昨今、大手企業へのサイバー攻撃が相次ぎ、自社のセキュリティに危機感を抱く経営者が増えている。しかし、具体的に何をすべきか、今の投資で十分なのかを正しく把握できている企業は多くない。

9月9日に開催されたオンラインセミナー「TECH+セミナー セキュリティ 2026 Sep. 変化するリスク環境への解 統合セキュリティの再設計」に登壇した立命館大学 情報理工学部 教授/京都大学博士（工学）の上原哲太郎氏は、その背景にある経営層および情報システム部門における“解像度の低さ”に警鐘を鳴らす。講演で同氏は、AIの急発達によって激変するサイバー攻撃の脅威と、日本企業の構造的な課題、そして経営層が取るべき具体的なアプローチについて解説した。

AIがもたらした脆弱性発見の加速と、直す猶予の消失

上原氏が最初に指摘したのは、高度なAI技術がサイバー攻撃の現場にもたらしたパラダイムシフトだ。AIによるソフトウェアの脆弱性の発見効率は、すでに人間の能力をはるかに超えており、世界的に参照される脆弱性識別子であるCVEの登録件数は、ここ数年で急激に増加している。

特に2026年に入ってからは、その動きが一段と顕著になった。同年春、Anthropicは重要なソフトウェアの脆弱性を先回りで発見・修正する取り組み「Project Glasswing」を立ち上げ、未公開の高性能AI「Claude Mythos Preview」を用いて、Microsoftをはじめとする大手ベンダーに自社ソフトの脆弱性の洗い出しを促した。その探索能力によって各社のソフトで欠陥が次々と見つかり、特定のソフトウェアでは月に数百件もの脆弱性が公表される事態も生じている。脆弱性が減ること自体は望ましいが、当面は対応の嵐が続く見込みで、各社の情報システム担当者はパッチ適用に追われる「パッチストーム」に疲弊しているという。

攻撃の速度もかつてないほど速まっている。脆弱性の公表から攻撃開始までの猶予は急速に失われ、パッチ提供前に悪用が始まるケースも相次いでいる。

さらに、攻撃の「自動化」を超えた「自律化」への移行も進んでいる。AIが自ら脆弱なサイトを見つけ出し、侵入し、情報を盗み出すという一連の工程を自律的に行うようになり、人間には物理的に対応不可能な速度で攻撃が実行されているのだ。

攻撃回数の増加に伴い、ランサムウェアによる被害件数も伸び続けている。現代のサイバー攻撃は、自己顕示欲を満たす愉快犯の時代を過ぎ、高度に組織化された金銭目的の犯罪グループによる一大ビジネスとなっている。

システムが見えなければ、リスクも見えない——アウトソーシング依存が生んだ構造的欠陥

サイバー攻撃が激化する一方で、日本企業にはどのような弱点があるのか。上原氏は、長年の日本型SIerへのアウトソーシングがもたらした弊害を指摘する。

日本ではSIerが情報システムを長く支えてきた結果、「詳しいことはベンダーに任せている」という企業が少なくない。その結果、社内からIT技術や自社の業務ノウハウが失われ、システムがブラックボックス化してしまったのだ。

「自社の情報システムがどう動いているのか、経営層はもちろん、情報システム部門でさえ十分な解像度を持っていないケースが多いのです」（上原氏）

  • 日本企業におけるアウトソーシングの弊害

    日本企業におけるアウトソーシングの弊害

システムの中身が分からなければ、当然ながらセキュリティへの投資が適切かどうかも判断できない。また、運用監視などを多重下請けに委託している場合、インシデント発生時のエスカレーションパスが長くなり、致命的な初動の遅れにつながる。さらには、システムを他社に乗り換えることすら困難になるベンダーロックインの状態に陥っていることも少なくない。

