企業資産の36%が「脆弱性ゾーン」に、EYが指摘するフロンティアAI時代のサイバーリスク

EY Japanは7月29日、オンラインで最新グローバル調査レポート「EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2026」に関する説明会を開催。企業のCISO(最高情報セキュリティ責任者)に向けて、EYストラテジー・アンド・コンサルティングテクノロジーコンサルティングサイバーセキュリティ共同リーダーパートナーの小川真毅氏がフロンティアAIによるセキュリティの影響や、取るべき対応などについて解説した。

フロンティアAI時代に浮上する「脆弱性ゾーン」とは

同レポートは、EYが2026年3月に実施した調査を基に、組織における攻撃対象領域の可視性やサイバーセキュリティ対策の状況、レジリエンス構築に向けた課題を分析したものだ。年間売上高10億ドル以上の企業に所属する、128カ国・17業界の840人の経営幹部・サイバーセキュリティ責任者を対象に調査し、フロンティアAIモデルが脆弱性の発見や悪用に利用され得ることへの懸念が高まるなか、企業の攻撃対象領域に潜むリスクへの関心が高まっている。

そのため、企業では資産の脆弱性を評価する必要があり、レポートでは可視性とセキュリティ対策が不十分な攻撃対象領域(アタックサーフェス)を特定している。調査の背景として、小川氏は以下のように警鐘を鳴らす。

「昨今におけるフロンティアAIの浸透に伴うサイバーセキュリティ上の影響が取りざたされている。CrowdStrikeの調査では、当社のグローバル顧客の環境で4500万の脆弱性が特定されたほか、サイバー犯罪の平均的なブレイクアウトタイムは29分で前年比で65%短縮している。いま、サイバーセキュリティの世界は大きな転換点を迎えている」(小川氏)

EYストラテジー・アンド・コンサルティングテクノロジーコンサルティングサイバーセキュリティ共同リーダーパートナーの小川真毅氏

今回のキーワードは「脆弱性ゾーン」だ。これは組織内の資産のうち、可視性とサイバーセキュリティ対策が十分でない領域を把握するためにEYが定義したフレームワーク。今回のレポートでは36%の企業資産が脆弱性ゾーンに該当したという。

「脆弱性ゾーン」の概要

脆弱性ゾーンに入りやすい4つの領域

こうした状況において、まず、小川氏が取り組むべきこととして挙げたのが「脆弱性ゾーン特定」だ。

脆弱性ゾーンの特定は可視性が最も低く、サイバーセキュリティ統制が最も弱い資産を特定する。企業は、クラウド、データ、AIシステム・ツール、ネットワークインフラ、エコシステム、AI以外のデジタル領域、OT／物理資産など、複数の領域を同時に運用している。

小川氏は、その中でも順に「OT/物理資産」「エコシステム」「AIシステム・ツール」「ネットワークインフラ」が脆弱性ゾーンに該当する可能性が高いと指摘する。OT/物理資産は従来、サイバーセキュリティの管轄外として扱われることが多かったが、フィジカルAIの普及に伴い、サイバー攻撃から保護する取り組みを主導する役割がCISOに求められるという。

取引先や外部パートナーを含むエコシステムでは、組織内部のネットワークやシステム環境への常時接続、管理者権限を伴うアクセスなどにより、攻撃対象領域が拡大しやすい。さらに、エージェント型AIの活用が進むことで、こうした傾向は一層強まるとのことだ。

AIシステム・ツールはシャドー利用や把握されていないデータの流れ、自律的なアクションなど可視性に課題を抱えている。そのため、一貫したセキュリティ統制に加え、テスト、監視、ガバナンスの整備が欠かせない。

ネットワークインフラに関しては、国家支援型の攻撃者が境界領域のネットワーク機器を侵入の踏み台として狙うケースが増え、このような機器は独自のファームウェアの使用やパッチ適用サイクルが長いなどの特徴があり、フロンティアAIを悪用した脅威に対して脆弱になりやすい。

