フロンティアAIが変えるサイバーセキュリティ――レジリエンス再定義の必要性とは？

本調査において、銀行・証券が、サイバーセキュリティ体制の強さで際立っていました。これは、業務レジリエンス、インシデント報告、およびサードパーティ管理に関する厳格な規制要件が影響しているものと考えられます。米国では、銀行はサイバーセキュリティインシデントの正式な通知義務の対象となっています。また、欧州ではDORA（Digital Operational Resilience Act）により、ICTリスク管理、レジリエンス・テスト、および重要サービスプロバイダーに対する監督要件がさらに強化されています。とはいえ、銀行・証券でも次世代のサイバーリスクと無縁ではありません。特に、AIが顧客接点やデータ環境にさらに深く組み込まれる中で、API連携、パートナー企業との統合、共有テクノロジー基盤などで新たな機能が導入される場合、サイバーセキュリティリスクは一層高まる可能性があります。

主な洞察

• 銀行・証券における可視性は、他のすべての部門と比較して平均を上回る。
• しかし、多くの資産、特にクラウドアカウントとランディングゾーン、カスタマーサービスAIアシスタント、データセンタープロバイダーのサイバーカバレッジは不十分である。
• 変化のペースが加速すると、この部門に新たな脆弱性が生じる可能性がある。銀行・証券の資産は、セキュリティ制御の更新を必要とする変更の頻度が平均よりも高い。例えば、回答者の35%は、オープンバンキングAPIとパートナー統合は、サイバーセキュリティ制御の更新を必要とする変更が、毎月またはそれ以上の頻度で実施していると述べている。例えば、回答者の35%は、オープンバンキングAPIとパートナー統合は、サイバーセキュリティ制御の更新を必要とする変更が、毎月またはそれ以上の頻度で実施していると述べている。

ウェルス＆アセットマネジメントの業務モデルは、クラウド、SaaS、リサーチ、市場データ、バックオフィス業務の委託などに見られるように、外部ベンダーへの依存度が高いことが特徴です。AI導入が顧客サービスや社内業務プロセスへと広がる中で、対処すべき課題が、機密性の高いデータや業務プロセスにアクセス可能な広範なサービスエコシステム全体を適切に把握・管理することへと変わってきています。特に、（攻撃者による）脆弱性が発見されるスピードが短縮する中で、セキュリティの弱い外部サービスプロバイダーが侵入口となり、そこから自社の基幹業務プロセスや顧客向けサービスへと横展開（ラテラルムーブメント）されるまでの時間が大幅に短縮される可能性があります。

主な洞察

• ウェルス＆アセットマネジメント業界の回答者における資産の32%は脆弱性ゾーンに該当する。
• 特に懸念されるのはエコシステムであり、クラウド、SaaS、データセンター事業者、リサーチ・データ提供ベンダー、業務アウトソーシング事業者の状況を把握していると答えた回答者は4分の1未満でした。こうした外部事業者がネットワークへのアクセス権を保有していたり、重要な業務プロセスを支えている場合、この問題はさらに重大化する可能性がある。

政府・公共セクターでは、サイバー攻撃の主要な標的となっているため、特有のリスクに直面しています。背景として、AIの導入やデジタルシステムへのデータ活用の拡大を通じて、行政サービスの刷新が求められていることが挙げられます。市民向けAIツールやサプライヤーと連携するAPIは、公共サービスを改善できる一方で、新たな攻撃対象領域を生み出します。また、エージェント型AIは、分断されたレガシーシステム間を連携させることができますが、既存の脆弱性そのものを解消するわけではありません。さらに、エージェントが侵害された場合には、その影響範囲が広がることで、かえってリスクを高める可能性もあります。公共セクターにおける最大の課題は、行政サービス、サードパーティおよびサプライヤーのエコシステム（ベンダーが運用するデータ、ソフトウエア依存関係、外部委託事業者含む）、さらにはデジタル化やモダナイゼーションによって新たに導入される接続インターフェース全体にわたって、セキュリティ統制が十分なスピードで更新されているかどうかにあります。

