日本企業の14.5％は「社内シャドーAIの検出機能なし」、初歩的なコントロールに後れ──Okta調査

　2026年7月30日、Okta Japanは、グローバル調査レポート「Global CISO Insights 2026」を公開した。

グローバルの調査結果

• AIアクセスのスプロール化への懸念：グローバルのCISOの81％が、過剰なAIアクセス権限がレビューされないまま放置されること、すなわち「AIアクセスのスプロール化（無秩序な拡大）」に強い懸念を抱いている
• 人間用ルールの流用が生む盲点：多くの組織がきめ細かい制御ではなく広範なアクセス制御を使用しており、組織の21％が共有認証情報やサービスアカウントをAIエージェントに使い回している。さらに4人に1人のCISOが、AIに対して人間のユーザーと全く同じアイデンティティ管理を適用している
• AIの可視化と制御の欠如：このような盲点が引き金となり、自社の環境内にあるすべてのAIエージェントを「所在を特定できる（47％）」、「接続先を制御できる（46％）」、または「アクションを承認できる（45％）」と自信を持っているCISOはいずれも半数未満にとどまっている
• シャドーAIの蔓延と受動的な対応：CISOの68％が、組織内に未承認のAI（シャドーAI）が少なくとも一部存在すると認識している。しかし、発見時の対応は「アクセスをブロックする（35％）」が最多であり、これは従業員の利用ニーズを満たさず、かえって水面下での利用を助長してしまうため、根本的な解決にいたっていない
• 経営陣および取締役会との連携不足：許容できるAIリスクレベルについて、経営層および取締役会と「完全に認識が一致している」と感じているCISOは31％。この意思統一の欠如が、責任あるAI導入に必要なセキュリティ投資を確保する上でのハードルとなっている

日本の調査結果

• 世界とは逆行する「セキュリティ第一」の姿勢：グローバル全体では約半数（49％）の組織が「セキュリティよりもイノベーション（AIの迅速な導入）を優先する」と答え、英国にいたっては約7割（68％）に達するなど、世界的にAIの活用を急ぐ傾向が顕著。対照的に日本では「イノベーション優先（約30％）」を「セキュリティ優先（34％）」が上回った
• シャドーAI検出能力の深刻な遅れ：高いセキュリティ意識とは裏腹に、日本のリーダーの14.5％が「自組織にはシャドーAIの効果的な検出機能がない」と明かしている。グローバル平均が5.2％であり、英国（1.0％）や米国（2.3％）など他国が軒並み1〜3％台にとどまる中、日本における初歩的なコントロールの導入遅れが突出している
• 一貫したガバナンスの不在：日本のリーダーの約12％が、AIエージェントのアイデンティティおよびアクセスガバナンスに対して「組織として一貫したアプローチをまだ持っていない」と回答しており、グローバル平均（6％）の約2倍に上るなど、ガバナンスの未整備が課題となっている

調査概要 

　同レポートは、306名の最高情報セキュリティ責任者（CISO）、サイバーセキュリティ責任者、その他の上級セキュリティ幹部を対象としたグローバル調査に基づいている。

• 調査対象：世界6ヵ国における306名のCISO、サイバーセキュリティ責任者、組織の情報セキュリティポリシーやリスク管理を統括するセキュリティ幹部
• 国別の回答者内訳：英国（33.0％）、日本（24.8％）、米国（14.1％）、フランス（11.1％）、カナダ（8.5％）、ドイツ（8.5％）
• 調査実施時期：2026年6月

【関連記事】
・MCPの設定ミスがひとつあるだけで全体を乗っ取られる──Okta渡邉社長が警告するAIエージェントのアイデンティティのリスク
・ディスカウントスーパーのオーケー、ID統合認証基盤に「Okta」導入　IaC連携で管理運用の自動化も
・AIエージェントのアイデンティティをどう管理するか──Okta CEOトッド・マッキノン氏に聞く