防御限界の時代に企業はいかにサイバー攻撃に対処するのか
ガートナージャパン株式会社は2026年7月22日、最高情報セキュリティ責任者（CISO）がAIによる混乱と変化の中で注力する戦略的優先事項を発表しました。
企業のAI活用が進む一方で、攻撃の拡大や自動化ワークロードの急増が従来のセキュリティ体制を揺るがしています。完全な防御を前提とした対応策は限界を迎えており、事業継続と競争力の確保に向けた判断基準の刷新が必要とされています。この移行期において、アイデンティティ管理の刷新やレジリエンスの強化にどのように取り組むかが経営の焦点となります。
今回は、IAMの近代化に向けたAI投資、完全防御からレジリエンスへの勝利条件の再定義、セキュリティ組織におけるイノベーターとしての自覚、そして、今後の展望について取り上げたいと思います。
マシン・アイデンティティの急増と管理インフラの限界
企業におけるAI投資の加速は、アクセス制御の前提条件を根本から変化させています。AIエージェントや自動化ワークロード、マシン同士の相互作用の急増は、既存のクラウド環境やDevOpsの複雑性に拍車をかけており、従来のアイデンティティ／アクセス管理（IAM）を限界に追い込んでいます。これまで機能してきた人間のユーザーと固定的な役割を基準とするアクセス制御では、常時稼働する多数のマシン・アイデンティティへの対応が困難となっています。AIは委任や自律性、コンテキストに応じた柔軟な権限設定を必要とするため、制御モデルの再設計が急務となっています。
攻撃常態化の時代におけるセキュリティ成功指標の再定義
サイバー攻撃はまれに発生する特殊な事故ではなく、企業活動において日常的に起こる事象となっています。AIを活用した攻撃が速度と規模の両面で拡大する環境では、攻撃を完全に遮断することだけを目的に掲げる戦略は現実性を欠きます。市場や規制当局、顧客の間でもインシデントは発生し得るものとして認識され始めており、発生の事実だけをもって企業の過失と断定しない風潮も強まっています。
この状況変化は、サイバーセキュリティの評価基準を根本から見直す機会となります。目標を侵入の防止から被害の影響最小化や重要業務の維持、迅速な復旧へと再定義することにより、セキュリティ対策は事業活動に直接寄与する成果へと変わります。目標がレジリエンスの確保へと移動することで、組織は現実的な検証や訓練を通じて継続的に緩和策を改善できるようになります。完全防御という達成困難な基準から、影響をコントロール可能な状態に保つことへと成功の定義を置き換えることが求められます。
許容可能な被害閾値の策定と事業部門との責任共有
レジリエンスを中心とした体制へ移行する際、課題となるのが業務継続に関わる基準の明確化です。影響の最小化を実現するには、ミッション・クリティカルなバリューチェーンごとに「どこまでの被害であれば許容できるか」「どの業務を最優先で維持するか」という具体的なインパクトの閾値を設定する必要があります。
しかし、被害の許容限界を決める作業は、セキュリティ部門単独で完結するものではなく、事業の収益性や顧客へのサービス供給に直結します。このため、事業部門との深い対話と責任の共有が不可欠となります。どの程度の業務停止やデータ制限を許容するかという判断は、現場との間で認識の相違を生みやすく、調整の摩擦を引き起こす要因となります。共通の閾値を明確にし、事業リスクとしての理解を共有することで、セキュリティ対策は管理業務から事業継続のための投資へと位置付けが変わります。
現場の試行錯誤を組織的イノベーションへ昇華させる手法
サイバーセキュリティの現場におけるイノベーションは、特別なプロジェクトとして追加されるものではなく、日々の運用の中で既に発生しています。インシデント発生時の即興的な対応や既存ツールの統合、業務フローの調整などは工夫の産物です。しかし、これらの取り組みは個人の裁量や一時的な対応として処理されやすく、組織的な成果として可視化されにくい傾向にあります。
チームが持つ創造性を組織の強みに変えるには、これらをイノベーションとして明確に位置付け、試行錯誤のための時間と空間を確保することが求められます。AI支援型のソフトウェア・エンジニアリングや自動化技術を活用することで、テスト環境の構築や攻撃シミュレーション、検知ロジックの生成といった検証作業を通常業務の枠組みに組み込むことができます。実際のシステムに影響を与えない領域で小さな実験を重ね、得られた教訓を数値化して蓄積することで、継続的な投資を引き出すための客観的な根拠が形成されます。
SOCにおける役割の変化と意思決定体制の将来像
アイデンティティ管理の刷新と自動化によるイノベーションは、セキュリティ運用組織のあり方を大きく変えていきます。
対応業務の自動化によって生じる余力は、リスク評価や予防策の立案、新たな脅威シナリオの検証といった高付加価値な活動へと再配分されます。人手による初期対応の削減は一回限りの省力化にとどまらず、高度化するAI攻撃に対抗するための組織的な適応能力を高める判断材料となります。アナリストが監督者としての役割を担い、自動化されたプロセスを導く体制を整えることが、持続可能なセキュリティ運用を実現するための鍵となります。
今後の展望
AI技術の進化とサイバー攻撃の常態化が交錯する中、企業のセキュリティ戦略は防御策から、デジタル基盤の信頼性を高める事業戦略へと移り変わっています。IAMの近代化によるマシン・アイデンティティの適切な統制、レジリエンスを中心とした被害許容閾値の設定、そしてSOCにおけるAI導入とアナリストの監督者化という複数の変化が連動することで、セキュリティ組織の役割は進化していきます。
経営層やセキュリティ・リーダーは、サイバーリスクをゼロにするという現実離れした目標を避け、攻撃を受けても迅速に回復し、自動化と実験を通じて絶えず組織能力を向上させる仕組みを構築する必要があります。不確実性が高まる環境において、変化を先取りしセキュリティをイノベーションの推進力へと変えていく姿勢が、今まさに大切になっています。
