企業資産の「36％」が“脆弱性ゾーン”で放置 AI攻撃時代に旧来の防御モデルは限界か： 「重要資産を重点的に守る」は通用しない？ 最新調査が明かす限界

「重要資産さえ固めておけば大丈夫」というセキュリティ対策の前提が崩れつつある。EYが実施したグローバル調査によると、企業資産の平均36％が、把握も対策も不十分な「脆弱性ゾーン」に放置されていることが判明。攻撃者がAIを使って企業の「忘れ去られた資産」をピンポイントで突く今、どう対策を変えていくべきなのか。

[＠IT]

　Ernst ＆ Young（EY）が2026年7月29日に発表した「EY Global Cybersecurity Leadership Insights Study 2026」（840人の経営層・セキュリティ責任者が回答）は耳の痛い現実を突き付けている。

　同調査で明らかになったのは、企業が保有する資産の平均36％が、可視性も対策も行き届いていない「脆弱（ぜいじゃく）性ゾーン」（Vulnerability Zone）に陥っているという事実だ。

　これまで多くの組織が「重要なデータや基幹システムだけを徹底的に守る」という体制を構築してきたが、AIエージェントを手にした攻撃者は、組織が忘れ去ったような「弱点」を自動で探し出し、そこから足掛かりを築いて侵入する。

　EYは「『重要資産を重点的に保護する』という従来の対策アプローチは十分ではなく、組織全体の死角や依存関係を含めた包括的なレジリエンス（回復力）の構築が求められる」と指摘する。

企業資産の3分の1超が「脆弱性ゾーン」　今、どの資産が「危ない」のか

　EYは脆弱性ゾーンについて「資産の存在や依存関係が十分に可視化されておらず、かつ適切なセキュリティカバレッジ（統制・保護）が及んでいない領域」と定義している。

　同調査では、7つのカテゴリーに分類される475種類の資産を分析対象とし、サイバーセキュリティ部門の管理外となる領域まで含めて、組織内に潜む脆弱性のありかを特定した。その結果、セキュリティ部門の統制が及んでいない領域や、忘れられていた資産・IDなどが組織内に大きな「弱点」として存在している実態が浮き彫りになった。

　特に以下の領域において、脆弱性ゾーンに該当する割合（死角となっている割合）が高かった。

• OT（制御技術）／物理資産：57％
• サードパーティー／エコシステム：49％
• AIシステム／ツール：47％
• ネットワークインフラ：38％

475種類の業界別資産を対象に分析した脆弱性ゾーンの分類結果。各資産の可視性およびセキュリティカバレッジが平均値を下回る資産が脆弱性ゾーンに含まれている（提供：EY）

　サイバーセキュリティ責任者の70％は「最も重大なサイバーリスクは死角に存在する」と回答しており、いずれも企業活動のデジタル化やAI活用の拡大に伴って重要性が高まる領域にもかかわらず、インフラの拡張スピードに対して、可視化やセキュリティ統制が全く追い付いていない実態が浮き彫りとなっている。

脆弱性ゾーンに該当する資産の割合（提供：EY）

レジリエンスは「復旧」から「継続的な可視化と対応」へ

　組織の弱点をAIが容赦なく突いてくる時代において、EYは「サイバーレジリエンスの概念そのものを再定義する必要がある」と指摘する。

　これまでのレジリエンスは「インシデント発生時の迅速な復旧能力」として語られることが多かった。しかし今後は、自社環境に蓄積する脆弱性を「継続的に把握」し、急速に進化する脅威スピードに見合った体制を整備する能力へとシフトしなければならないという。

　「AIの普及に伴い、『AIエージェント』『マシンアイデンティティーの管理』『サードパーティーとの接続管理』なども、情報システム部門がカバーすべき重要な対象となりつつある」（EY）

「セキュアクリエイター」に共通する3つの特徴

　では、こうした弱点を企業はどう対策すべきなのか。サイバーセキュリティの先進企業群（EYは「セキュアクリエイター」と呼称）は、脆弱性ゾーンの縮小を通じて高いレジリエンスを実現しているという。

　セキュアクリエイターの環境で脆弱性ゾーンに分類される資産の割合は平均30％にとどまり、その他の企業の42％を大きく下回る。

　セキュアクリエイターに共通する特徴は次の3点だ。

• 組織全体の資産や依存関係を可視化している：重要資産だけでなく、AIシステム、サードパーティー、OT／物理資産を含む幅広い領域で可視性を確保し、潜在的なリスクの把握に取り組む
• サイバーセキュリティを全社的なレジリエンス戦略に統合している：IT部門だけの課題と捉えず、事業継続や経営戦略と一体で推進することで、変化するリスクへの対応力を高めている
• AI時代を見据えた継続的な改善体制を構築している：技術や脅威の変化に応じて可視性やセキュリティ統制を見直し、AIを活用した新たなリスクにも迅速に対応できる体制を整えている

　EYストラテジー・アンド・コンサルティングの小川真毅氏（テクノロジーコンサルティング　サイバーセキュリティ共同リーダー　パートナー）は次のように述べている。

　「調査は、日本国内においても多くの組織に対して脆弱性管理の見直しを迫る結果となった。フロンティアAIの進化により、これまで見逃されていた軽微な脆弱性や、忘れられていた資産およびIDが複合的に組み合わされることで攻撃や侵入が可能となるため、組織は資産やIDおよびそれらに内包され得る脆弱性を可視化するための取り組みを改めて強化する必要がある」