情報漏えいを経験したCISOの89％「退職社員が漏えいに関与していた」と回答──プルーフポイント調査

　日本プルーフポイント（以下、プルーフポイント）は、「2025 Voice of the CISO（CISO意識調査レポート）」の日本語版を発表した。

自信を揺るがす懸念事項：CISOは増加する情報漏えいと対応準備不足に直面している

　2025年、日本のCISOの69％（世界平均：76％）は、今後1年の間に重大なサイバー攻撃を受けるリスクがあると予測している。これは昨年の60％（世界平均：70％）から増加している。しかし、45％（世界平均：58％）は自組織の対応準備が整っていないと認めているとした。また、過去1年間で日本のCISOの35％（世界平均：66％）が重大な情報漏えいを経験しているとのことだ（2024年は34％／世界平均：46％）。一方、日本のCISOの64％（世界平均：67％）のCISOがサイバーセキュリティ文化に自信を示しているという。

攻撃手法は多様化、結果は同じ

　ランサムウェア攻撃、メール詐欺、内部関係者による脅威、サプライチェーン攻撃などが主要な懸念事項だとしている。攻撃手法は様々だが、その結果はほとんど同じで、情報漏えいにつながるという。このような高リスクを反映して、日本のCISOの63％（世界平均：66％）がシステム復旧や情報漏えい防止のために身代金の支払いを検討する可能性があると回答しているとのことだ。

情報漏えいの背後に人がいる

　情報漏えいを経験した日本のCISOの89％（世界平均：92％）は、退職した従業員が関与していたと回答しており、昨年の71％（世界平均：73％）から増加。ほぼすべての組織で情報漏えい対策（DLP）ツールが導入されているにもかかわらず、41％はデータの保護が不十分だと感じているという。生成AIの普及にともない、情報保護とガバナンスを最優先事項として挙げるCISOは65％（世界平均：67％）に達しており、セキュリティは「静的な保護」から「状況に応じた柔軟な保護」へと進化しているとのことだ。

変わらず続く「人」の問題

　2025年においても、ヒューマンエラーはサイバーセキュリティ上の最大の脆弱性だと同社は述べる。日本のCISOの63％（世界平均：66％）が「人」を最大のリスクと挙げたとしている。一方で、67％（世界平均：68％）は従業員がサイバーセキュリティのベストプラクティスを十分に理解していると考えているという。このギャップは重要な課題を示しており、意識だけでは不十分であることを浮き彫りにしたとしている。さらに日本の組織の41％では、知識と行動のギャップを埋めるための、内部脅威対策のリソースが依然として不足しているとのことだ。

AIは味方でもあり敵でもある

　日本のCISOの45％（世界平均：60％）は、生成AIが組織にセキュリティリスクをもたらすという。また、41％（世界平均：60％）は、パブリック生成AIプラットフォーム／ツールによる顧客データの流出を懸念しており、コラボレーションプラットフォームや生成AIチャットボットが主要なセキュリティ脅威と見なされているとした。

　しかし、日本のCISOの73％（世界平均：64％）は、安全な生成AIの利用を可能にすることを最優先課題と考えており、制限からガバナンスへのシフトが進んでいるという。多くはガードレールを設けて対応しており、67％が利用ガイドラインを導入し、69％がAIを活用した防御策を検討しているが、昨年の93％からは関心がやや低下。43％（世界平均：59％）は従業員による生成AIツールの使用を全面的に制限しているという。

取締役会におけるCISOの位置

　日本のCISOと取締役会の連携は、2024年の82％（世界平均：84％）から今年は54％（世界平均：64％）へと大きく低下。一方、サイバー攻撃後の業務停止（重大なダウンタイム）が取締役会の最大の懸念事項として浮上しており、サイバーリスクが戦略的優先事項として注目されているという。

年は変わるもCISOへのプレッシャーは続く

　日本のCISOは、増大する脅威と限られたリソースの中で依然として大きなプレッシャーに直面しているという。62％（世界平均：66％）が過剰な期待にさらされていると報告し、50％（世界平均：63％）は過去1年以内に自身または同僚の燃え尽き症候群を経験または目撃したと回答。また、61％（世界平均：65％）は組織が個人的責任から守るための対策を講じていると回答している一方で、37％はサイバーセキュリティ目標を達成するための十分なリソースが不足しているとのことだ。

調査概要

　同調査では、従業員1,000人以上の組織に所属する1,600人以上のCISOを対象にアンケートを実施（2025年3月4～14日）し、セキュリティリーダーと取締役会との連携の変化が、セキュリティの優先事項にどのような影響を与えるかについても分析。また、2025年第1四半期にかけて、16ヵ国の各市場で100人のCISOにインタビューを実施したという（米国、カナダ、ブラジル、メキシコ、英国、フランス、ドイツ、イタリア、スペイン、オランダ、UAE、サウジアラビア王国、オーストラリア、日本、シンガポール、インド）。

【関連記事】
・企業に迫るAIインフラの見直し、APACでエッジITへの投資と活用が加速──Akamai発表
・AIエージェントの存在感高まるも、多くの従業員が「役割の線引き」を重視──Workday発表
・2029年までに、政府機関の60％がAIエージェントを活用し業務を自動化する──Gartner見解