主な洞察

• 政府・公共セクターの回答者における資産の11%が脆弱性ゾーンに該当する。
• 政府・公共セクターは、資産の可視化とセキュリティカバレッジの両面で、成熟度が高い傾向が見られた。これは、同セクターがサイバー攻撃の標的となりやすく、インシデント発生時の社会的影響も大きいことから、セキュリティ基盤が比較的強固であることが背景にある。
• 市民向けAIツールが懸念点の1つとして考えられる。住民向けサービスのAIアシスタントを完全に可視化していると回答したのはわずか31%、サイバーセキュリティを完全に制御していると回答したのはわずか18%。
• 政府・公共セクターでは、公開APIおよび非公開APIに対する可視性とセキュリティカバレッジの両面で全体平均を下回る水準となった（公開・非公開APIについて完全な可視性を確保している割合は回答者の31％、十分なセキュリティカバレッジがある割合は回答者の20％）。また、政府全体のネットワークや基幹通信インフラ（バックボーン接続）についても、同様（完全な可視性を確保している割合は回答者の33％、十分なセキュリティ対策を実施している割合は回答者の24％にとどまる。）
• 行政システムの刷新を加速する取り組みそのものが、政府・公共セクターに新たな脆弱性をもたらす可能性がある。回答者のうち、住民向けサービスポータル、公開・非公開API、および委託事業者のリモートアクセス基盤について、サイバーセキュリティ統制の更新について、毎月またはそれ以上の頻度で変更していると回答した割合は、いずれも約3分の1にとどまる。
• 政府機関は、自らが直接管理する資産に関しては比較的リスクレベルが低いと回答しているが、外部で運用されていることが多い重要インフラへは、依然として大きなサイバーリスクにさらされている可能性がある。

インフラ事業者は、物理的な運用環境におけるサイバーリスクに直面している代表的な一例です。鉄道システム、交通インフラ、建造物の監視システムなどは、ますますネットワークに接続されるようになり、その多くは企業のITシステムと同レベルの厳格さで監視・管理することが依然として困難です。フロンティアAIは、こうした環境における脆弱性の発見を加速させ、攻撃者がOTや監視システムの設定ミス、脆弱な認証方式、外部に露出したリモートアクセス経路などを特定しやすくしています。コネクティビティが拡大する中で、インフラ事業者には、資産インベントリの全体を把握し、継続的な監視とネットワーク分離（セグメンテーション）を実施し、侵害が発生した場合でも被害の拡大を抑制することが求められています。

主な洞察

• インフラストラクチャ業界の回答者における資産の71%が脆弱性ゾーンに該当する。
• 脆弱性ゾーンに該当する資産割合の高さは、インフラストラクチャ業界のサイバーセキュリティリスクが、自国政府の域外で運用される設備やオペレーション環境に集中していることを示している。こうした環境では、可視性やセキュリティカバレッジ範囲が限られるため、サイバーセキュリティの弱点が公共サービスの中断や安全性への影響につながる可能性が高くなる。
• 鉄道事業者の場合、鉄道信号、スイッチ、制御機器がよくある大きな懸念事項であり、これらの資産を完全に可視化していると回答したのはわずか9%。
• その他の物理資産には、橋、トンネル、構造物監視センサー（可視化割合16%）、交通信号、制御装置、路側機器 （可視化割合27%） など、可視性が低いものが含まれる。
• 業界の特質上、インフラストラクチャ資産の変化のペースは全体平均よりも遅く、インフラ事業者が可視性とセキュリティカバレッジを改善する有利な機会となる。

航空宇宙・防衛・モビリティ業界は、多くの他業界と比較してサイバーセキュリティの基礎的な統制がより強固であるように見受けられます。しかし、AIの導入拡大、複雑なサプライチェーン、そして地政学的リスクの高まりによる圧力を引き続き受けています。同業界における最も重要な機能の多くは、保守・整備事業者（MRO）から特殊なハードウエア・部品のサプライヤーに至るまで、外部パートナーへの依存によって成り立っています。そのため、サイバーセキュリティのレジリエンスは、内部統制だけでなく、自社を取り巻く広範なエコシステム全体のサイバーセキュリティ状況をどの程度把握できているかにも大きく左右されます。特に、サプライヤー自身が国家支援型サイバー攻撃の標的となる可能性がある場合、その重要性はさらに高まります。

主な洞察

• 航空宇宙・防衛・モビリティ業界の回答者における資産の7%が脆弱性ゾーンに該当する。
• 全体では、航空宇宙・防衛・モビリティ業界の回答者は他業界と比較して、資産に対する可視性やサイバーセキュリティ対策の適用状況が優れていると報告。しかし、自社の資産と比較すると、エコシステム全体に対する可視性は低い傾向がある。特に、MRO事業者、特殊半導体やハードウエアの提供ベンダー、航空電子機器（アビオニクス）および部品サプライヤーに対する可視性が不十分。これは、同業界では、外部事業者が事業運営において極めて重要な役割を担っているため、潜在的な懸念事項となる。特に、防衛関連企業においては、サプライヤー自身が国家支援型サイバー攻撃の標的となる可能性があり、そのリスクはさらに大きくなる。
• 状況変化のスピードの加速が、同業界に新たな脆弱性を生み出す可能性がある。回答者の22％は、公開APIおよび非公開API、リモートアクセス環境、踏み台サーバーについて、サイバーセキュリティ統制の見直し・更新を必要とする変更が、毎月またはそれ以上の頻度で発生していると回答。

