KPMGジャパンは10月19日、国内企業のサイバーセキュリティへの取り組みを調査した「サイバーセキュリティサーベイ2026/27」の速報版を発表した。

調査によると、サイバーインシデントで業務上の影響があった企業のうち、41.4％で経済的損失が発生したという。サイバーセキュリティ推進組織の人員不足を認識している企業は87.4％に上る。生成AIの利用・検討が広がる一方、AIセキュリティの責任体制やAIエージェントのガバナンスにも課題が浮かんだ。

サイバーインシデント経験企業の41.4％で経済的損失

今回の調査は、国内上場企業と売上高1,000億円以上の未上場企業を対象としている。サイバーセキュリティ責任者・担当者から420社の有効回答を得た。調査期間は6月29日～8月12日である。調査方法には郵送とWebアンケートを用いた。

サイバーインシデントによって業務上の影響があった企業のうち、41.4％で自社に経済的損失が発生した。顧客・取引先の個人情報が漏えいした企業は32.3％だった。自社従業員の個人情報が漏えいした企業は31.3％だった。過去1年間の合計損失額では、10億円以上との回答もあった。

  • 図表

攻撃手法では、生成AIが使われる可能性の高い攻撃に増加傾向がみられた。対象にはフィッシングやビジネスメール詐欺が含まれる。ソーシャル・エンジニアリング攻撃や、ディープフェイクを用いた不正な送金指示も該当する。

  • 図表

委託先・取引先を経由した攻撃被害が14.1％で最多

インシデントの発生経路では、「国内の委託先・取引先」を経由した攻撃で業務上の影響があったとの回答が14.1％で最も高かった。前回調査の10.8％から上昇した。

一方、委託先・取引先に対するセキュリティ管理は十分に広がっていない。「委託先に対するセキュリティ指針の整備を実施している」という回答は31.4％だった。「委託先選定時のセキュリティ対策アンケート取得を実施している」は36.6％だった。「システムやサービスを利用した委託先のセキュリティ対策状況の一元管理を実施している」は9.4％にとどまった。

  • 図表

「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は53.1％の企業が参照しており、とくに製造業では60.8％だった。

87.4％がセキュリティ人材の不足を認識

サイバーセキュリティ投資を前年から増加させた企業は56.9％だった。一方、サイバーセキュリティの中期計画を策定していない企業は41.3％に上る。投資拡大と中長期的な計画の策定が必ずしも連動していない状況がみられた。

人材面の課題も大きい。サイバーセキュリティ推進組織の人員について、「おおいに不足している」と「やや不足している」を合わせた割合は87.4％だった。専任人数を0人とした回答も46.9％に上る。

パッチ適用やサイバーBCP、運用面に課題

個別のセキュリティ対策では、ランサムウェアに備えたバックアップ対策や資産管理、脆弱性管理、アイデンティティ/アクセス管理の導入・検討が進んでいる。

一方、資産管理では45.4％が「導入したが、運用の一部に課題がある」と回答した。調査対象となった対策の中では最も高い割合だった。

緊急度が高い脆弱性へのパッチ適用について、「公開から1週間以内」と「公開から1カ月以内」を合わせた割合は52.1％だった。

ゼロトラスト原則に基づくアクセス制御は、導入済みまたは導入検討中の企業が82.3％だった。その一方で、サイバーBCPを策定済みの企業は28.7％。経営層を対象に含めた訓練を実施する企業は21.8％にとどまった。

生成AIの利用・検討は96.6％、AIセキュリティの責任体制に遅れ

生成AIは96.6％の企業が利用または検討していた。AIエージェント・自律型AIでは47.9％だった。AIの主な活用方法では、「社内利用のみでAIを活用している」が67.4％で最多だった。

AI活用の広がりに対し、セキュリティ面の責任体制には課題がみられた。AIセキュリティに関する明確な責任者を定義している企業は26.8％だった。「明確な責任者・オーナーは定めていない」と回答した企業は38.2％に上った。

管理・推進体制では、IT/情報セキュリティ部門が中心となる企業が64.2％を占めた。一方、全社横断の委員会やCoEが存在する企業は12.5％だった。

AIエージェントのガバナンス、61.2％が必要性を認識するも未整備

AIエージェント・自律型AIのガバナンスを全社的または一部のユースケースで整備している企業は29.9％だった。一方、61.2％は必要性を認識しながらも未整備と回答した。

利用状況の把握にも課題がある。AIエージェント・自律型AIを利用している企業では、「各部門・各プロジェクトが個別に導入・管理しており、全社的な把握はできていない」との回答が23.0％で最多だった。

セキュリティ業務そのものへのAI活用には期待も集まっている。「アラート要約・トリアージ、インシデント調査ガイド・推奨対応の自動提示」に期待する企業は81.7％だった。運用業務の効率化に加え、専門的な分析や人材育成への活用にも期待が寄せられている。

KPMGジャパンは今回の速報版に続き、調査結果に解説を加えた詳細版の「サイバーセキュリティサーベイ2026/27」を発表する予定だ。