日本企業の9割弱がセキュリティ人材不足：KPMG調査が示すフィッシング急増と海外子会社の課題
日本企業のサイバーセキュリティを担う現場が、深刻な人手不足に直面していることが、最新の調査で明らかになりました。KPMGコンサルティングが11月13日に公表した「サイバーセキュリティサーベイ2026/27」によると、回答した企業の87.4％がセキュリティ人材が不足していると答え、46.9％の企業では専任の担当者が1人もいないという結果が出ました。攻撃の手口が生成AIによって巧妙になる一方で、守る側の体制が追いついていない現状が浮き彫りになっています。
調査は2026年6月29日から8月12日にかけて、国内の上場企業と売上高1000億円以上の未上場企業のサイバーセキュリティ責任者などを対象に実施され、420社から有効回答を得ました。説明会に登壇したKPMGコンサルティングの澤田智輝氏は、年間10億円以上の被害が出ている実態や、9割弱の企業が抱える人材不足について解説しました。数字が示すのは、サイバー攻撃が一部の大企業だけの問題ではなく、日本企業全体の経営課題になっているという事実です。
4割の企業が金銭的な損失を経験
過去1年間のサイバーインシデントによる被害を見ると、41.4％の企業が「自社に経済的な損失が発生した」と回答しました。次いで「顧客や取引先の個人情報が漏えいした」が32.3％、「自社の従業員の個人情報が漏えいした」が31.3％と続きます。情報漏えいそのものも深刻ですが、直接お金が失われるケースが4割を超えている点は見逃せません。
年間の損失額が10億円以上に上る企業は0.3％で、前回調査の0.8％から減ったものの、依然として確認されています。年間合計の損失が1億円以上となった業種の割合は、「金融」「運輸・物流・倉庫」「商社・卸売・小売等」で高くなりました。特にランサムウェアの被害は、情報を盗むだけでは終わらず、事業そのものを止めてしまうため、収益への直接的な打撃になると調査は指摘しています。システムが止まれば受注も出荷も決済も止まる。被害額の大きさは、攻撃の深刻さを物語っています。
生成AIがフィッシングを巧妙にしている
業務に被害が出たサイバー攻撃では、「ウェブサービスに対する攻撃」と答えた企業が5.4％で最も多くなりました。ただ、件数以上に目立つのは、生成AIを悪用したとみられる攻撃の増加です。フィッシング詐欺による攻撃を受けた企業は、前回調査の52.8％から今回は70.7％へと大きく増えました。ビジネスメール詐欺も、前回の41.8％から65.4％へと上昇しています。
背景にあるのは、生成AIによって自然な日本語の攻撃メールが簡単に作れるようになったことです。これまでは不自然な日本語や誤字が手がかりになり、受信者が怪しいメールを見抜ける場面もありました。今は文章の質が上がり、見分けるのが難しくなっています。ディープフェイクを使った不正な送金指示に関する攻撃も、前回の6.9％から16.1％へと増えました。音声や動画まで偽造される時代に入り、メール1通の確認だけでは防ぎきれない攻撃が広がっています。
サプライチェーンの弱点も浮き彫りに
今回の調査では、委託先や取引先を経由したインシデントも増加していることが分かりました。自社の対策を固めても、取引先の弱い部分から侵入される例が増えているため、サプライチェーン全体でのセキュリティ強化が急務だとされています。
ところが、委託先や取引先の管理はまだ十分ではありません。「委託先に対するセキュリティ指針の整備」や「委託先選定時のセキュリティ対策アンケート取得」の実施率は、どちらも3割強にとどまりました。「システムやサービスを利用した委託先・取引先のセキュリティ対策状況の一元管理」を行っている企業は、わずか9.4％でした。取引先の対策状況を把握していないまま仕事を任せている企業が多いことが分かります。
経済産業省が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度」への関心は高く、53.1％の企業がサイバーセキュリティの取り組みにおいて参照していると回答しました。従業員数が1万人を超える企業では、54.8％が米国国立標準技術研究所が発行するガイドラインやフレームワークを参照しており、組織規模が大きいほど外部の基準を取り入れる傾向が強いことも分かりました。
計画も予算も、人材が足りない
体制面の課題も数字に表れています。サイバーセキュリティの中期計画を策定していない企業は41.3％で、前回調査の44.4％から改善したとはいえ、依然として高い水準です。セキュリティ予算については56.9％の企業が増加させていますが、人材面では87.4％の企業が「人員が不足している、またはやや不足している」と回答しました。
