セキュリティ 専門家の55%が情報漏洩の隠蔽を指示される-Bitdefender グローバルレポート

セキュリティ企業のBitdefenderが、フランス、ドイツ、イタリア、シンガポール、英国、米国の6カ国、経営層から現場の実務担当者まで1200人のIT・セキュリティ専門家を対象に実施した年次調査の最新版を公開しました。このレポートのポイントは企業で発生した情報漏洩を隠すよう指示された経験を持つ担当者が過去最高水準で高止まりしている点と、AIが防御側よりも攻撃側に有利に働いているという実感が現場に広がっている点です。

サマリー

• セキュリティ専門家の55.2パーセントが、情報漏洩を報告せず隠すよう指示された経験があると回答しています
• 52.6パーセントが、AIは防御側よりも攻撃者側に有利に働いていると感じています
• 組織の51.8パーセントしか、従業員が利用しているAIツールを完全に把握できていません
• 経営層は現場の実務担当者よりも、平均で8パーセント高くセキュリティ体制を評価しています
• 76パーセントが、データ主権をベンダー選定の判断基準として重視するようになったと回答しています
• 実際の攻撃の84パーセントがLiving off the Land技術を使っている一方、これを主要な脅威と認識しているのはわずか20.5パーセントです
• 62パーセントがコンプライアンス対応に圧倒されていると感じ、56パーセントは対応を単なるチェックボックス消化だと捉えています

各数字整理表

調査の概要

この調査は2026年4月から6月にかけて実施されたもので、対象は中間管理職から経営層までのマネジメント層と、実際に防御の最前線に立つ実務担当者の両方を含んでいます。Bitdefenderにとってはこれが4回目となる年次レポートで、年ごとの推移を追える点が特徴です。

単発の調査結果だけを見るよりも、複数年のトレンドを見ることで、業界がどこに向かっているのかがより明確になります。

情報漏洩の隠蔽体質はなぜ変わらないのか

今回の調査でまず注目したいのが、情報漏洩を報告すべきと分かっていながら隠すよう指示された経験を持つ回答者の割合です。

2023年の調査開始時点では42パーセントでしたが、2025年には57.6パーセントまで跳ね上がり、2026年は55.2パーセントとほぼ高止まりの状態が続いています。

この期間、米国のSEC(証券取引委員会)によるサイバーセキュリティ開示規則が2023年に施行され、欧州ではNIS2が2024年から適用開始、DORAも2025年初頭に発効しています。制度面での開示義務は着実に強化されているにもかかわらず、隠蔽の実態がほとんど改善していないというのは、単なる制度の不備というより、組織文化に根差した問題であることを示唆しています。

国別に見ると、

米国が69パーセントと突出して高く、ドイツと英国が57パーセントで続き、シンガポールが53パーセント、フランスが47パーセント、イタリアが46パーセントとなっています。

開示義務が最も厳格化されている米国で隠蔽経験の割合が最も高いというのは一見矛盾しているように見えますが、規制が強化されるほど、開示した場合の法的・レピュテーションリスクへの警戒感も強まり、結果として隠蔽の誘因も同時に強化されるという構造があるのかもしれません。

この点は、「モノ言えぬ組織」における内部不正の犯罪心理学モデルで取り上げた、声を上げにくい組織構造の問題とも通底するところがあると感じています。

実際に過去12カ月で何らかのセキュリティ侵害やインシデントを経験したと回答した組織は約8割に上り、その内訳はクラウド環境への不正アクセスが41.8パーセントと最多、次いでBEC(ビジネスメール詐欺)による金銭的・データ的損失が35.9パーセント、ランサムウェアによるデータ暗号化が25.6パーセントと続きます。地域別では、米国はBECが55パーセントと突出して多い一方、欧州各国やシンガポールではクラウドへの不正アクセスが最多となっており、攻撃の主戦場が地域によって異なる点も実務上参考になります。

AIは防御側より攻撃側に有利という実感が広がる

AIを巡る脅威の議論は、この数年で急速に温度感が変化しています。Bitdefenderは2008年からセキュリティ製品にAIを組み込んでおり、AI関連特許も多数保有する立場ですが、2023年の調査時点ではAI駆動型脅威について質問項目にすら含めていませんでした。それが2024年には96パーセントがAI脅威への懸念を表明し、2025年には63パーセントが自組織でAIが関与したと考えられる攻撃を経験したと回答するまでになっています。

