Sophosの調査レポート「Cybersecurity trust reality 2026」によると、信頼性を評価する難しさもユーザー企業の不安を増幅させる一因だ。回答者の51％は、ユーザー企業とセキュリティベンダー間の信頼不足がサイバー攻撃のリスクを増大させると答えた。信頼関係が築けていない場合、セキュリティベンダーに十分頼ることができないユーザー企業は、自前で監査や管理を推進することになる。安心感は低下し、費用がかさむ恐れもある。しかし、「セキュリティベンダーの切り替えに踏み切る」と答えたユーザー企業は半数未満にとどまった。

　ユーザー企業とセキュリティベンダー間の信頼関係構築のために打つ手はあるのか。調査結果によると、ユーザー企業は、セキュリティベンダーの信頼性を判断するために「検証可能な証拠」を求めているという。しかし、実際に提供される情報は曖昧で、製品比較や主張の検証、実効性の判断が難しいという指摘があった。

　SophosのCISO（最高情報セキュリティ責任者）ロス・マッカーシャー氏は「信頼は抽象的な概念ではなく、測定可能なリスク要因だ。セキュリティ成熟度や透明性、インシデント対応を独立して検証できなければ、その不確実性は経営判断に直結する」と述べる。さらに「信頼は前提ではなく証明されるべきものであり、透明性や説明責任、第三者による検証を通じて継続的に築く必要がある」と強調する。

　背景には人工知能（AI）の急速な普及とサイバー攻撃の高度化がある。加えて、規制強化の流れも信頼の重要性を高めている。IDCのガバナンス、リスク、コンプライアンスソリューション担当リサーチディレクター、フィル・ハリス氏は「信頼はマーケティング要素から、コンプライアンス上の要件へと変化している」と指摘する。

　では、セキュリティベンダーを選定する情報システム部門はベンダー選定時に何を参照すればいいのか。調査レポートでは、ユーザー企業との信頼関係を強化する目的で実施すべき施策として以下を挙げている。これらを推進しているかどうかを確認し、判断の一助とするのも一考だ。

• 「バグハント」や「バグバウンティ」の実施
  • 企業のネットワークやIT資産に存在するセキュリティ上の弱点を発見し、修正するための取り組み。脆弱（ぜいじゃく）性を発見した専門家やホワイトハッカーには金銭的な報酬が付与され、報酬額は脆弱性の深刻度によって決まる。
• トラストセンターの設置
  • 自社のセキュリティポリシー、勧告、第三者機関による評価、認証など、自社のセキュリティの成熟度を示す検証可能な成果物を提供するWebサイト。
• インシデントの発生時や情報開示時には、透明性を確保し、タイムリーな情報伝達を実施すること
• メディアで広く報道されるような重大なサイバー事件について、専門家による解説を提供すること
• 高品質なサービスや製品を一貫して提供すること