2026年7月22日、ガートナージャパン株式会社（Gartner）は「Gartner、CISOがAIによる混乱の中で機会を捉えるために注力すべき戦略的重点領域を発表」を公表しました。同日から24日まで開催された「ガートナー セキュリティ&リスク・マネジメント サミット」のオープニング基調講演で、シニア ディレクター アナリストのオスカー・イサカ氏が、AIが機会とサイバーセキュリティ上の混乱の双方を加速させる中で、CISOが重点的に考えるべき領域を解説しています。
CISOとは、企業や組織の情報セキュリティを統括する最高情報セキュリティ責任者のことです。今回の発表はアンケート調査や統計調査の結果ではなく、AIによる環境変化を踏まえてGartnerがCISOやセキュリティ・リーダーに示した見解と戦略的な提言です。
AIエージェントや自動化ワークロード、マシン同士のやりとりが増えると、企業のシステムを利用する主体は人間だけではなくなります。従来の「人のアカウントを守る」「攻撃を防ぐ」といった考え方だけでは捉えにくい領域が増える中で、企業はセキュリティをどのように考え直せばよいのでしょうか。
GartnerがCISOに示した、AI時代に見直すべき3つのセキュリティ重点領域
Gartnerがセキュリティ・リーダーに示した優先事項は、「アイデンティティ／アクセス管理（IAM）を近代化するためにAIへ投資する」「サイバー攻撃を日常の一部と捉え、勝利の条件を再定義する」「自らをイノベーターとして自覚する」の3つです。
この3項目に1位、2位、3位といった重要度の順位が付けられているわけではありません。AIの普及によって変化する権限管理、サイバー攻撃が起きた場合の対応、平時から改善を続ける仕組みという、セキュリティ運営の異なる側面を見直す提言と捉えられます。
まず変化が表れやすいのが、誰が何を利用できるのかを決める権限管理です。
AIエージェントが増えるほど、「人のアカウント」だけを前提にしたIAMでは足りなくなる
IAMは「Identity and Access Management」の略で、誰が、どのシステムや情報へアクセスできるのかを管理する仕組みです。
Gartnerは、AIエージェントや自動化されたワークロード、マシン同士のやりとりが増えることで、クラウドやDevOpsによって既に複雑化していたIAMプログラムへの負荷がさらに高まっていると説明しています。
また、Gartnerによると、人間の利用者と固定的な役割を前提とした従来のモデルは、こうした環境に合わなくなっています。数多くのマシンが常時動く環境では、固定的な役割だけを前提とした権限管理では対応しにくくなるためです。
そのためGartnerは、固定された権限だけではなく、「誰から何を任されたのか」「どこまで自律的に動いてよいのか」「どのような状況で利用しているのか」といった条件を踏まえて権限を管理する必要があるとの見解を示しています。
こうした問題について、Gartnerは2028年までに「エージェント・ベースのアタック・サーフェスを通じた侵害」の25%が、マシン・アイデンティティの不備とコンテキスト認識ポリシーの欠如に起因すると予測しています。アタック・サーフェスとは、攻撃の入口になり得る範囲を指します。
ただし、この25%は、現在発生しているすべてのサイバー攻撃や情報漏えいの25%を意味する数字ではありません。対象はエージェント・ベースのアタック・サーフェスを通じた侵害に限定されており、2028年までについてGartnerが示した将来予測です。
GartnerはAI投資を、脆弱な既存環境へ新たなツールを追加するだけのものではなく、IAMそのものを近代化する機会として利用できるとしています。
「侵入させない」だけでなく、被害を抑えて重要業務を戻せるかまで考える
第2の重点領域は、サイバーセキュリティにおける「成功」の考え方です。
Gartnerは、サイバー攻撃を現代のビジネスで日常的に起こり得るものとして捉え、AIによって攻撃の速度や規模が拡大する中では、「攻撃を完全に防ぐこと」だけを目標にする考え方は非現実的で、成果を証明することも難しくなりつつあるとの見解を示しています。
ただし、これは攻撃を防ぐための対策が不要になるという意味ではありません。防御だけを唯一の成功条件にせず、攻撃を受けた場合に被害をどこまで小さくできるか、重要な業務を維持できるか、どれだけ早く復旧できるかも成果として考えるという転換です。
Gartnerが重視しているのが「レジリエンス」です。ここでいうレジリエンスとは、攻撃などの問題が起きても被害を抑え、重要な業務を続けたり、早く元の状態へ戻したりする力を指します。