「OT/物理資産」「エコシステム」「AIシステム・ツール」「ネットワークインフラ」が脆弱性ゾーンに該当する可能性が高いという

資産の可視化不足がレジリエンス強化の壁に

一方、セキュリティ責任者が組織内の資産をすべて把握しているかといえば、そうではない。実際、レポートでは資産の80%以上を完全に可視化できていると回答したのは3分の1にとどまり、すべての資産が完全・最新状態の企業は半数未満となっている。

多くの企業で可視性のギャップが存在する

背景について小川氏は「調査した企業は従業員、部門、資産が多く、一元的な管理の難しさがある。そうした環境において資産を可視化するための方針を示す必要があるが、課題も多い」と話す。具体的な課題としては、依存関係の複雑化やリソース上の制約、資産データのガバナンス、ハイブリッド・マルチクラウド環境への分散、管理体制の分散化などがある。

では、企業はどのような取り組みを進めるべきなのか。小川氏は「サイバー攻撃を完全に防ぐことは難しいという前提に立ち、将来的に起こり得る大きな変化に対応するため、攻めと守りの両面でレジリエンスを構築する必要がある」と強調した。

レジリエンスは、環境変化や混乱に直面しても企業が戦略を適応させて自社が果たすべき中核的な役割を維持する能力と定義されている。特に小川氏がレジリエンスの確保にあたり、指摘したものが「ID/SaaSプロバイダーに起因するサイバーセキュリティリスク管理」だ。

レポートでは、サプライチェーンで発生したインシデントを迅速に検知できると確信している回答者は半数にとどまっている。そのため、企業では継続的な管理やID中心の管理、最小権限にもとづくアクセス管理、監視・保証・実行時のセキュリティ統制の連携をはじめ、取引先や外部パートナーとのかかわり方を見直す必要があるという。

レジリエンスの確保にはID/SaaSプロバイダーに起因するセキュリティリスクの管理が不可欠となっている

CISOが取るべき6つの対応、継続的な可視化とID管理が鍵

そして、脆弱性ゾーンの特定とレジリエンスの構築に向けて、CISOが取るべき対応として以下の6つを挙げている。

1. 企業全体の資産とIDを継続的に可視化する

企業全体の攻撃対象領域をリアルタイムで把握できる体制を整備する。対象はIT資産だけでなく、OTやAIシステム、外部パートナー環境まで広げる必要がある。

2. 攻撃対象領域全体における基本的なセキュリティ対策不足を解消する

基本的なセキュリティ統制を徹底するとともに、ネットワーク機器やエッジデバイスにも一貫した監視・管理を適用する。外部と接続する資産も継続的に可視化しなければならない。

3. 組織として最低限維持すべき重要機能(MVE)を定義・保護し、レジリエンスを強化する

事業継続に必要なサービスや資産、依存関係を明確化し、混乱時でも重要機能を維持できる体制を整備するほか、演習を通じて実効性を検証することが重要。

4. 最新のサイバー防御への投資を加速する

フロンティアAIを活用して脆弱性の発見や優先順位付けを高度化する。脅威の検知から対応までを自動化し、SOCの変革を進める必要がある。

5. サードパーティの管理を継続的かつID中心のアプローチに移行する

取引先や外部パートナーによるアクセスを継続的に監視し、最小権限の原則を徹底する。SaaSなどとの接続も含めて、IDを軸とした管理体制への移行が求められる。

6. 企業レジリエンスの観点から境界領域とネットワークインフラのセキュリティを優先する

ネットワーク機器の可視性向上とパッチ管理、監視を強化する。暗黙の信頼を前提とした境界防御から脱却し、ネットワークインフラをレジリエンス戦略の中核として位置付けるべきだ。

CISOが取るべき対策(1)

CISOが取るべき対策(2)

フロンティアAIの進化により、サイバー攻撃は高度化するだけでなく、従来は見過ごされてきた資産やID、外部パートナーとの接続領域までリスクとして顕在化しつつある。こうした環境では、重要資産だけを守る従来型の対策では十分とはいえない。企業には、攻撃対象領域を継続的に可視化し、脆弱性ゾーンを縮小するとともに、事業継続を前提としたレジリエンスを全社的に高める取り組みが求められる。CISOの役割も、防御の責任者から、経営と一体でリスクに備える戦略的リーダーへと変わりつつある。