- News
- 共通
フロンティアAIのサイバー攻撃には防御から「レジリエンス」への転換が急務、EYの調査
「企業の資産の36％は、可視化も統制も及ばない『脆弱性ゾーン』にある」--。こんな調査結果が、EYストラテジー・アンド・コンサルティングがまとめた調査の日本語版で明らかになった。フロンティアAI（最先端の人工知能）の進化によってサイバー攻撃の高速化・高度化が進む中、攻撃の被害を前提とした「レジリエンス」への転換が急務になっているという。同社が2026年7月28日にオンラインで開催した記者説明会で、サイバーリスクと企業が採るべき対応策を解説した。
「サイバーセキュリティの世界でフロンティアAI（最先端の人工知能）の進化は、攻撃者・防御者双方に波及している--」--。EYストラテジー・アンド・コンサルティング サイバーセキュリティ共同リーダーを務める小川 真毅 氏はこう切り出す。
あるセキュリティベンダーは最先端のAIモデルを用いて「企業環境から4500万件もの脆弱性を一度に特定した」（小川氏）いう。また、サイバー攻撃の平均的な侵害時間（ブレイクアウトタイム）は29分にまで短縮し、前年比で65％も速くなっているとの調査結果もある。「攻撃側の能力が加速度的に高まる一方で、防御側に残された猶予はほとんどない」と小川氏は危機感を示す。
OTやサードパーティーなど企業資産の36%が「脆弱性ゾーン」に該当
こうした環境変化を踏まえ、EYは2026年3月、17業種・128カ国の経営幹部およびサイバーセキュリティ責任者840人を対象に実施した最新のグローバル調査「EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2026」の日本語版を発表した。回答者は全員、年間売上高10億ドル以上の企業に所属し、うち50％は年間売上高100億ドル以上の企業に所属する。
今回の調査がまず示すキーワードが「脆弱性ゾーン」である。これは、資産の可視性（どこまで把握しているか）と、セキュリティ統制（監視や防御がどれだけ効いているか）という2つの軸で企業の資産を4段階評価し、両方の値が平均を下回る資産を指す考え方だ。
調査では、企業資産の平均36％がこの脆弱性ゾーンに該当することが明らかになった。小川氏は「脆弱性ゾーンにある資産は、攻撃されても、そこから侵入を許してもおかしくない状態にある」と指摘する。
資産カテゴリー別に見ると、脆弱性ゾーンへの該当割合は「OT（Operational Technology：運用・制御技術／物理資産」が57％と突出して高く、「エコシステム／サードパーティー」が49％、「AIシステム／ツール」が47％、「ネットワークインフラ」が38％と続く（図1）。
最も高かったOT資産は従来「ITとは別の体系で管理する歴史が長く、閉域網で運用してきた経緯から、可視化や統制が遅れている」と小川氏は背景を指摘する。サードパーティーやAIツールについても「企業のIT部門の管轄外で部門や個人の利用が広がる『シャドーIT』的な状況が生まれやすく、脆弱性ゾーンに含まれやすい」（同）
可視化そのものにも課題が残る。「資産の80％以上を可視化できている」と回答したのは33％と、全体の3分の1にとどまった。また、サイバーセキュリティ責任者の70％は「最も重大なリスクは死角にある」と回答している。小川氏は「調査対象企業は一定規模以上のため、部門数や従業員数、資産数が多く、グループ会社や買収の影響もあって一元管理が難しいのだろう」と分析した。
先行企業は「防御」から「レジリエンス」へと移行する
サイバー攻撃を「完全に防ぎ切る」ことが難しくなる中で、小川氏が強調したのが「レジリエンス」という考え方の再定義だ。
レジリエンスは“守り”の意味合いで語られることが多いが、小川氏は「攻撃を完全には防げないことを前提とすれば、それは特別な備えではなく、成長施策の一環として日常的に取り組むべき当たり前の機能として捉える必要がある」と強調する。
具体的には、MVE（Minimum Viable Enterprise：企業として最低限維持すべき機能）を定義する。それを脅かすリスクを把握した上で「脆弱性ゾーンに存在する資産があることを前提に、被害を最小化する体制を築く必要がある」（小川氏）という。
調査では、セキュリティ対応が進んだ先行企業群を「セキュアクリエイター」、対応が遅れた企業群を「プローンエンタープライズ」と呼び分けている。脆弱性ゾーンに該当する資産の割合は、セキュアクリエイターが平均30％であるのに対し、プローンエンタープライズは42％と、1.4倍の開きがあった（図2）。
セキュアクリエイターの多くは「CMDB（Configuration Management Database：構成管理データベース）を整備し、資産インベントリを完全かつ最新の状態に保っている」とも回答しており、可視化への継続的な投資がレジリエンスの差につながっている実態が浮かぶ。
小川氏は、CISO（最高情報セキュリティ責任者）が取るべき対応として、（1）資産とIDの継続的な可視化、（2）攻撃対象領域全体のセキュリティカバレッジのギャップ解消、（3）MVEの定義と防御、（4）最新防御技術への投資加速、（5）ID中心のサードパーティーリスク管理への移行、（6）境界領域・ネットワークインフラの防御強化、の6項目を提示した。
特に（5）で挙げたID管理の重要性について小川氏は、AIエージェントの普及を背景に「従業員一人ひとりがエージェントを複数作成すれば、IDの数は一気に何倍にも膨れ上がる。増大するIDに対するアクセス制御が、今後ますます重要になる」と重要性を強調する。
フロンティアAIの進化によって小川氏は「これまで見逃されていた軽微な脆弱性や、忘れられていた資産およびIDが複合的に組み合わさることで、攻撃や侵入が可能になる」と危惧する。そのために組織は「資産やID、そこに内包され得る脆弱性を可視化する取り組みを、あらためて強化する必要がある」と注意をうながす。