　この状況に追い打ちをかけているのが、セキュリティ推進組織の人員不足だ。セキュリティの専任担当者を置いている企業は少なく、他業務との兼務で運用せざるを得ない。専門的なスキルを持つ人材の確保が困難な中で、運用が回らずに緊急性の高い脆弱（ぜいじゃく）性へのパッチ適用や資産管理の徹底といった基本的な対応さえ遅れてしまう悪循環に陥っている。

KPMGの調査が示す、日本企業が直面するセキュリティ管理の現実

　こうした企業の実態を鮮明に浮き彫りにしたのが、KPMGジャパンが発表した「サイバーセキュリティサーベイ2026/27」（速報版）だ。国内上場企業および売上高1000億円以上の未上場企業420社を対象とした同調査によると、56.9％の企業がセキュリティ予算を増加させている一方で、中期計画を未策定の企業が41.3％に上ることが明らかになった。

サイバーセキュリティの中期／単年度計画策定状況（出典：KPMGジャパンリリース）

　サイバーセキュリティ推進組織の人員については87.4％の企業が不足を認識しており、専任人数が「0人」と回答した企業は46.9％を占めた。緊急度が高い脆弱性へのパッチを1カ月以内に適用できている企業は52.1％と半数程度にとどまった。

緊急度が高い脆弱性に対するパッチ適用のタイミング（出典：KPMGジャパンリリース）

　ランサムウェア対応としてのバックアップ対策や、資産管理・ID管理ツールなどの導入は進んでいるが、45.4％の企業が運用面に課題を感じているという。

　生成AIやAIエージェントの活用においても、明確な責任者を定めていない企業が38.2％に達し、各部門での個別の導入により全社的な把握ができていない実態（23.0％）も浮き彫りとなった。技術の進化に対してガバナンスと運用体制が追い付いていない実態が数値として裏付けられた形だ。

セキュリティ対策の再定義　持続可能な運用体制への転換

　この結果が示しているのは、個別のセキュリティ製品やAIツールを単体で導入するだけでは高度化する脅威を防ぎ切れないという事実だ。自社のIT資産やAIの利用実態を把握できていなければ、いくら最新の防御システムを入れても抜け道が残ってしまう。

　自社内の対策だけでは不十分であることも明白だ。同調査によると、インシデントの発生経路として「国内の委託先・取引先」経由が14.1％で最多となっており、栃木県警の事例のように利用している他社システムの弱点を突いた攻撃や、海外子会社のガバナンス不足を突いた侵害が増えている。

　これからのセキュリティ対策は単なる「ITインフラの防衛活動」ではなく、サプライチェーンや子会社、AI活用まで含めた全社的なBCP（事業継続計画）として再定義する必要がある。単に予算を増やす防戦一方の投資から脱却し、事業を支える基盤としてセキュリティ運用を持続可能な形に組み替えることが求められている。

印刷する