さらに46.9％の企業では、サイバーセキュリティの専任担当者が「0人」という状況も明らかになりました。予算を増やしても、それを使いこなす人がいなければ対策は進みません。兼務の担当者が日常業務の合間に対応している企業も少なくないとみられ、攻撃が高度になるほど、人の手による判断と対応の重要性は高まっています。
海外子会社の管理に残る課題
子会社の管理では、国内と海外で対応に差が見られました。国内子会社に対しては、本社と同じ対策の導入や、CSIRTやセキュリティオペレーションセンターの共通化が進みつつあります。一方、海外子会社に対しては「対策の決定や運用は子会社に任せている」「対策状況を把握していない」とする割合が38.3％に上り、グローバルでのガバナンス統制に課題を残しています。
海外の拠点は言語や法制度、商習慣が異なるため、本社と同じ仕組みをそのまま持ち込むのは簡単ではありません。しかし、海外子会社が狙われれば、そこを足がかりに本社やグループ全体へ被害が広がる恐れもあります。海外展開する企業にとって、現地任せにしない管理の仕組みづくりが今後の焦点になりそうです。
パッチ適用の遅れが攻撃を招く
技術的な対策状況では、「メールセキュリティ対策」が57.9％、「高度なエンドポイントセキュリティ対策」が57.4％、「ネットワークセキュリティ」が57.0％と上位に挙がりました。一方で、「導入したが、運用の一部に課題がある」「導入したが、想定どおりに運用が機能していない」とされた製品として、「資産管理」「ネットワークセキュリティ対策」「アイデンティティーとアクセス管理」などが挙げられています。ツールを入れるだけでは守れないことが分かります。
パッチの適用状況も課題です。公開された脆弱性のうち、緊急度が高いと判断されたものへのパッチ適用について「公開から1週間以内に適用」と回答した企業の割合は、インターネットに公開されているゾーンのシステムで31.6％にとどまりました。「公開から1週間以内に適用」「公開から1カ月以内に適用」を合わせても52.1％でした。
澤田氏は「攻撃そのものが新しくなったというより、各ソフトウェア会社から出ているパッチの適用が間に合っていないがゆえに攻撃されていると想定している。パッチを当てるためには、検証作業が必要になるため、そこに人員や予算を割く必要がある」と説明しました。新しい攻撃手法への対応も大切ですが、基本的なパッチ適用の遅れが被害につながっているという指摘は重い意味を持ちます。
今回の調査が示すもの
今回の調査が示したのは、攻撃の高度化と守る側の人手不足が同時に進んでいるという現実です。生成AIを悪用したフィッシングやディープフェイクによる送金指示は、従業員1人の判断ミスから被害につながります。サプライチェーン経由の侵入や海外子会社の管理不足も、1社の努力だけでは防ぎきれない構造的な課題です。
とはいえ、対策の方向性は見えています。パッチ適用の手順を整えること、委託先の対策状況を把握すること、社内の教育を続けること。そして何より、専任の担当者を置き、セキュリティを経営課題として位置づけることです。予算を増やす企業が半数を超えたことは、前向きな兆しと言えます。次の焦点は、増えた予算を人材の確保と育成につなげられるかどうかです。日本企業のセキュリティ体制が本当に強くなるかは、これからの取り組みにかかっています。
Frequently Asked Questions
KPMGのサイバーセキュリティサーベイ2026/27とは何ですか。
KPMGコンサルティングが実施した日本企業向けのサイバーセキュリティ調査です。2026年6月29日から8月12日にかけて、国内上場企業と売上高1000億円以上の未上場企業のサイバーセキュリティ責任者などを対象に行われ、420社から有効回答を得ました。結果は2026年11月13日に公表されました。
日本企業のセキュリティ人材不足はどの程度ですか。
調査では87.4％の企業がセキュリティ人材が「不足している、またはやや不足している」と回答しました。さらに46.9％の企業では、サイバーセキュリティの専任担当者が0人という結果も明らかになっています。
生成AIを悪用した攻撃はどれくらい増えていますか。
フィッシング詐欺による攻撃を受けた企業は、前回調査の52.8％から70.7％へ増加しました。ビジネスメール詐欺も41.8％から65.4％へ上昇し、ディープフェイクを使った不正な送金指示に関する攻撃も6.9％から16.1％へ増えています。生成AIによって自然な日本語の攻撃が可能になり、見抜くことが難しくなっているとされています。
Post Comment