そして2026年の調査では、組織を脅かす攻撃手法の上位3つがすべてAIに関連するという結果になりました。具体的には、AI駆動型マルウェアの進化(ポリモーフィック型ペイロードや自動難読化)が37パーセント、AIを活用したソーシャルエンジニアリング(ディープフェイクや音声クローニング)が36パーセント、AI駆動型の攻撃オーケストレーション(自律的なスキャンや適応的な横展開)が34パーセントという内訳です。

一方で興味深いのは、Bitdefenderの技術部門責任者のコメントとして紹介されている見解です。APT36がAI生成マルウェアをほぼ毎日のペースで展開している実例を分析したところ、その内容自体に技術的な革新性は見られなかったとのことで、AIは攻撃の技術水準の天井を押し上げているのではなく、これまで稚拙だった攻撃者の実行水準の底上げに寄与しているという分析です。攻撃件数や巧妙さの体感が増す一方で、技術的なブレークスルーというよりは、これまで手が回らなかった攻撃者層の参入障壁が下がっているという捉え方は、防御側の対策の優先順位を考えるうえでも参考になります。実際、AI攻撃を業界の誇大宣伝(ハイプ)にすぎないと考える懐疑派は17.5パーセントまで減少しており、AI脅威への認識は急速に既定路線化しつつあります。この傾向は、サイバー攻撃のAI活用が高度化・標準化しているという調査結果や、ロシア系脅威アクターがAIエージェントを用いてEDRを回避するマルウェアを展開している事例とも符合する内容です。

シャドーAIという新たなガバナンス課題

もう一つ、IS部門として見過ごせないのがShadow AIの問題です。今回の調査では、従業員が利用しているAIツールやLLMについて完全な可視性を持っていると回答した組織はわずか51.8パーセントにとどまり、44.8パーセントは公式に導入したLLMは把握しているものの個人契約のAIサービスの利用実態までは追えておらず、2.5パーセントに至っては利用実態を全く追跡できていないという状況です。

これはShadow IT問題の延長線上にあるように見えますが、実際にはより検知が難しく、機密情報が漏洩した場合の被害規模も桁違いに大きくなり得ます。従業員が業務上の質問や資料作成のために個人アカウントで生成AIサービスに機密情報を入力してしまうケースは、技術的な対策だけでなく、利用ガイドラインの整備とガバナンス体制の構築という組織的な対応が不可欠な領域です。今後12カ月の取り組み優先順位に関する設問でも、AIガバナンス体制の整備が40パーセントでトップとなっており、Shadow AI向けの攻撃対象管理が35パーセント、LLMとのやり取りの継続監視が34パーセントと、AI関連の統制強化が軒並み上位に来ています。

経営層と現場に生まれる認識のギャップ

今回の調査で私が個人的に最も興味深いと感じたのが、経営層と実務担当者の間に存在する認識のギャップです。経営層は自組織のセキュリティ体制について、現場の実務担当者よりも平均で8パーセント高く評価しています。

この差は特定の項目でさらに顕著になります。AIツールの利用状況を完全に把握できていると答えた割合は、経営層で57.8パーセントなのに対し実務担当者では45.9パーセントと、11.9ポイントもの開きがあります。セキュリティギャップを解消できるという自信、事業目標とセキュリティ施策の整合性、内部で育成すべきスキルの理解度、コンプライアンス対応の負担感についても、いずれも経営層の方が楽観的な評価をしています。

これは両者が異なる脅威認識を持っているというより、同じ脅威を異なる視点から見ているために生じるギャップだと捉えるのが妥当でしょう。経営層は戦略的な進捗や投資対効果を見ている一方、現場は人員不足やアラート疲れ、日々拡大する攻撃対象領域といった運用上の現実に直面しています。IS部門の管理職としては、この温度差を経営層への報告の際にどう埋めるかが、今後の予算獲得やリソース配分の議論において重要な論点になると感じます。