産業製品のコネクティビティが増え、AI活用が進むにつれ、製造業は脆弱性ゾーンの奥深くへ入り込む傾向があります。脆弱性ゾーンでは、可視性のギャップやサイバーセキュリティ制御が、オペレーションの統合よりも遅れています。そこでは、業務システムや生産設備の統合が進む一方で、資産の可視性やサイバーセキュリティ統制が十分に追いついていません。同時に、最フロンティアAIの進化により、こうした弱点の発見と悪用がこれまで以上に迅速かつ容易になっており、生産活動の中核を担うシステムに対するリスクが高まっています。

主な洞察

• 産業製品業界の回答者における資産の46%が脆弱性ゾーンに該当する。
• 脆弱性ゾーンの資産カテゴリ：AIシステム／ツール、OT／物理資産、エコシステム
• 産業用ロボットと自動化システムの弱点が際立っており、それらを完全に可視化している割合は回答者のわずか20%、サイバーセキュリティを完全に制御している割合は回答者のわずか7%。これらの資産のネットワーク化やAIとの統合が進むにつれ、死角とセキュリティカバレッジのギャップがより重要になる可能性が高い。
• 産業製品業界の回答者は、他業界と比較して、サプライチェーンをサイバーリスクの発生源として認識する割合が最も低い結果となった。製造業各社がサプライチェーン全体の透明性向上を目指す中、サイバーセキュリティリスクを適切に管理・統制することが優先課題となる可能性がある。

鉱業・金属業界では、サイバーリスクが今後ますます生産システムの中核領域にまで及ぶ環境で事業を運営しています。OTのネットワーク化が進み、ソフトウエアやネットワーク基盤への依存度が高まる中で、資産の可視性やセキュリティ統制が不十分である場合、生産活動そのものに直接的な影響を及ぼすリスクが生じます。さらに、フロンティアAIの進化により、攻撃者は従来は安全と考えられていた、あるいは長年安全であると想定されてきたシステムの脆弱性をより容易に発見できるようになっています。その結果、生産を支える産業用資産に対する監視や保護体制を強化する重要性が一層高まっています。

主な洞察

• 鉱業・金属業界の回答者における資産の67%が脆弱性ゾーンに該当する。
• 脆弱性ゾーンの資産カテゴリ:AIシステム／ツール、AI以外のデジタル資産、ネットワークインフラストラクチャ、物理的資産、データ資産、エコシステム
• 産業用制御システムは大きな弱点であり、PLCおよびSCADAアプリケーションを完全に可視化している割合は回答者のわずか18%、完全なサイバー制御を行っている割合は回答者のわずか11%。
• OTネットワークインフラストラクチャにおいても、同様のギャップが見られ、完全に可視化している割合は回答者のわずか18%で、完全なサイバー制御を行っている割合は回答者のわずか16%。

石油・ガス・化学業界では、広範囲に分散した現場オペレーション、制御システム環境、そして多数の請負業者やサプライヤーネットワークにまたがってサイバーリスクを管理しています。これらの環境のネットワーク化が進むにつれて、資産に対する可視性の不足やセキュリティ統制の不備がもたらす影響は急速に大きくなります。さらに、フロンティアAIの進化により、攻撃者は制御システムやそれらを支える関連資産に存在する悪用可能な弱点をより容易に発見できるようになっています。これらのシステムの多くは、高度なサイバー攻撃に継続的にさらされることを前提とせずに、可用性や安全性を重視し設計されてきました。そのため、現場設備やパイプライン環境についても、その他の企業内システムと同等の厳格さで防御・管理することの重要性が高まっています。

主な洞察

• 石油・ガス・化学業界の回答者における資産の57%が脆弱性ゾーンに該当する。
• 脆弱性ゾーンの資産カテゴリ:非AIデジタル資産、ネットワークインフラストラクチャ、クラウド資産、物理資産、データ資産、エコシステム。
• フィールドおよびパイプラインのSCADAおよび制御アプリケーションは重大な懸念事項であり、それらを完全に可視化していると回答したのは回答者のわずか18%、完全なサイバーセキュリティ制御を行っていると回答したのはわずか13%。
• 産業用制御ハードウエアは潜在的にリスクにさらされており、PLCと安全システムを完全に可視化している割合は回答者のわずか18%、完全なサイバーセキュリティ制御を行っている割合は回答者のわずか4%。

