この「準備の不足」は、広範囲のサイバー脅威に対する防御について、組織の準備態勢の遅れを表すもので、12か月前と比較して平均10ポイント拡大しています。 業界全体でセキュリティ専門家が最も認識している脅威はランサムウェア（63％）とフィッシング（60％）であり、それぞれを「高」または「重大」なリスクと評価しています。

さらに、組織がランサムウェアの被害に遭っても金銭を支払わないようにという FBI などの機関によるガイドラインにもかかわらず、調査対象となった全組織の 54％が、現時点でランサムウェア攻撃を受けた場合、自社が金銭を支払う、またはおそらく支払うだろうと回答しています。

たとえば、認識されたランサムウェアのリスクは 1 年で 8 ポイント上昇し、認証情報の侵害による攻撃は 7 ポイント上昇しています。

これらの調査結果は、サイバー攻撃が増加していることを示す業界全体の調査結果と一致します。 世界経済フォーラムの調査によると、4 社中 3 社近くの組織が、12 か月前と比較して 2025 年にはサイバーセキュリティリスクが増大したと報告しています。 この報告書によると、重要なインフラや社会サービス（水道、エネルギー、医療、バイオセキュリティなど）がますます標的とされていることがわかります。 世界経済フォーラムの調査では、サプライチェーンが重大な脆弱性領域であることも判明しています。大規模組織の 54％が、サプライチェーンの複雑さとサードパーティのリスクが回復力に対する最大の障壁であると認識しています。

Ivanti は毎年、さまざまな攻撃タイプに対する業界全体の脅威レベルと、それらの脅威に対する組織の準備状況を照らし合わせて、準備不足を算出します。 準備不足の調査では、脅威レベルが既存のセキュリティ対策を上回る箇所が明らかにされます。

さらに、組織のリーダーの間ではサイバーセキュリティ業務を高レベルで委託するようになっています。

例：

• 94％ が、サイバーセキュリティは取締役会レベルで議論されていると回答しており、1 年間で 5 ポイント改善されたことになります。
• 今年の予算は増加すると回答した人は83％に上り、昨年より10ポイント増加しています。
• 66%が、リーダーが「非常に協力的」であると回答した人は66％で、2年間で7ポイント増加したことになります。

セキュリティ専門家によると、社内で幅広い戦術とユースケースへの投資が引き上げられています。 全般的に投資が最も増加している分野は、クラウドセキュリティ（68％）とデータセキュリティ（67％）です。 セキュリティユースケース向けに生成 AI に投資する企業はかなりの数（60％）に上りますが、これは回答数に照らし合わせると予想よりも低い数字です。

AI を武器に競争が激化する中、重要な疑問が残ります。

AI をより迅速かつスマートに運用できるのはどちらでしょうか？

セキュリティ専門家は、脅威の主体と同等かそれ以上に AI を効果的に活用していると信じる人が多く、その格差は今後も拡大し続けると考えています。

セキュリティ専門家は依然として自信を持っていますが、AI を装備した敵が活動を加速させ、敏捷性と適応力を高めているため、防御がより困難になっていることは明らかです。 また、専用の生成 AI を使用することで、攻撃者はフィッシング（音声フィッシングなど）や ID を利用した組織的な侵入を、これまでにない量と精度で行えるようになっています。 ハーバード・ケネディ・スクールの調査によると、大規模な言語モデルによって生成されたフィッシングメールのクリック率は 54％で、人間が書いたと思われるメッセージのクリック率 12％をはるかに上回っています。

ますます巧妙化して阻止が困難になる脅威に対抗するために、セキュリティチームは AI ツールと技術の導入を加速する必要に迫られています。

現在、サイバーセキュリティ アプリケーションにおける AI/自動化の導入率は依然として低いままです。 AI/自動化は、セキュリティチームの半数以上（53％）がクラウド セキュリティ ポリシーの適用に使用していますが、その他の重要な業務にはあまり使用されていません。 インシデント対応ワークフロー（44％）、脅威インテリジェンスの相関分析（43％）、脆弱性への対応と修復（42％）に使用するセキュリティ専門家は半数未満です。

ただ、AI を効果的に導入するためには、コストや規制上の課題など大きな障壁が依然として残されています。 しかし、データ品質の問題は組織にとって最大の課題の一つです。当社の調査によると、この問題は悪化の一途を辿っていることが明らかになっています。 現在、46％の組織がデータ品質の低さを障壁として認識しています。この割合は昨年より 9 ポイント増加しています。

従業員全体の AI リテラシー水準を引き上げ、すべての従業員が責任ある AI の実践を理解し、遵守できるようにすることも同様に重要です。 セキュリティ専門家に自社従業員の AI リテラシーの度合いを評価するよう求めたところ、その評価は「B（84％レベル）」でした。 しかし、業界によって顕著な違いがあります。85% を超えるスコアを獲得したのはテクノロジー業界のみであり、ランサムウェアの標的になりやすい医療業界での AI リテラシーは C+（79％）でした。

しかし、まだ成長と改善の余地が十分にあることをデータは示しています。 リスクエクスポージャーを評価する能力が「優れている」と回答したのはわずか27％です。また、セキュリティ専門家は、リスクを正しく評価するにあたって「利用可能なデータの不足」（47％）と「時間の不足」（46％）に悩まされています。

この調査では、IT チームとセキュリティチームの間に依然として存在する隔たりも明らかになっています。

• セキュリティ専門家の 48％ は、サイバーセキュリティの懸念事項に対応する際に、IT 部門の緊急性が欠けていると指摘しています。
• 40％は、IT 部門が組織のリスク許容度を理解していないと考えています。

こうした格差は、セキュリティ専門家と IT 専門家の緊密な連携を必要とするエクスポージャー管理において特に重大な影響を及ぼします。 セキュリティチームはリスクを特定して軽減計画を設計しますが、それらの変更を実装する責任は IT 部門にあります。 効果的なエクスポージャー管理には、セキュリティのニーズと潜在的な運用中断のバランスを取ることが求められ、セキュリティ責任者と IT 責任者の間で緊密な連携が必要とされます。

エクスポージャー管理を運用するには

効果的なエクスポージャー管理は、リスク許容度を明確にし、チーム全体で一貫したアクションがとれるような強力なフレームワークにかかっています。

明白なのは、企業が適切なスキルを獲得できない場合、セキュリティ対策とビジネスの成果に重大な悪影響が生じるということです。

調査回答者によると、熟練した人材の不足が優れたサイバーセキュリティにとっての最大の障壁となっています。

サイバーセキュリティにおける AI の活用は有益であると期待されていますが、ここでもスキルと人材の不足によって導入が極めて困難になっています。 TechTarget の調査によると、サイバーセキュリティの人材プールでは、「新興テクノロジー」に関連するスキル不足が最大かつ最も深刻であることが明らかになっています。 それは、組織が人材不足を補うために AI を導入したいとしても、既存の人材不足によって導入が妨げられる（または遅れる）という堂々巡りの問題が生じます。

これらすべてのベストプラクティスを総合すると、先進的な組織ではセキュリティ対策に自信を持ち、逆境に対してより強い耐性を持つようになります。 レベル 4 の組織の 69％は、侵害が発生した場合にインシデント対応計画が確実に意図したとおりに機能すると回答し、77％は、自社のチームが損害を与えるセキュリティ インシデントを防止または阻止できると非常に自信を持っていると回答しています。