調査データからサイバー攻撃による被害の実態を追うと、事態の深刻化が浮き彫りになる。過去3年間にランサムウェア攻撃の被害を経験した全ての組織において、累計被害額の平均は2024年調査の約2億2000万円から、2026年は約3億4800万円へと大幅に増加した。特に「5億円〜10億円未満」および「10億円以上」の高額被害の割合が増加傾向にある。復旧までに要した業務停止時間についても、2024年の平均約244.9時間（約10.2日）から、2026年は平均約862.9時間（約36.0日）へと長期化しており、「10日以上」を要するケースが増加している。

　しかし、サイバー攻撃全体の被害額に目を向けると、「被害額はなかった」という回答が2024年の38.3％から2026年は42.5％に増加している。最も被害額が大きかった攻撃による業務停止時間に関しても、「業務停止は発生していない」と「1日以上かかった」の回答が共に増加している。セキュリティの仕組みが機能して実害を防げている企業と、重大な被害に直面する企業の二極化が起きていることが分かる。

　この二極化の要因が、米国国立標準技術研究所（NIST）が提唱する「Cybersecurity Framework 2.0」（CSF 2.0）に基づくセキュリティ成熟度だ。「統治」「識別」「防御」「検出」「対処」「復旧」の6機能から算出される成熟度の全体平均スコアは、2024年の2.83から2026年は2.87に上昇した。業種別に見ると、「金融」が3.25、「ソフトウェア・通信」が3.24と高く、「小売り」の2.54、「サービス」の2.61と比較して業界による差が顕著に表れている。成熟度が高い企業群の共通項として、異常を検出するまでの時間が短いことが挙げられる。検出までの時間が1時間以内であった組織のうち、92.1％が業務停止を24時間以内に収束させている。

　組織の成熟度を決定づける重要な要素が、経営層の関与の在り方だ。事業部門が独自の裁量で個別最適の対策を進める従来のアプローチでは、複雑化する脅威を網羅的に防御することは難しい。調査結果では、経営層が単にセキュリティリスクの報告を受けるだけではなく、リスク判断に基づいた予算や人員の分配を指示し、平時からリーダーシップを発揮している組織ほど、セキュリティ成熟度が高い傾向が示された。金融やソフトウェア・通信といった成熟度が高い業種では、すでに体制や運用プロセスが定着しているため、経営層の関与が「定期的」から「必要に応じた実施」に変化していることも確認された。経営層がセキュリティをIT部門の課題ではなく経営課題として捉え、具体的な行動を起こすことが、結果として被害規模の抑制につながっている。

人手からシステム制御へ：生成AI時代の防御アプローチ

　新たな構造的課題として浮上しているのが、生成AIの急速な普及に伴うリスクだ。業務での生成AI利用を「全面的に認めている」あるいは「特定の部門、業務において認めている」と回答した割合の合計は88.2％に上り、2024年の調査から大きく拡大した。利用に関するルールやガイドラインの整備、社内教育を実施する組織も増加している。生成AI利用に際して懸念されるリスクとして「情報漏えい」を挙げた割合は75.8％に達する。

　システムの安全対策の整備状況を見ると、利用できるアプリケーションの制限（67.7％）など、内部からの情報漏えい対策の導入は進んでいる。一方で外部脅威対策はあまり進んでおらず、プロンプトを通じた機密情報漏えいの防止対策を実施している割合は40.9％、外部からの不正アクセスを防止するためのデータやモデルの保護を導入している割合は20.1％にとどまる。内規や従業員教育といった人に依存する運用ルールだけでは、抜け漏れや想定外の操作を完全に防ぐことはできない。システム的な制御による外部脅威への対策が遅れていることが、生成AI利用企業におけるセキュリティ成熟度低下の一因になっている。

　セキュリティ対策を推進する上での最大の阻害要因は、全機能において「対策のためのスキルセットを持つ人材の不足」と「人材の数の不足」だ。次いで「脅威の高度化が激しく、情報収集やリスク算出が追い付かない」といった複雑化への対処が挙げられている。人材不足という制約が存在する中で効果的な防御体制を構築するためには、網羅的なチェックリスト方式の管理から脱却する必要がある。まずは自組織が守るべき情報資産とそれに内在するリスクを可視化し、ビジネスへの影響度に基づいた優先順位付けを行うアプローチへの転換が求められる。

　限られた人員で運用を維持するためには、経営層と現場が継続的なコミュニケーションを取り、組織全体のリスク状況を正確に把握する体制の整備が必須となる。属人的な監視作業を極力減らし、システムで強制力を持たせるガードレールや自動対処の仕組みの導入を進めることが、激化するサイバー脅威から事業を保護する土台になる。