米国に見る「自信」と「逼迫」の同居

地域別の結果の中でも、米国のデータは一見矛盾した傾向を示しており興味深いものがあります。米国の回答者は、逼迫度を示す指標(AIが攻撃者に有利69.7パーセント、アラート量の管理に苦慮61.7パーセント、セキュリティ統制が常態的に回避されている66.7パーセント、24時間体制の不備63.2パーセント)のいずれにおいても、全体平均を15から20ポイント上回る高い数値を示しています。

ところが同時に、自信を示す指標(ベンダーを戦略的パートナーと見なす84.1パーセント、セキュリティと事業目標の整合79.1パーセント、セキュリティギャップを解消できる自信87.1パーセント)においても、これまた全体平均を大きく上回っています。逼迫感と自信が同時に高いというのは矛盾のようですが、投資額の大きさが自己評価の高さに直結しているという文化的な要因も背景にあると考えられます。データ自体はこの矛盾を解消してくれるわけではなく、あくまで実態として測定しているにすぎない、という調査側のコメントは率直で、示唆に富んでいると感じました。

データ主権が調達基準として台頭

セキュリティ製品の選定基準として、これまでは「データがどこに保存されているか」が主な関心事でした。しかし今回の調査では、76パーセントの回答者が、データ主権(誰がデータにアクセスでき、誰が管轄権を持つか)をベンダー選定の重要な判断基準として位置づけるようになったと回答しています。

さらに興味深いのは、データ主権を重視すると答えた割合(77パーセント)と、実際にそれを理由にベンダーを乗り換える意向がある割合(76.1パーセント)がほぼ一致している点です。これは単なる建前ではなく、既に意思決定の基準として機能していることを示しています。地域別では米国が87.1パーセントと最も切り替え意向が強く、英国85.0パーセント、ドイツ77.0パーセントと続き、フランスやイタリアでも6割を超える水準です。

レポート内でIDCの市場分析(2026年発行)が引用されており、問いの重心が「プラットフォームはどこでホストされているか」から「誰がそれを統治し、どの国の政府がプロバイダーに法的な影響力を行使し得るか」へと移行していると指摘されています。実際、BitdefenderはOVHcloudと提携し、2025年10月にSecNumCloud認証を受けたサービス上で主権型サイバーセキュリティプラットフォームを立ち上げています。日本企業にとっても、海外クラウドサービスや海外ベンダー製品を選定する際、契約条項における データ所在地・管轄権・再委託先条項の確認は、今後より重要な監査項目になっていくと考えられます。

見過ごされがちなLiving off the Landの脅威

今回のレポートの中で、個人的に最も実務的な示唆に富むと感じたのがこの項目です。Bitdefender Labsが70万件を超えるインシデントを分析した結果、大規模な攻撃の84パーセントがLiving off the Land(環境内に既に存在するツールを悪用する手法、いわゆるLOTL)を用いていることが分かりました。ところが、これを脅威トップ3に挙げた回答者はわずか20.5パーセントにとどまり、実際の脅威発生率と現場の脅威認識の間には63.5ポイントという、レポート内で最大のギャップが生じています。

LOTL攻撃はPowerShellやWMI、RDPといった、既に環境内にある正規の管理ツールを悪用するため、マルウェアシグネチャで検知されず、攻撃者の挙動が通常の管理作業と見分けがつきにくいという厄介な性質を持っています。今年の調査でAI駆動型マルウェアの進化(37.5パーセント)やAI強化ソーシャルエンジニアリング(36.2パーセント)が主要な懸念事項として挙げられている一方で、実際に攻撃で最も多用されている手法への注意が相対的に手薄になっているのは、AIというトピックの話題性が、既知だが地味な脅威への意識を薄めてしまっている可能性を示しています。IS部門としては、新しい脅威への対応と並行して、こうした基本的だが継続的な脅威に対する振る舞い検知ベースの防御を怠らないことが、引き続き重要だと再認識させられます。

EDR/XDRの複雑化とコンプライアンス疲れ

ツールの複雑化も看過できない課題です。現在使用しているEDR/XDRプラットフォームを「バランスが取れていて効率的」と評価した回答者はわずか39パーセントで、25パーセントは「複雑で相当な手作業が必要」、15パーセントは「過度に複雑でリソース制約により利用が限定的」、9パーセントに至っては「実質的に使われていないシェルフウェア」と回答しています。