電力・ユーティリティ事業者は、分散化されたバリューチェーン、ますます接続される運用資産、長寿命のレガシーインフラ、および持続的な地政学的リスクによって形作られたサイバーセキュリティ環境に直面しています。グリッドが少数の集中型発電所から分散型資産の大規模なエコシステムに移行するにつれて、サイバー攻撃の対象領域が拡大することで、新たなリスクが発生します。分散型エネルギーリソースを調整するデジタルプラットフォーム、通信ネットワーク、または仮想発電所に対する組織的な攻撃は、単一の物理的なプラントの侵害よりもエネルギー供給全体に大きな混乱をもたらす可能性があります。

ITとOTの統合が深まり、オペレーション環境全体の可視性が限られていることが、この状況をさらに悪化させています。国家の支援を受けた攻撃者が重要なインフラを標的にし続ける中、フロンティアAIは、これまで特殊化されていたり、孤立していたり、アクセスが困難であったりするために安全であると考えられてきたシステムの弱点を容易に特定できるようにすることで、攻撃者側をさらに強化します。公益事業者にとっての優先事項は、個々の資産の保護から、信頼性の高いエネルギー供給をますます支えるOTネットワーク、エッジデバイス、フィールドコミュニケーション、サードパーティエコシステム全体にわたる可視性、制御、回復力の構築に移行しつつあります。

主な洞察

• 電力・ユーティリティ業界は、より高いリスクにさらされている業界の1つであり、回答者の71%がセキュリティ対策で劣る「プローンエンタープライズ」に属し、回答者における資産の46%が脆弱性ゾーンに該当し、業界全体の資産が広範なリスクにさらされていることが示されている。
• 最も脆弱なポイントは、グリッドの運用エッジにある。スマートメーターとフィールド通信機器の完全な可視性を報告しているのは16%のみであり、サイバーセキュリティの完全なカバレッジを報告しているのは16%のみ。変電所の通信ネットワークも同様にリスクにさらされており、完全な可視性は18%、完全なセキュリティカバレッジは16%。
• OTの可視性と制御のギャップは、レジリエンスリスクを生み出している。生成、送信、配電を支えるOTネットワークを完全に可視化しているのはわずか20%であり、サイバーセキュリティを完全にカバーしていると報告しているのはわずか24%。これは、オペレーション環境がエンタープライズシステム、クラウドプラットフォーム、AI対応ツールとのコネクティビティが高まるにつれて、重大なギャップとなることを示唆。
• サイバー制御は、資産の状況変化に追いついていない。新しくプロビジョニングされた資産に必要なコントロールを12時間以内に完全に展開できるのはわずか4%であり、78%は1日から30日かかる。これは、コネクテッドデバイス、分散型エネルギー資産、サードパーティの統合を追加するセクターにとって大きな遅れとなる。
• AIと地政学上の動きは、既にリスクにさらされている運用モデルのリスクを増幅させる。80%は、AIテクノロジーをめぐる地政学的な競争が外部のサイバーセキュリティリスクを増大させていることに同意しているが、AI関連の脅威に対して十分な準備ができていると回答したのはわずか38%であり、地政学から生じる脅威に対してはわずか29%。これにより、サイバーセキュリティのレジリエンスをグリッドの信頼性の一部として扱う必要性が強まっている。

メディア・エンターテインメント企業は、コンテンツの計画、予測、オーディエンスのエンゲージメントを強化するためにAIの活用をさらに拡大しています。同時に、それらの運営エコシステムは相互接続されつつあり、組織自体のプラットフォームだけでなく、代理店、アドテック、配信パートナー、コンテンツワークフローにわたって発生する可能性のあるサイバーセキュリティリスクを生み出しています。フロンティアAIが脆弱性発見の速度と品質を向上させるにつれて、特に収益、オーディエンスのエンゲージメント、コンテンツ配信が幅広いパートナーに依存している環境において、脆弱な外部プラットフォームやワークフローツールから企業全体への侵害拡大までの時間を短縮する可能性があります。

