ディレクターズ カット：サイバー リスクの変化に取締役会の監督体制が追いついていない状況

取締役会レベルで監督が必要なサイバー リスク：組織のセキュリティ制御を上回るスピードで加速するAIを悪用した攻撃、被害者が身代金の支払いを拒否した場合でも続くランサムウェアの影響、信頼されたアクセスをめぐるガバナンスの不備を露呈させる内部脅威、暗号技術の移行に向けた早期の計画を迫る量子コンピューティングのリスク。

多くの組織のガバナンス体制の整備を上回るスピードで進んでいるAIの進化

8月下旬、100社を超える大手テクノロジー企業が発表した警告では、AIを悪用したサイバー攻撃が数年後ではなく数か月以内に規模と巧妙さの両面で大幅に拡大する可能性が指摘されました。The Wall Street Journalによると、OpenAIもこの点を強調しており、近日公開予定のAstraモデルについて、サイバー攻撃能力が十分に高く、追加の安全対策、より厳格な監視、限定的な一般公開が必要だと説明しました。これは、社内テストにおいて、Astraが人間による限定的な関与だけでこれまでにない新たな攻撃を考案し、実行できることが確認されたためです。

AIは、攻撃者に一層優れたツールを提供しているだけではありません。攻撃活動のスピード、規模、コストを変化させており、準備、封じ込め、復旧に関する経営陣の想定を上回る可能性があります。Zscalerの最近の調査も、組織内部に同様のギャップが存在することを示しています。AIセキュリティへの対応準備状況について評価した400社以上の組織のうち、AIに特化したアクセス制御、AI資産の継続的な追跡、プロンプトと応答の検査を実施していた組織は1社もありませんでした。

最も重大なギャップを解消するために必要なツールは、87%のケースですでに導入され、ライセンス取得済みでしたが、十分に有効化または設定されていませんでした。取締役にとって、この問題は支出の問題というより、実行の問題のように見えます。経営陣は、自社に実際にどのようなAIのリスクが存在するのかを特定し、既存のツールによって最も重要なギャップに対処できるかどうかを示すとともに、そうした制御を実際どのように有効化、設定、管理するのかを説明できる必要があります。

取締役会が経営陣に確認すべき点

• 現在、自社のビジネスに最も関連するAI関連リスクは何ですか？現在、どこで最も大きなリスクにさらされており、最も重要なギャップに対処できる既存のセキュリティまたはガバナンス ツールとして、すでに保有しているものは何ですか？

• 正式に承認されたチャネル以外での活動も含め、組織全体におけるAIの利用状況、AIを活用したワークフロー、AIに接続された資産をどのように特定し、追跡していますか？

• 従業員やサードパーティーによるAIの利用を通じて機密情報が露出しないよう、プロンプトと応答を検査するために現在どのような制御を導入していますか？あるいは、どのような制御が必要ですか？

公共部門の被害者が身代金の支払いを拒否するなかで、高まり続けるランサムウェアの圧力

米国では、ランサムウェア グループが司法省のアルコール・タバコ・火器及び爆発物取締局から盗み出したとみられる機密性の高い法執行関連ファイルをリークしました。同局は、このサイバー インシデントを「重大」と公表していました。同様に、ベルリン政府は、攻撃者が個人情報、認証情報、内部文書など5TBを超えるデータを盗んだと主張した後、約230万ドルの身代金要求には応じないと表明しました。これらの事例は、たとえ作戦を封じ込めることができたとしても、その後に生じる影響は依然として深刻なものになり得ることを示しています。

Ransomware.liveによると、2026年のこれまでのランサムウェア被害者数は6,937件に上り、2025年の同時期と比べて33.6%増加しています。ここから示唆されることは、ランサムウェアへのレジリエンスを復旧計画だけに依存できないということです。ゼロトラスト アーキテクチャーは、攻撃対象領域を縮小し、不要なアクセスを制限し、攻撃者が侵入した後のラテラル ムーブメントを困難にすることで、リスク軽減に役立ちます。

取締役会が経営陣に確認すべき点

• 攻撃者が自社環境内のどこかに最初の足場を築いた場合、ラテラル ムーブメントをどの程度効果的に制限できていますか？

内部リスクはセキュリティだけでなくガバナンスの問題

元国防情報局職員Nathan Vilas Laatschの有罪答弁は、内部リスクが、正当なアクセス権と内部統制に関する知識を持つ信頼された職員から生じる可能性があることを改めて示しています。司法省によると、LaatschはDIAの内部脅威部門に所属し、最高機密のセキュリティ クリアランスを取得していました。また、安全なシステムから機密性の高い資料を持ち出したうえで、外国政府に機密情報を提供しようとしたことを認めました。

より広い意味での教訓は、内部リスクが高い信頼、特権アクセス、部門横断的なエスカレーションの弱さが重なるところで最も危険になるということです。効果的な監視には、単にポリシーを定めるだけでは不十分です。アクセス範囲を厳格に限定し、異常な行動やデータの移動を監視し、リムーバブル メディアを制御するとともに、セキュリティ、人事、法務、コンプライアンス、経営陣にまたがる正式な内部脅威対策プログラムを整備することが重要です。サイバーセキュリティ インフラストラクチャー セキュリティ庁(CISA)のこのガイドが参考になるでしょう。

取締役会が経営陣に確認すべき点

• セキュリティ、人事、法務、コンプライアンスを統合した正式な内部脅威対策プログラムを整備していますか？また、異常なアクセス、データの移動、従業員のリスク指標の変化を監視していますか？

取締役会レベルの移行課題になりつつある量子リスク

量子コンピューティングは、ほとんどの組織にとって直ちに業務上の脅威となるものではありません。しかし、将来的には機密データ、トランザクション、通信を保護している暗号化を弱体化させる可能性があるため、ガバナンス上の課題になりつつあります。より近い将来に懸念されるのが、「収集しておいて後で復号する」という脅威です。攻撃者は現在暗号化されているデータを盗み出し、量子コンピューティングの能力が向上するまで保管しておく可能性があります。

ガバナンスの観点からは、量子コンピューティングへの対応準備を遠い将来の科学プロジェクトではなく、移行計画の課題として捉えるべきです。米国国立標準技術研究所(NIST)はすでにポスト量子暗号の標準規格を策定しており、大手テクノロジー プロバイダーも移行計画に着手しています。Zscalerの「The Quantum Tipping Point」エグゼクティブ プランも、この取り組みに役立ちます。このプランにより、組織は脆弱な暗号を特定し、長期的なリスクにさらされているデータの優先順位を付け、量子耐性のある制御への段階的な移行を計画できます。

取締役会が経営陣に確認すべき点

• ポスト量子暗号への移行について、経営陣はどのようなロードマップを策定していますか？また、移行に伴うリスクが最も高くなる可能性があるのはどの領域ですか？

Zscalerは、NACD北カリフォルニア支部のパートナーです。サイバーセキュリティやAIリスクに関する取締役会の皆様からのご質問にお答えするためのリソースとして支援しており、取締役会向けの個別説明会の手配も承っています。詳細は、rsloan[@]zscaler.comまでメールでお問い合わせください。