売上10億ドル超の企業、重大な脆弱性を未修正のまま放置する確率は2倍以上

新たな調査によると、売上高が10億ドルを超える企業は、2億5,000万ドル未満の企業と比べて、深刻度が「高」または「重大」の脆弱性を承知のうえで未修正のまま放置する確率が2倍以上高いことがわかりました。

ソフトウェアサプライチェーンのセキュリティ企業Chainguardは、10月14日に開催したイベント「Assemble London」で、調査結果を発表しました。それによると、売上高10億ドル以上の企業に勤めるセキュリティリーダーの66%が、深刻度「高」または「重大」の脆弱性を「少なくとも時々は」未修正のまま放置していると認めました。一方、売上高2億5,000万ドル未満の企業では、同じ回答をした人は27%でした。

Chainguardは、パッチ適用を妨げる障壁が大企業と小規模企業で異なる点も指摘しています。大企業では、収益を生む業務が優先されること（46%）や、パッチ適用が業務への支障になりすぎること（48%）など、ビジネス上のトレードオフが主な障壁として挙げられました。これに対し、小規模企業では、パッチのテストが難しいこと（59%）といった対応能力の制約が最大の課題となっています。

こうした課題への対応として、回答者の51%が脆弱性対応に人員を再配置し、40%がセキュリティ担当者を追加採用、39%がエンジニアリング担当者を増員したと答えました。

脆弱性リスクへの取り組み方では、このほかにも、セキュアバイデフォルトなソフトウェアコンポーネントの採用（50%）、サードパーティ依存の削減（47%）、スキャン頻度の引き上げ（42%）といった変化が見られます。

AIがセキュリティ運用を変えている

企業の規模を問わず、AIが脆弱性とパッチ適用の状況に変革をもたらしているとの認識は一致していました。10人中9人（91%）が、AIによって加速された攻撃が、過去10年間のどの要因よりも自らの仕事を変えたと回答しています。

また、半数を超える回答者が、AIを活用した脆弱性の発見が1年以内に自社チームの対応能力を日常的に上回ると予想しています。

さらに、Chainguardが調査した人のほぼ全員（93%）が、自社はAI駆動のエクスプロイトに十分な速さで対処できないと懸念を示しました。同じ割合の回答者が、AIで加速する脅威への対応について、経営幹部はもっと強い切迫感を示すべきだと考えています。

AIによる脅威は燃え尽き症候群の一因にもなっています。セキュリティリーダーの64%が、過去1年間にAIで加速された攻撃が自身の燃え尽きに中程度または大きく影響したと答えました。ほぼ全員（96%）が、セキュリティチームの燃え尽きはAI脅威に対する組織の防御力に何らかの影響を与えると回答しており、54%はその影響が中程度または深刻だと述べています。

AI駆動の脅威への防御に対する支出は続いており、回答者の70%が、この目的の予算確保は容易だと答えました。しかし、39%は導入に至っていないツールを購入しており、自社のツールを「非常に効果的」と評価したのは22%にとどまります。

ツールを非常に効果的だと考える層でも、77%は今後1年以内にエクスプロイトの被害に遭うと予想しています。48%近くは、こうした投資でも取締役会や経営陣が期待する水準の防御には届かないと述べています。

この調査はChainguardの依頼で、Wakefield Researchが2026年9月にオンラインで実施しました。対象は、複数の業界にまたがる10市場（ブラジル、フランス、ドイツ、日本、メキシコ、UAE、英国、米国、サウジアラビア、シンガポール）のサイバーセキュリティリーダー1,300人です。回答者は全員ディレクター以上の職位にあり、従業員500人以上の企業に勤務しています（シンガポール、UAE、サウジアラビアのみ、下限は従業員250人）。