攻撃対象領域を縮小する必要性については57.0パーセントが認識しているものの、38.0パーセントがハードニングルールや例外設定の維持にかかる負荷の高さを障壁として挙げており、認識と実行の間に大きな溝があります。

コンプライアンス対応についても同様の構図が見られます。62パーセントがコンプライアンス対応を圧倒的だと感じ、61パーセントは手作業でのリサーチや文書化のために必要以上に複雑になっていると回答、そして56パーセントは自組織の対応を単なるチェックボックス消化だと捉えています。監査をパスすることと実際に攻撃を防ぐことは必ずしもイコールではなく、セキュリティ統制が監査対応の形に最適化されてしまうと、実際の脅威に対する防御力とは乖離してしまうリスクがあります。全回答者の48.0パーセント(米国では66.7パーセント)が、業務上の都合でセキュリティ統制が一時的にでも回避されることがあると答えている点も、この構図を裏付けています。

人材不足の背景にある複合的な要因

サイバーセキュリティ業界の人材不足は今に始まった話ではありませんが、今回の調査ではその原因が単純な人材の絶対数不足だけではないことが示されています。回答の内訳を見ると、市場に必要なスキルを持つ人材が根本的に不足していると答えたのは31パーセントにとどまり、資格要件や職務要件が実態にそぐわず非現実的だという回答が21パーセント、リモートワーク不可などの制約により地域外の人材を活用できないという回答も21パーセント、市場の相場賃金を払う意思が組織側にないという回答も20パーセントに上ります。つまり、人材不足の約7割は採用側の制度や姿勢に起因する部分が大きいということになります。

この状況を受けて、多くの組織はツールの統合とMDR(マネージド検知・対応)サービスの活用という二正面作戦を取り始めています。ツールをこれ以上増やすのではなく、少数の統合されたプラットフォームに集約し、24時間体制の穴を外部サービスで埋めるという発想です。実際、現有のセキュリティツールを十分に使いこなす時間や専門性が不足していると答えた割合は、米国で60.2パーセント、英国46.5パーセント、シンガポール43.5パーセントと軒並み高く、ツールを導入しても使いこなせていない実態が浮き彫りになっています。

IS部門として押さえておきたいポイント

今回のレポート全体を通じて見えてくるのは、複雑さが単純さを上回り続けているという構図です。コンプライアンス対応が実際の脅威防御より優先されがちであること、AIが攻撃と防御の両方を作り変えつつあること、そして経営層と現場の間で見えている景色が違うこと。これらはいずれも単独の技術的な対策では解決できない、組織的な課題です。

レポートの結論でも触れられている通り、今後強靭な組織になり得るのは、ツールの数や予算規模で勝る組織ではなく、複雑さを削減し、可視性を取り戻し、実際に効果のある対策に注力できる組織だという指摘には説得力があります。情報漏洩の隠蔽体質にせよ、Shadow AIの放置にせよ、根底にあるのは可視性の欠如という共通の課題であり、IS部門としてはまずここから手をつけるのが現実的なアプローチになるのではないでしょうか。

出典

• Bitdefender Cybersecurity Assessment 2026
• Study finds most Businesses ask Employees to conceal Data Breaches – Cybersecurity Insiders

関連記事

AndroidやWindows端末に感染するマルウェアがウイルス対策ソフトメーカーの偽サイトで拡散 EDR製品の導入検討中の方必見！選び方から導入要件まで解説 製品比較表付き ユニクロ、ジーユーを運営するファーストリテイリングが委託先事業者の従業員が必要な権限範囲を超えて個人情報を閲覧できた事を発表｜セキュリティ インシデント 事例 警察共済組合職員が個人情報を漏洩させSNSで販売|セキュリティ インシデント 事例 ZscalerがAI セキュリティ 企業SPLXを買収 中国系 ハッカーがMicrosoft SharePoint の ToolShell の脆弱性を悪用しサイバー攻撃 (CVE-2025-53770) 千葉 鴨川市 職員が不正アクセスし市民や職員の人事情報を閲覧 CrowdStrike(クラウドストライク)、内部情報をハッカー グループへ漏洩した社員を解雇 日本カーソリューションズ、フィッシングメールから社員名簿と連絡先などの情報が流出

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)