主な洞察

• メディア・エンターテインメント業界の回答者における資産の43%が脆弱性ゾーンに該当する。
• 脆弱性ゾーンの資産カテゴリ:AIシステムおよびツール、非AIデジタル資産、ネットワークインフラストラクチャ、OT／物理資産、データ資産、エコシステム。
• 回答者は、従来の収益を促進する資産の可視性が向上したと報告しており、45%は顧客エンゲージメントプラットフォームを完全に可視化していると述べ、48%はコンテンツホスティングおよび配信プラットフォームを完全に可視化していると述べている。
• 将来の潜在的な収益要因については可視性が低く、コンテンツの需要と視聴者の予測についてAIを完全に可視化していると述べた回答者はわずか25%であり、48%は群衆管理、安全性、インシデント予測についてAIをほとんど可視化していないと述べている。

テクノロジー企業が製品、社内ツール、顧客体験にわたってAIを展開するにつれて、より多くのソフトウエア、API、データフローがサイバーリスクにさらされる可能性があります。フロンティアAIの最近の進歩は、攻撃者が以前よりも迅速に脆弱性を特定し、攻撃コードを開発できることを示しており、AIがどこに導入されているのか、またAIがどのデータにアクセスし利用しているのかを正確に把握することの重要性が一層高まっています。こうしたセキュリティ管理上の負担は、ソフトウエアの依存関係、クラウドプラットフォーム、組み込み型のサードパーティサービスへの依存によってさらに増幅しています。これらの要因は、企業への侵入経路の数を増やすだけでなく、製品やサービスの変化に合わせてセキュリティ統制を整合させることを困難にしています。

主な洞察

• テクノロジー業界の回答者における資産の18%が脆弱性ゾーンに該当する。
• テクノロジー企業の半数近くは、サイバーセキュリティに年間1億ドル以上を費やしている(他の部門では31%)。最も注目すべきは、テクノロジー企業はサイバーセキュリティ予算全体の20%をAIに割り当てているのに対し、その他の分野では14%。

• 可視性のパラドックス：テクノロジー企業の45%は、資産の91%-100%（他のセクターではわずか6%）を完全に可視化しているが、資産カテゴリ別に見ると状況は一変する。特に、エコシステム（22%）、AIシステム／ツール（26%）、OT／物理資産（28%）は可視性が低い。テクノロジー企業がエコシステムを通じて市場に製品・サービスを提供していることを踏まえると、サプライヤーの監視、サードパーティ企業のアクセス統制、データセンター・クラウド事業者のリスク管理、エコシステムのレジリエンス統制を強化する余地があると言える。

• 現状、AIシステム／ツールが、テクノロジー企業にとって脆弱性ゾーンに陥る可能性が最も高い資産。
• テクノロジー企業の83%は、量子関連のサイバー脅威が今後5年以内に現実のリスクになると考えている。一部のテクノロジー企業は準備ができていることを示しているが、今こそ取締役会とCISOレベルの議論を始めるべきである。

通信事業者は、大規模かつ相互接続されたネットワーク、顧客向けアプリケーション、そしてサプライヤー・エコシステム全体にわたって、サイバーセキュリティリスクを管理しています。フロンティアAIの進化によって脆弱性の発見や悪用に必要な労力が大幅に低下する一方で、国家支援型の攻撃者が、スパイ活動や将来的なサービス妨害を目的に通信インフラを継続的に標的にしていることから、こうしたリスクへの対応がますます重要になっています。通信事業者にとって、基幹ネットワーク資産だけでなく、顧客接点となるチャネルやサードパーティベンダーとの関係まで含めたエコシステム全体の可視性を強化することの重要性が一層高まっています。なぜなら、これらの環境に存在する脆弱性は、攻撃者にとっての侵入の足掛かりとなり、その後の横方向の侵害拡大（ラテラルムーブメント）を許してしまう可能性があり、しかもその検知や封じ込めは容易ではないからです。

主な洞察

• 通信業界の回答者における資産の32%が脆弱性ゾーンに該当する。
• 通信事業者は、携帯基地局、通信タワー、無線機器とアンテナ、パブリックおよびプライベートAPIなど、ネットワーク運用に最重要となる資産を最も網羅的かつ高いレベルで可視化している。一方で、エコシステムにかかる資産は脆弱性ゾーンに分類される可能性が最も高い。
• 多くの顧客向け資産がサイバーセキュリティ上の問題に直面しており、Webやモバイル用アプリケーションを完全に可視化している割合は回答者のわずか28%、完全なセキュリティカバレッジがある割合は回答者のわずか20%。
• 顧客のモデムやルーターも懸念されており、完全に可視化している割合は回答者のわずか28%、完全なセキュリティカバレッジがある割合は回答者のわずか35%。