Splunk Services Japanは3月25日、グローバルにおけるCISO(最高情報セキュリティ責任者)を対象とした年次調査報告書「CISOレポート:AI時代におけるリスクからレジリエンスへ(The CISO Report: From Risk to Resilience in the AI Era)」を発表した。同レポートでは、CISOの急速に拡大する役割、AI採用に対する戦略的アプローチ、複雑化する脅威環境において人材育成を重視する姿勢が浮き彫りになったという。

AIを活用するも慎重な姿勢

調査はOxford Economicsが2025年7月から8月にかけて、世界9カ国(オーストラリア、フランス、ドイツ、インド、日本、ニュージーランド、シンガポール、英国、米国)のCISO 650人を対象に実施し、対象業界は製造、金融、公共、ヘルスケアなど9つの主要産業。

これによると、CISOの95%が「脅威アクターの能力高度化」を最大のリスクと指摘しており、優先事項として92%が「脅威の検出と対応能力の向上」を挙げ、次いで「アイデンティティ/アクセス管理の強化」(78%)、「AIサイバーセキュリティ機能への投資」(68%)となった。

また、92%のCISOが「AIによってチームがより多くのセキュリティイベントを確認できるようになった」と回答しているほか、89%が「AIの活用によって複数のソースのデータを相関付ける能力が向上した」と報告している。

エージェンティックAIを部分的または完全に導入しているCISOの39%が「チームの報告速度が2倍以上に向上した」としており、これは検討段階のCISO(18%)の2倍以上にのぼるという。加えて、82%のCISOが「エージェンティックAIによってレビューされるデータ量が増える」と予測し、同じく82%が「相関付けと対応速度が向上する」と回答。

一方で、86%が「エージェンティックAIによるソーシャルエンジニアリング攻撃の巧妙化」を懸念し、82%が「攻撃の展開速度や持続性の複雑化」を危惧。しかし最終的には、高度な脅威に対抗し、大きなビジネスメリットをもたらすためにAIは不可欠であると結論付けている。

CISOの職務権限が拡大

さらに、CISOの約8割(79%)が「役割が著しく複雑になった」と報告していることに加え、セキュリティインシデントに対する「個人の法的責任」を懸念するCISOは4分の3以上に達し、昨年の約半数から急増。現在、ほぼすべての回答者が「AIガバナンスとリスク管理」を職務に含めており、8割以上(85%)が「安全なソフトウェア開発(DevSecOps)」も監督している。

AIが台頭する中でも、CISOはスキルギャップを埋めるために人的資本を最優先し、主な戦略は現職スタッフのスキル向上、新規正社員の採用、契約社員の雇用だ。これは、特に脅威ハンティングのような機微な判断を要する業務において、人間の知性と創造性が依然として有効なツールであるという信念を反映しているとのこと。

サイバーセキュリティで成果を上げるには、責任の共有が不可欠であり、共同責任は主要なセキュリティイニシアチブ(62%)、セキュリティ予算/資金の確保(55%)、セキュリティ関連データへのアクセス(49%)において高い価値を生み出し、経営層間の連携がレジリエンスを強化する要因となっている。

セキュリティチームの約3分の2が中程度から重度の燃え尽き症候群を経験

そのほか、レポートではセキュリティチームの約3分の2が中程度から重度の燃え尽き症候群を経験しているという課題も明らかになった。主なストレス要因は大量のアラート(98%)、誤検知アラート(94%)、ツール疲労(79%)となり、これらの課題に対処するためCISOはセキュリティデータを単一のビューに統合し、技術的な詳細をビジネス上の重要課題として経営層に分かりやすく伝えるようにしている。

しかし、部門横断的なデータ共有を改善するうえでの課題も依然として存在しており、主な障壁としてデータプライバシーへの懸念(91%)、高額なストレージコスト(76%)、共有可能な統合データビューの不足(70%)を挙げている。

また、CISOはサイバーセキュリティの価値を具体的なビジネス成果に変換することに注力し、ROI(投資対効果)を伝える指標としては、インシデント削減数、MTTD(平均検出時間)の短縮、MTTR(平均応答時間)の改善がある。特に、予算編成や重要施策において経営幹部層との連携が成功の鍵だという。

レポートは、CISOの役割が戦略的リーダーへと進化していることを示しており、データ主導の戦略を推進して人材を中心としたリーダーシップを育成し、AIを慎重かつ効果的に統合することで、複雑化する課題を乗り越えているという。