この“解像度の低さ”は、昨今のAIブームにおいても同様の危険をはらんでいる。経営層が「AIを使えば業務が効率化し、売上が上がる」という漠然とした期待だけで導入を推進すると、そこに潜む特有のセキュリティリスクを見落としてしまうのだ。AIを含む情報システムを、便利な道具として扱うのではなく、経営の根幹を左右する重要なインフラとして位置付けることが不可欠である。

リスクマネジメントは「Plan」ではなく「Check」から始めよ

では、経営層は何から着手すべきか。上原氏は、「いきなりセキュリティ対策を立てる話（Plan）から始めるのではなく、自社にあるリスクを正しく評価すること（Check）から始めるべきだ」と提言する。いわば、PDCAサイクルを「C」から回すアプローチである。

「攻撃や情報漏えいを防げ」という抽象的な号令だけでは経営には刺さらない。「どのシステムが止まれば、どのような事業影響が出るのか」「そのようなリスクがどれくらいあるのか」を特定し、分析・評価することが出発点となる。

  • リスク評価のイメージ図

    リスク評価のイメージ図

そして、そのリスクの「被害の大きさ（L）」と「発生確率（P）」をマトリクスで可視化し、経営判断を下す。

  • リスクのマトリクス

    リスクのマトリクス

リスクが許容範囲を超えている場合、経営層は以下の3つの対応から方針を選択する必要がある。

  • 1. リスク低減：技術的・運用的なセキュリティ対策に投資し、被害や発生確率を抑える
  • 2. リスク回避：リスクが高すぎるシステムや業務プロセスそのものを見直す、または停止する
  • 3. リスク移転：サイバー保険などに加入し、被害による財務的影響を第三者に持ってもらう

    • また、セキュリティといえば「機密性（Confidentiality）」ばかりが注目されがちだが、情報が正確であること（完全性：Integrity）や、システムがいつでも使える状態であること（可用性：Availability）も情報セキュリティの重要な3要素（CIA）である。

    特に近年はランサムウェア等によってシステムが停止し、事業継続が脅かされるケースが多発している。経営層は、可用性の確保もセキュリティ対策の一環として認識する必要がある。

    これからの組織に求められる橋渡し人材

    サイバー攻撃の基本構造そのものは、大きく変わっていない。アカウント情報を盗む、ソフトウェアの脆弱性を突く、サポート詐欺やビジネスメール詐欺（BEC）といった詐欺的な手口で侵入する——この枠組みは以前のままだ。変わったのは巧妙さで、AIによって自然な日本語のBECが容易になったほか、AIの挙動を逆手に取るプロンプトインジェクションのような新手の脅威も現れている。

    • サイバー攻撃の基本構造

      サイバー攻撃の基本構造

    したがって、これまでのような脆弱性管理の徹底や認証の強化、バックアップの多重化といった基本対策は今後も継続しなければならない。それに加えてこれからの組織に強く求められるのは、AIとIT、そして自社の業務の3つを深く理解し、セキュリティの観点からリスクを見極められる人材だ。

    「自社の業務でどうAIを使うと危険なのか、どこにリスクがあるのかを判定するには、自社の業務を熟知した内部の人材でなければ対応できません。そうした人材を社内に置き、セキュリティの要を担ってもらうことが、1つの解決策になります」（上原氏）

    経営判断と現場の運用をつなぐために

    サイバーセキュリティは今や企業経営を左右する最重要課題であり、経済産業省の「サイバーセキュリティ経営ガイドライン」でも示されているとおり、経営者の責任において推進すべきものである。

    講演の最後に上原氏は、「情報システムが経営の真ん中に座ってきたにもかかわらず、経営層が関心を持てなかったのは、情報システム部門がリスクや価値を正しく伝えきれなかったという側面もある」と指摘した。

    経営判断と現場の運用をつなぐためには、経営層自らがリーダーシップを発揮し、ITガバナンスを確立することが急務だ。情報システム部門や実務担当者との対話を深め、自社の業務に内在するリスクの“解像度”をともに高めていくことこそが、次世代のサイバー脅威から事業を守るための第一歩となるだろう。