EYは7月29日、最新のグローバル調査レポート「EY Global Cybersecurity Leadership Insights Study 2026（EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2026）」を発表した。同レポートでは、AIの急速な進化によりサイバーリスクの構造が大きく変化する中、企業に求められるレジリエンスの在り方について分析している。
同調査は、128カ国、17業界にわたる840人の経営層およびサイバーセキュリティ責任者を対象に実施された。調査の結果、企業資産の平均36%が、資産の可視性とセキュリティカバレッジの双方が不十分な「脆弱性ゾーン（Vulnerability Zone）」に属していることが明らかになった。
生成AIやエージェンティックAI（自律型AI）の普及により、攻撃者はこれまで以上に迅速に脆弱性を発見し、悪用できるようになっている。その結果、従来のように重要資産のみを重点的に保護するアプローチでは十分ではなく、組織全体に存在する死角や依存関係を含めた包括的なレジリエンスの構築が求められている。
企業資産の3分の1超が「脆弱性ゾーン」に
今回の調査では、サイバーセキュリティ責任者の70%が「最も重大なサイバーリスクは死角に存在する」と回答した。
特に以下の領域において脆弱性ゾーンへの該当割合が高いことが明らかになっている。
OT／物理資産：57%
サードパーティ／エコシステム：49%
AIシステム／ツール：47%
ネットワークインフラ：38%
これらの領域は、企業活動のデジタル化やAI活用の拡大に伴い重要性が高まる一方、可視化やセキュリティ統制が十分に追いついていないことが課題として浮き彫りになっている。
フロンティアAI時代のレジリエンスは「復旧」から「継続的な可視化と対応」へ
多くの企業において、レジリエンスを単なるインシデント復旧能力ではなく、脆弱性の蓄積を継続的に把握し、急速に進化する脅威に見合ったスピードで対応できる体制を整備する能力へと再定義する必要があると指摘している。
また、AIシステムやエージェンティックAIの普及に伴い、人間だけでなくAIエージェントやマシンアイデンティティの管理、サードパーティとの接続管理なども、重要な経営課題になりつつあります。
調査から見えてきた「セキュアクリエイター」に共通する3つの特徴
同調査では、サイバーセキュリティの先進企業群「セキュアクリエイター」が、脆弱性ゾーンの縮小を通じて高いレジリエンスを実現していることが明らかになった。
「セキュアクリエイター」では、脆弱性ゾーンに分類される資産の割合は平均30%にとどまり、その他の企業の42%を大きく下回っています。こうした企業には、以下の3つの共通した特徴が見られる。
① 組織全体の資産や依存関係を可視化している
重要資産だけでなく、AIシステム、サードパーティ、OT／物理資産を含む幅広い領域について可視性を確保し、潜在的なリスクの把握に取り組んでいる。
② サイバーセキュリティを全社的なレジリエンス戦略に統合している
サイバーセキュリティをIT部門だけの課題と捉えるのではなく、事業継続や経営戦略と一体で推進することで、変化するリスクへの対応力を高めている。
③ AI時代を見据えた継続的な改善体制を構築している
技術や脅威の変化に応じて、可視性やセキュリティ統制を継続的に見直し、AIを活用した新たなリスクにも迅速に対応できる体制を整えている。
［i Magazine・IS magazine］
