アイデンティティ管理サービスを提供するOktaの日本法人Okta Japanは、新たなグローバル調査レポート「Global CISO Insights 2026」を公開した。本調査は、日本を含む世界6カ国（米国、英国、カナダ、フランス、ドイツ、日本）のCISO（最高情報セキュリティ責任者）をはじめとするサイバーセキュリティのトップリーダー306名を対象に実施された。
AIガバナンスにおけるギャップとシャドーAIの蔓延
多くの組織がAIの業務利用を進める一方で、セキュリティリーダーたちは「人間用のツールではAIの自律的な動きを制御できない」というギャップに直面し、危機感を募らせている。
- AIアクセスのスプロール化への懸念：グローバルのCISOの81%が、過剰なAIアクセス権限がレビューされないまま放置されること、すなわち「AIアクセスのスプロール化（無秩序な拡大）」に強い懸念を抱いている
- 人間用ルールの流用が生む「盲点」：多くの組織がきめ細かい制御ではなく広範なアクセス制御を使用しており、組織の21%が共有認証情報やサービスアカウントをAIエージェントに使い回している。さらに4人に1人のCISOが、AIに対して人間のユーザーと全く同じアイデンティティ管理を適用している。自律的なAIを人間用の枠組みに無理やり当てはめることで、システム上で「個々のAIがどこで何をしているか」を識別できなくなり、エージェント型エンタープライズ全体に広大な盲点が生まれている
- AIの可視化と制御の欠如：このような盲点が引き金となり、自社の環境内にあるすべてのAIエージェントを「所在を特定できる（47%）」、「接続先を制御できる（46%）」、または「アクションを承認できる（45%）」と自信を持っているCISOはいずれも半数未満にとどまった
- シャドーAIの蔓延と受動的な対応：CISOの68%が、組織内に未承認のAI（シャドーAI）が少なくとも一部存在すると認識しています。しかし、発見時の対応は「アクセスをブロックする（35%）」が最多であり、これは従業員の利用ニーズを満たさず、かえって水面下での利用を助長してしまうため、根本的な解決にいたっていない状況
- 経営陣および取締役会との連携不足：許容できるAIリスクレベルについて、経営層および取締役会と「完全に認識が一致している」と感じているCISOはわずか31%。この意思統一の欠如が、責任あるAI導入に必要なセキュリティ投資を確保する上でのハードルとなっている
日本の調査結果：「セキュリティ第一」と「ツール不足」のパラドックス
日本の調査結果における最大の特徴は、日本のCISOたちが世界で最も「セキュリティを重視」する姿勢を示している一方で、実際のガバナンスツールの導入においては深刻な遅れを取っているという事実である。
- 世界とは逆行する「セキュリティ第一」の姿勢：グローバル全体では約半数（49%）の組織が「セキュリティよりもイノベーション（AIの迅速な導入）を優先する」と答え、英国にいたっては約7割（68%）に達するなど、世界的にAIの活用を急ぐ傾向が顕著だった。対照的に日本では「イノベーション優先（約30%）」を「セキュリティ優先（34%）」が上回った
- シャドーAI検出能力の深刻な遅れ：高いセキュリティ意識とは裏腹に、日本のリーダーの14.5%が「自組織にはシャドーAIの効果的な検出機能がない」と明かしている。グローバル平均が5.2%であり、英国（1.0%）や米国（2.3%）など他国が軒並み1〜3%台にとどまる中、日本における初歩的なコントロールの導入遅れが突出している
- 一貫したガバナンスの不在：日本のリーダーの約12%が、AIエージェントのアイデンティティおよびアクセスガバナンスに対して「組織として一貫したアプローチをまだ持っていない」と回答。グローバル平均（6%）の約2倍に上るなど、ガバナンスの「未整備」な状態が大きな課題となっている
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
AIdiver編集部（エーアイダイバーヘンシュウブ）
「AIdiver」（エーアイダイバー）は、株式会社翔泳社が運営する、企業およびビジネスパーソンのAIの利活用にフォーカスしたメディアです。経営、ビジネス、日々の業務をAIで変革したい「AIリーダー」の皆さまに役立つコンテンツを発信します。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア