サイバーセキュリティの回復力 2025: AI ドリブンの脅威に対する組織の適応

人工知能が業界を変革する中、それはサイバーセキュリティの脅威の風景も変化させています。アクセンチュアの サイバーセキュリティの回復力 2025 報告 によると、多くの組織が AI パワーのサイバーアタックに対して防御するために危険なほど準備ができていません。これは技術的な課題だけではありません。これは戦略的な変化の時期です。サイバーセキュリティを AI 変革の基盤に組み込まない企業は、金銭的損失だけでなく、顧客の信頼と競争力の低下のリスクにもさらされます。

警戒すべきセキュリティのギャップ: AI は企業の防御を上回っている

AI の潜在性に対する熱狂的な支持にもかかわらず、多くの組織は現代の脅威のスピードと複雑さに気付いていません。技術リーダーのうち、ジェネレーティブ AI がセキュリティ能力を上回っていることを認識しているのは 36% だけです。さらに心配なことは、90% の企業がこれらの AI ドリブンの脅威に対して効果的に防御するための成熟度を欠いているということです。

このギャップは、多くの企業がセキュリティのインフラストラクチャを確立することなく AI を採用することによって生じました。これは、特に テクニカルデットが souvent 伴う Vibe コーディング の場合に特に重大な問題です。結果として、攻撃者はこれらの盲点を利用し、フィッシングキャンペーンからディープフェイク詐欺まで、すべてを AI で自動化して増幅させています。2024 年 Q3 だけで、組織は平均 1,876 件のサイバーアタックに直面しました。年間で 75% 増加しました。

リスクを引き起こしているものは何か: スピード、複雑さ、地政学

サイバーセキュリティの危機は AI だけによって引き起こされているわけではありません。高まった地政学的緊張、たとえば貿易紛争や地域の不安定さは、企業がサプライチェーンを再構成し、データインフラストラクチャを移転することを強いられています。しかしこれは、サイバーセキュリティの影響を十分に考慮せずに行われています。この急速な運用の変更は、特に企業がサードパーティのリスクやデータアクセスパターンを再評価しない場合、攻撃者が利用できる新しい脆弱性を開きます。

同時に、ジェネレーティブ AI ツールは強力な機能へのアクセスを民主化しました。これにより、初心者のハッカーと国家行為者が両方とも勇気づけられています。たとえば、Morris II という実験的な AI ワームは、テキストまたは画像ファイルに悪意のあるプロンプトを埋め込むことで、ChatGPT などの AI モデルを乗っ取る方法を示しました。機密データを漏らしたり、ユーザーの操作なしに有害なアクションを実行したりする可能性があります。

別の脅威であるディープフェイク技術は、理論的なものから実際に壊滅的なものになりました。報告書で引用されている詐欺事件の 1 つでは、イタリアの国防大臣の AI 生成の声の擬似 が使用され、著名なビジネスリーダーを欺いて、偽の目的のために大金を転送させました。

なぜ多くの組織はまだ脆弱であるのか

アクセンチュアは、調査で 3 つの異なる成熟度ゾーンを特定しています。 露出ゾーン、進行ゾーン、そして 再構築準備ゾーン です。驚くことに、63% の企業が露出ゾーンにあり、サイバー戦略とそれ自体を守るための技術的な能力が両方とも不足しています。わずか 10% が再構築準備ゾーンに達しています。ここでは、セキュリティがビジネスとテクノロジーのすべての層に深く統合されています。

問題は体系的なものです。たとえば:

• 84% の組織は、サイバーリスク戦略を変革の目標と一致させるのに苦労しています。

• 88% は、基本的なセキュリティフレームワークである Zero Trust を実装するのに苦労しています。

• 25% の組織だけが、データ状態 (転送中、保存中、使用中) にわたる包括的な暗号化を使用しています。

• そして、ジェネレーティブ AI モデルをセキュアにする能力に自信を持っているのは 20% だけです。

人材危機: セキュリティチームは追いついていない

サイバーセキュリティ専門家の不足は大きな障害になりました。世界中で 480 万のサイバーセキュリティの空きポストがあると推定され、過負荷のチームは、十分なリソースなしに、複雑化し自動化された脅威に対して防御しなければなりません。実際、83% の幹部は、セキュアな姿勢を維持する上での最大の障害として、人材の制約を挙げました。

これにより、多くの組織が反応的な姿勢をとることになりました。AI 変革プロジェクトの最初からセキュリティを組み込む企業は 28% だけです。残りの企業は、後からコントロールをetrofitすることを強いられ、多くの場合、強制的に、かつ高コストで行います。

遅延のコスト: 什么が懸かっているのか

アクセンチュアの経済モデルによると、再構築準備ゾーンにある企業は:

