侵害後にサイバー予算を増やす企業は49％にとどまる

組織が侵害後にのみサイバーセキュリティ投資を増やすという長年の常識が打撃を受けている。

IBMの最新の年次「データ侵害のコスト」調査によると、侵害後にセキュリティ投資を計画していると答えた世界の組織の割合が大幅に減少し、2025年は49％となり、2024年の63％から減少した。

CSOが意見を求めた専門家の間でも、侵害後の支出減少が「愚かなこと」なのか、それとも反応的な支出が効果的でないという認識の高まりを反映しているのか、意見が分かれた。

「歴史的に、侵害をきっかけとした投資は取締役会にとって警鐘となってきましたが、最新データでは疲労感が現れています」とクラウドセキュリティ企業UpwindのCEO、Amiram Shachar氏は語る。「反応的な侵害後の支出は、効果的でも持続可能でもありません。」

Shachar氏はさらにこう付け加える。「クラウド上のワークロードが拡大するにつれて成熟する継続的かつ積極的なセキュリティプログラムは、設定レイヤーの保護からランタイムレイヤーでのワークロード保護まで、カバレッジを継続的に拡大し、侵害の可能性を減らし、はるかに大きな効果をもたらします。」

Market-Proven AIの創業者Aaron Perkins氏は、企業はある閾値に達すると、追加のサイバーセキュリティ支出が必ずしもリスク低減に比例しないことに気付き始めていると主張する。

「侵害を経験した組織は、反応的な支出から計算されたリスク管理へとシフトしており、単にレイヤーを追加するのではなく、既存の投資の最適化に注力しています」とPerkins氏は語る。「これは『どんなコストを払ってもセキュリティを』という考え方から、より成熟し、ROIを重視した意思決定への組織的な成熟を反映しています。」

セントルイスのUniversity of Health Sciences and PharmacyのCIO兼CISO、Zach Lewis氏は、IBMの数字について、侵害が以前ほど緊急性を喚起しなくなっているため驚くことではないとCSOに語っている。

「あまりにも多くの企業が[侵害を]ビジネスを行う上で避けられないコストとして片付けてしまい、そのまま進んでしまいます」とLewis氏は語る。「問題は、攻撃者がますます賢く、速くなっていることであり、特に彼らに追いつけるツールで防御を更新しなければ、次の攻撃のためにドアを大きく開けていることになるのです。」

さらに、ここ数年にわたる取締役会レベルでのサイバーセキュリティ重視を考えると、侵害後の予算問題は取締役会にもプレッシャーを与える。

「侵害後にセキュリティ支出を増やすには、経営陣がそもそも投資不足であったことを認める必要があります」と、マネージド検知・対応ベンダーExpelのアドバイザリーCISO、Jason Rebholz氏は語る。

リスク移転

より多くのセキュリティリーダーが、リスクを軽減するのではなくサイバー保険によってリスクを移転することを選択しており、これはセキュリティ侵害への対応を変えるビジネス上の意思決定となっている。

「侵害後の支出減少は、企業の考え方が分かれていることを示しています。サイバー保険に頼って影響を吸収しようとする企業もあれば、NIST CSF（サイバーセキュリティフレームワーク）などの枠組みで既にレジリエンスを構築している企業もあります。その場合、侵害は新たな投資ではなく、教訓や微調整につながります」と再保険会社Fortitude ReのCISO、Elliott Franklin氏は語る。

複雑性と壊れたプロセス

データ復旧ベンダーCrashPlanのCISO、Todd Thorsen氏は、一部の侵害被害者は、十分な投資不足よりもIT環境の複雑性によるリスクの方が大きかったと結論付けるかもしれないと述べている。

「複雑性は、セキュリティへの投資不足と同じくらい大きな問題になり得ます。重複するシステム、管理不十分な統合、使われていないソフトウェアなどです」と彼は語る。「これにより、一部の組織は侵害後に環境を簡素化し、適切なツール、最適化、統合に注力するようになるかもしれません。」

Mark Wojtasiak氏（Vectra AIプロダクトリサーチ＆戦略担当VP）は、侵害後の投資意欲の低下は、サイバーセキュリティ専門家の間でより広範な考え方の変化を示唆していると主張する。

「多くのセキュリティリーダーは現在、侵害を『もっと買うべき』というサインではなく、壊れたプロセスやガバナンスのギャップ、活用されていない能力の指標と見なしています」と彼は語る。「その結果、新たな予算を求めるのではなく、既存の技術やパートナーの活用方法の改善に注力しています。」

他の専門家たちは、侵害を受けた企業が侵害後にサイバーセキュリティ改善への投資を控える傾向にあるという見方に対し、はるかに悲観的だった。

AJ Thompson氏（Northdoorの最高商務責任者、IBM世界セキュリティ諮問委員会メンバー）は、この調査結果を「憂慮すべきもの」と表現した。

「組織が侵害されたという事実は、すでに悪用可能な脆弱性が存在することを意味しており、これに対してセキュリティ強化で対応しないのは愚かなことです」とThompson氏は語る。

AI主導のセキュリティ強化への注目は限定的

IBMの報告書のもう一つの重要な発見によれば、侵害後に投資を計画している企業のうち、AI主導のセキュリティソリューションやサービスに注力するのは半数未満である。

「AI主導のソリューションへの注目が限定的なのは驚きです。AIや生成AIが脅威の状況を大きく変えているにもかかわらず」とUpwindのShachar氏は語る。「組織は、データ漏洩、敵対的操作、無許可のモデルアクセスなどのリスクからAIワークロードを守るツールが必要です。これらは従来の防御策では対応できないギャップです。」

Fortitude ReのFranklin氏は次のように付け加える。「AIにも役割はありますが、プロセスの失敗を解決するものではありません。ガバナンスの強化と基本の自動化が、より賢明な道です。」