オピニオン
メリアム・ウェブスターの辞書編纂者は毎年、新しい単語や新たな語義を辞書に正式に追加しています。その過程は非常に興味深く、詳しくはこちらで紹介されています。2009年には、当時Twitterと呼ばれていたマイクロブログサイトでの投稿を指す「tweet」の新しい用法が加わりました。2010年には、アプリケーションソフトウェアを意味する「app」が追加されました。そして2025年には、生成AIで大量に作られたコンテンツを指す「AI slop」を含めるよう、「slop」の語義が修正されました。言葉と用法の変遷を眺めると、その時代の空気が見えてきます。
2026年のサイバーセキュリティを振り返ったとき、今年の言葉は何になるでしょうか。間違いなく「vulnerability(脆弱性)」、またはその複数形の「vulnerabilities」です。RSAC 2026を思い返してみてください。カンファレンス後の大方の見方は、業界は似たような製品や主張の海でもがいており、サイバーセキュリティは成熟市場として統合とコモディティ化が進み、コストセンターとして管理されていく、というものでした。
ところが2026年4月7日、AnthropicのClaude Mythosが公表されると、「vulnerability」という言葉は、CEOから評論家、セキュリティ研究者まで、あらゆる人々の話題になりました。業界は恐怖・不確実性・疑念(FUD)を煽るキャンペーンに突入し、「vulnpocalypse(脆弱性による終末)」まで宣言される事態になりました。議論は突如として、露見する可能性のある脆弱性の膨大な数と、大規模に発生するかもしれない攻撃へと移ったのです。業界は脆弱性の量とリスクを混同しており、この混乱がサイバーセキュリティ専門家の信頼性を損なっています。
それから6カ月がたちましたが、報告された脆弱性の数が過去最多を記録しても、世界は今も立っています。9月中旬、CISAは、公開された共通脆弱性識別子(CVE)が6万7000件を超えたと発表しました。2026年末には新たに9万6000件の脆弱性が出そろうと予測しています。
脆弱性は常に私たちとともにある
現実には、人間が作ったあらゆるものに脆弱性は常に存在してきました。これからも存在し続けます。脆弱性が存在するからといって、それがリスクになるとは限りません。リスクとなるのは、脅威によって脆弱性が突かれたときです。脅威の形は、サイバー攻撃、ヒューマンエラー、自然災害のいずれもあり得ます。
確かに、エージェント型AIのおかげで脆弱性はより素早く発見されるようになりました。しかし、脆弱性が存在するからといって、必ず修正しなければならないのでしょうか。いいえ、まったくそうではありません。発見は悪用ではなく、悪用は影響ではないのです。取締役会への報告が「未対応の脆弱性が1万5000件あります」から「売上の75%を支える3つのシステムで、リスクにさらされる部分を減らしました」に変わったら、CISOの信頼性と評判がどれほど高まるか想像してみてください。これこそがリーダーシップ、ビジネスとの連携、そしてレジリエンスと成果への focus を示す言葉です。
vulnpocalypseが引き起こした恐怖に火をつけたのは最先端のAI企業で、サイバーセキュリティ企業もそれに追随しました。いまやサイバーセキュリティコミュニティが、FUDから脱却してリーダーシップを示すときです。ベンダー、セキュリティチーム、メディア、アナリストを含むサイバーセキュリティ業界全体が、この分野を守るために足並みをそろえて行動する必要があります。つまり、誇大宣伝を疑うということです。私たちは皆、事業を守るためのサイバーセキュリティの確保に注力しなければなりません。これこそ、私たちが数十年かけて築いてきた理想です。AIは脆弱性発見のスピードを高めます。それは強力な力です。ただし、最終的な目標は、事業への影響に基づいて修正の優先順位を決めることです。
業界はこれまでも、規律ある修正戦略、コミュニケーション、期待値の設定によってリスクを乗り越えてきました。2000年問題(Y2K)と、適時かつ効果的な修正の裏にあった厳格さを思い出してください。Y2Kは決してデマではなく、優先順位付けと事業への影響に関するコミュニケーションがあったからこそ成功しました。業界として、信頼性、コミュニケーション、明確さを軸に先導していかなければなりません。
イノベーションが脆弱性の修正を加速する
この分野を守るという精神のもと、既存のサイバーセキュリティベンダーからは、脆弱性の修正を加速し、修正の指針を示し、事業への影響を評価するイノベーションが生まれています。AI時代に向けたソリューションの開発を目的とした資金を得て、新興ベンダーも市場に参入しています。Omdiaの最近の調査では、87%の組織がAI時代に向けて作られた新しいツールを求めていることが分かっています。
セキュリティチームは、この機会を捉え、脆弱性を数え上げて一覧にする仕事ではなく、成果を生み出す仕事を担う存在として自らを位置づけるべきです。経営幹部や取締役会との対話も、脆弱性という戦術的な懸念から、リスク管理とサイバーレジリエンスという本来の経営課題へと切り替えましょう。
サイバーレジリエンスの高い組織をつくるには、3つの要素が必要です。1つ目は、セキュリティチームと事業部門が足並みをそろえること。2つ目は、防御と攻撃の両面のセキュリティ戦略にAIを組み込むこと。3つ目は、IT環境が不測の停止に陥った場合に備え、すべての関係者が結束し、それぞれの役割を理解することです。
今こそ、サイバーセキュリティ業界が確信を持って先導し、成果を出し、サイバーレジリエンスを重視するときです。
2026年の言葉は「vulnerability」かもしれません。戦略的に考え、2027年の言葉を「resilience(レジリエンス)」にしましょう。