• 高度な AI パワーの攻撃を受ける可能性が 69% 下がります。

• AI 投資からの収益が 1.6 倍になる可能性が高くなります。

• テクニカルデットを削減する可能性が 1.7 倍になります。テクニカルデットとは、古くなったまたは維持が不十分なソフトウェアインフラストラクチャの蓄積です。

対照的に、露出ゾーンにある企業は、侵害のリスクが高く、顧客からの信頼スコアが低く、運用の非効率性が増大します。

AI セキュリティを強化するための 4 つの戦略的措置

このギャップを埋めるために、アクセンチュアは 4 つの実行可能な柱を提案しています:

1. 目的のためのガバナンスフレームワークを開発する

サイバーセキュリティは、孤立した IT チームを超えて進化しなければなりません。セキュリティは取締役会のレベルで組み込まれ、ビジネスの優先事項と一致させる必要があります。ガバナンスフレームワークは、新しい規制、倫理的懸念、進化する AI のリスクにも適応できるだけの柔軟性が必要です。

2. AI システムを最初からセキュアにする

組織は、デジタルコアにセキュリティを統合する必要があります。これには以下が含まれます:

• ゼロトラストアーキテクチャの実装

• セグメント化されたクラウド環境の構築

• インフラストラクチャとしてのコード (IaC) を使用して、誤った構成を減らす

• クラウドネイティブのセキュリティツールを展開して、監視と適用を自動化する

3. モニタリングとテストを通じて現実世界の回復力を維持する

継続的なモニタリングとリアルタイムの脅威インテリジェンスは重要です。組織は、プロンプトインジェクションやモデルポイズニングなどの現実世界の攻撃戦術に対して、レッドチーム演習を実行し、テストを行う必要があります。現在、脅威インテリジェンスを使用してセキュリティの決定を優先する企業は 17.5% だけです。これは大きな盲点です。

4. セキュリティ運用を変革するためにジェネレーティブ AI を使用する

AI 自体が防御者になる可能性があります。アクセンチュアは、セキュリティアナリストのタスクの 71% がジェネレーティブ AI を使用して自動化または強化できることを発見しました。AI は:

• 大規模なログとアラートを分析する

• ゼロデイ脅威を検出するために、行動分析を強化する

• インシデント対応を自動化する

• コンテキストインテリジェンスを使用して、アイデンティティとアクセス管理システムを動的に調整する

事例研究: セキュリティの実践

報告書で強調されている事例の 1 つは、ブラジルのヘルスケア企業が患者リクエストを処理するためにエージェント AI を使用しているものです。運用上の利点にもかかわらず、システムはプロンプトインジェクションとデータポイズニングに対して脆弱でした。アクセンチュアと提携することで、企業はセキュアな開発ライフサイクル、対抗シミュレーション、ランタイム保護を実装し、最終的に患者データの完全性と規制遵守を確保しました。

別の例は、セキュリティテストを LLM パワーの製品ワークフローに組み込んだ主要プラットフォームプロバイダーです。資格情報の公開リスクを軽減し、製品の立ち上げを加速しました。

行動の呼びかけ: 再構築準備ゾーンの達成

アクセンチュアの サイバーセキュリティの回復力 2025 報告は、明確な指令で結びます: 組織は今行動しなければなりません。サイバーセキュリティはコストセンターではありません。イノベーション、デジタル信頼、戦略的成長のための基本的なエナブラーです。

AI ドリブンの世界で繁栄するには、企業は反応的なセキュリティモデルを放棄しなければなりません。代わりに、インフラストラクチャ、サプライチェーン、アプリケーション、顧客体験のすべての層に保護を統合する、前向きな戦略を採用しなければなりません。そうすることで、企業は来るべき変化の波を乗り越えるだけでなく、それをリードすることになります。

「セキュリティは単なる安全保障ではありません。それはイノベーション、信頼、長期的な成功のための戦略的なエナブラーです。」
— サイバーセキュリティの回復力 2025、37 ページ

今日のサイバーセキュリティの風景は、加速する脅威と広がるセキュリティのギャップによって特徴づけられ、特に AI がイノベーションのツールと攻撃者の戦術を変革するにつれてです。多くの組織は準備ができていないのです。意識の欠如ではなく、セキュリティが依然として付加価値として扱われているためです。将来を見ると、企業は反応的な防御から、AI がテクノロジー、インフラストラクチャ、人間の行動を変革する方法に一致する、積極的で統合された戦略に移行しなければなりません。長期的な回復力は、技術的な能力の強化だけでなく、ガバナンス、人材開発、サイバーセキュリティへの取り組みも必要です。