Proofpoint「Voice of the CISO 2026」— 耐性は改善するもAIがCISOの職務を拡大、78%が対策に不安

要点

• Proofpointは2026年9月9日、年次調査「2026 Voice of the CISO report」を公開した。世界16カ国で従業員1,000人以上の組織に所属するCISO 1,600人（各国100人）を対象に、2026年5月にCensuswideが調査を実施した。
• 重大なサイバー攻撃を受けるリスクを感じると答えたCISOの割合は、2025年の76%から2026年は61%へ低下した。重大なデータ損失を経験した割合も66%から53%へ低下し、耐性（レジリエンス）の改善が示された。
• 一方で、Proofpointは「AIがCISOの職務を拡大している」と指摘する。生成AIをセキュリティリスクとみる割合は、2025年比で18ポイント上昇して78%に達した。AIアシスタントやコパイロットの安全な利用を今後2年の最優先課題とする回答は85%に上る。

調査の概要と背景

「Voice of the CISO」は、Proofpointが毎年実施するCISOの意識調査である。2026年版は、米国、カナダ、ブラジル、メキシコ、英国、フランス、ドイツ、イタリア、スペイン、オランダ、アラブ首長国連邦、サウジアラビア、オーストラリア、日本、シンガポール、インドの16カ国で、各国100人のCISOを対象にした。

Proofpointのグローバル常駐CISOであるPatrick Joyce氏は、「AIがCISOの責務を根本的に変えている。ビジネスを技術リスクから守りつつ、変革的な技術を安全かつ迅速に受け入れる両方を同時に求められている」とコメントしている。

主な調査結果

重大攻撃への懸念とデータ損失は低下

• 今後12カ月で重大なサイバー攻撃を受けるリスクがあると答えた割合は、2025年の76%から2026年は61%へ低下した。
• 重大なデータ損失を経験した割合も、2025年の66%から2026年は53%へ低下した。
• しかし、56%のCISOは「組織は標的型攻撃に対処する準備ができていない」と依然として回答している。

懸念の対象は、日常業務に組み込まれた技術へ移行している。CISOがリスクを感じるとした領域は、コラボレーションプラットフォーム（34%）、AIアシスタントやコパイロット、自律エージェント（33%）、SaaSやサードパーティ連携（33%）、公開された生成AIツール（31%）、クラウドストレージやファイル共有（30%）であった。

人的リスクが最大の脆弱性に

• 組織の最大の脆弱性として「人的リスク」を挙げたCISOは79%に達し、2025年の66%から大幅に上昇した。
• 重大なデータ損失を経験した組織では、原因として「悪意ある内部者・犯罪的な内部者」（46%）が最多で、「不注意な内部者」（38%）、「侵害された内部者」（38%）が続いた。
• 重大なデータ損失を経験した組織のCISOの93%は、「退職する従業員が関与した」と回答した。

データ損失の影響は深刻化

件数自体は減少したものの、損失が発生した場合の影響は悪化している。

• 規制当局による制裁を受けた割合は34%から40%へ上昇した。
• 金銭的損失を被った割合は27%から38%へ上昇した。
• 攻撃後の復旧コストがかさんだとした割合は32%から38%へ、風評被害を受けた割合は31%から37%へそれぞれ上昇した。

AIを巡る期待と不安

• 生成AIをセキュリティリスクとみる割合は、78%に達し、前年比で18ポイント上昇した。
• AIアシスタントやコパイロット、自動化の安全な利用を今後2年間で最優先とする割合は85%であった。
• 一方で、79%のCISOは「今後2年間、AI関連リスクの管理を、資源や専門性の相応の増加なしに求められる」と回答した。
• 76%は「従業員が機微データを露出させる形でAIを利用する可能性が高い」とみている。77%が公開された生成AIツール経由での顧客データ損失を懸念し、78%が従業員の生成AI利用をブロックまたは制限している。
• 86%は「AIやSaaS、現代的な働き方によって生じるリスクを、自社の統制で効果的に緩和できている」と回答しており、防御への自信と従業員のAI利用への不信が併存している。

取締役会との関係

• 取締役会とサイバーセキュリティについて見解が一致していると答えたCISOは85%で、2025年の64%から大幅に上昇した。
• 取締役会がサイバーリスクを企業価値、ダウンタイム、風評被害、業務 disruption、機微データの損失といった事業の観点から評価しているとの回答が目立った。
• 一方で、77%が「過度な期待をかけられている」と感じている。86%は「取締役にサイバーセキュリティの専門性が求められるべき」と回答し、2025年の66%から上昇した。

日本の読者への示唆

調査対象16カ国には日本が含まれており、日本のCISO 100人の回答も結果に反映されている。Proofpointは国別の詳細は報告書本体で公開しているとしている。

日本でも生成AIツールの業務利用やSaaS連携が急速に拡大しており、CISAやIPAが繰り返し指摘する「人起点の対策」「退職者を含む内部者のデータ管理」「AIガバナンス」の重要性が、今回のグローバルな調査結果でも裏付けられた形だ。Proofpointは「レジリエンスの改善はリスクの複雑さの低下を意味しない。リスクは人、データ、アプリケーション、AIが日々どのように相互作用するかに紐づいている」と指摘している。

Proofpointは、報告書の全文を公式サイトで公開している。

出典

• Proofpoint「Proofpoint 2026 Voice of the CISO Report Finds Cyber Resilience Improving, While AI Expands the CISO Mandate」（2026年9月9日） https://www.proofpoint.com/us/newsroom/press-releases/proofpoint-2026-voice-ciso-report-finds-cyber-resilience-improving-while-ai
• 報告書本体（ホワイトペーパー） https://www.proofpoint.com/us/resources/white-papers/voice-of-the-ciso-report