そのためには「復旧できるようにしておく」という抽象的な方針だけでは足りません。Gartnerは、組織にとって特に重要な一連の業務に結び付けて、明確な「インパクトのしきい値」を設定する必要があるとしています。
つまり、「どこまでの被害なら許容できるのか」「どの業務は特に止めてはいけないのか」を事前に明確にするということです。こうした条件が共有されていれば、セキュリティを専門部署だけの問題として扱うのではなく、事業部門も含めて守るべき業務や許容できる影響を考えやすくなります。
日常の小さな改善も「イノベーション」と捉え、AIで試行錯誤を回す
第3の重点領域でGartnerが挙げたのが、CISOやセキュリティ・リーダー自身が「イノベーター」としての役割を認識することです。
イノベーションという言葉から、大規模な新規システムの開発や新技術の導入を想像する人もいるかもしれません。しかしGartnerは、インシデントへの対応中に生まれた工夫、複数のツールの統合、問題を回避する方法、日々のワークフロー改善などもイノベーションに含まれるとしています。
Gartnerが指摘する課題は、現場に創造性がないことではありません。既に行われている改善がイノベーションとして認識されず、測定されたり、継続するための時間が確保されたりしていないことです。
AIは、こうした日常的な改善にも利用できます。Gartnerは、テスト環境の構築、攻撃シミュレーション、検知ロジックの生成、復旧シナリオの練習などを、AI支援型のソフトウェア・エンジニアリングや自動化を利用して通常業務へ組み込めるとしています。
ここでGartnerが挙げているセキュリティ・オペレーション・センター（SOC）は、サイバー攻撃や不審な動きを監視し、問題が起きた際の対応などを担う組織です。
Gartnerは2028年までに、AIを効果的に導入するSOCでは、人手によるインシデント対応が30%削減し、アナリストの役割が「対応者」から「監督者」へ移行し始めると予測しています。
この30%は、セキュリティ担当者の人数が30%減るという予測ではありません。削減すると予測されているのは人手によるインシデント対応であり、対象もすべてのSOCではなく、「AIを効果的に導入するSOC」に限定されています。
つまり、Gartnerの予測は人の役割がなくなるというものではなく、SOCアナリストの役割の中心が「対応者」から「監督者」へ移行し始めるという見通しです。
こうした改善を一時的な取り組みで終わらせないため、Gartnerはリーダー自身が試行錯誤のための時間を明確に確保し、実際のシステムや成果に結び付いた低リスクの実験を重ね、そこから得た教訓を数値化することが重要だとしています。
3つの提言を企業の判断に置き換えると、「権限・許容被害・改善」を確認できる
ここまで紹介した3つは、GartnerがCISOやセキュリティ・リーダーに示した重点領域です。これをAI導入に関わる一般のビジネスパーソンにも確認しやすい形へ置き換えると、Focus4編集部では「権限」「許容被害」「改善」という3つの問いとして整理できます。
| 企業が確認する判断 | 対応するGartnerの重点領域 | 確認する内容 |
|---|---|---|
| 権限 | IAMの近代化 | 人間・AIエージェント・マシンに、どの条件で何を許可するのか |
| 許容被害 | サイバー攻撃に対する勝利条件の再定義 | 重要業務は何か、どこまでの影響を許容できるか、どのように復旧するか |
| 改善 | イノベーターとしての自覚 | 平時の実験・訓練・改善へ時間を確保し、得た教訓を次の対策へ反映できるか |
「権限」では、AIを導入できるかどうかだけでなく、そのAIやマシンにどのシステムや情報まで触れさせ、どの条件で操作を認めるのかを確認します。
「許容被害」では、すべての攻撃を防げることを前提とせず、特に守るべき業務と許容できる影響を定め、問題が起きた場合にどのように業務を維持・復旧するのかを確認します。
「改善」では、インシデントが発生してから対策を考えるだけではなく、平時から実験や訓練を行い、そこで得た学びを次の権限設計や対応策へ反映できる状態かを確認します。
なお、この「権限・許容被害・改善」という名称や整理方法は、Gartnerが公式なフレームワークとして示したものではありません。今回の一次資料にある3つの重点領域を、Focus4編集部が企業のAI活用時に使える判断軸として整理したものです。
AIの活用範囲が広がるほど、セキュリティを「新しい防御ツールを追加すること」だけで考えるのは難しくなります。AIやマシンを動かす前に権限を設計し、問題が起きた場合に守るべき業務と復旧条件を決め、平時から改善を続ける。この3点を一連の判断として確認することが、AI時代のセキュリティを考えるうえでの判断材料になります。
