告とも一致します。2026年3月には、Seemplicityのレポートで明らかになったところによると、サイバーセキュリティ責任者の45%が週11時間以上（1日分に相当）の追加労働をしており、20%は週16時間以上も余分に働いています。

さらに5分の2（43%）は、休暇を取ると復帰後に大きなストレスを抱えることになるため、休みを取れないと答えました。

ケイズ氏は次のように述べています。「パッチチューズデーにはセキュリティチームに十分なリソースを確保し、サイバーセキュリティ従事者を精神面、技術面、経済面でしっかり支えることが不可欠です。これは大変な仕事ですが、ほとんどの人は好きだからこそ続けています。その思いが忘れられたり、悪用されたりしてはなりません」

AIが助けになる面も

CISOにとって朗報なのは、AIが業務の特定の側面でストレスを軽減できる可能性もあることです。

回答者の5分の2（40%）は、AIが日常的な作業を自動化し、その結果チームがより戦略的な業務に集中できるようになると、Socuraに回答しました。

同程度の割合（37%）が、AIによって、現在進行中の脅威から自社の中核となるインフラをより適切に守れるようになっていると答えています。