一般社団法人サイバーセキュリティ連盟『 セキュリティ対応実態調査2026 』の調査結果を基に、安全なAI活用の4つのポイントを発表
「対策しているつもり」の罠～AI活用が進む大企業でも安全性の検証が追いついていない～
サイバーセキュリティクラウド レポート「AIの安全な活用へ、利用ルールの整備と技術的検証をどう進めるか」：https://www.cscloud.co.jp/news/report/202610219442/
一般社団法人サイバーセキュリティ連盟「【レポート】「対策しているつもり」の罠〜事業者の誤解が招く2026年・セキュリティ5大死角〜Web・ECサイト運営に関わる500名への調査で判明したセキュリティ運用とAIリスク対応の実態」：https://www.cscloud.co.jp/dx-security/dx_news/20261019-2/
■『セキュリティ対応実態調査2026』調査概要
調査実施日：2026年10月1日
調査主体・企画・設計：一般社団法人サイバーセキュリティ連盟及び同連盟の運営会員企業4社
（株式会社イーシーキューブ、かっこ株式会社、サイバーコマンド株式会社、株式会社サイバーセキュリティクラウド）
調査対象：Webサイト・Webサービスの運営・管理等に関わる方
有効回答数：500名
※複数回答設問は回答割合の合計が100%を超える場合があります。
※各回答割合は小数点以下を四捨五入しているため、合計が100%にならない場合があります。
※本調査は回答者ベースの集計です。本文中の割合は、回答者が勤務先の状況について回答した結果であり、企業数そのものの構成比を示すものではありません。
※本リリースのAIセキュリティに関わる見解は当社の意見であり、連盟および他の運営委員会各社の見解を代表するものではありません。
■AI利用ルールの整備38.6%に対し、AI特有の攻撃への検証は20.6%
生成AI・AIエージェントの利用に伴い、実施しているセキュリティ対策を聞いたところ、最も多かったのは「社内ルール・ガイドラインの整備」で38.6%でした。一方、AIアプリケーションの脆弱性診断は26.6%、プロンプトインジェクション等AI特有の攻撃への検証は20.6%、AIエージェントの外部システム等への権限制限は18.0%にとどまりました。
利用ルールの整備と、AIシステムの安全性を確かめる技術的な検証は、相互に補完する取り組みです。例えば「機密情報をAIに入力しない」というルールがあっても、AIアプリケーションのアクセス制御に不備があれば、本来閲覧できない情報が回答に含まれる可能性があります。利用形態に応じて、情報の参照範囲や操作権限、実際の動作を検証することが重要です。
■企業規模でルール整備に35.7ポイントの差、大企業でも攻撃検証は25.7％
企業規模別に見ると、いずれの対策も従業員規模が大きいほど実施率が高い傾向が見られました。AI利用ルールの整備率は、49名以下の15.2%に対し、1,000名以上では50.9%と半数を超え、35.7ポイントの差がありました。一方、従業員1,000名以上でもAI特有の攻撃への検証とAIエージェントの権限制限はともに25.7%にとどまりました。「生成AI・AIエージェントを利用・導入していない」との回答が5.7%にとどまるAI活用が進む層でも、技術的な検証には取り組みの余地があります。企業規模に加え、AIの利用状況にも着目する必要があります。「利用・導入していない」との回答は、従業員49名以下では40.9％、1,000名以上では5.7％でした。このため、対策の実施割合だけで企業規模ごとの安全性の優劣を判断することはできません。自社の利用実態を把握し、導入段階から必要なルールと技術的対策を検討することが重要です。
生成AI・AIエージェントに関する懸念・課題は「機密情報・個人情報等がAIへの入力を通じて外部へ漏えいすること」が38.2％で最多となり「誤った情報・不適切な内容の生成」が36.6％で続きました。社内情報等を検索・参照するRAGによる権限外情報の取得・出力は27.2％、AIエージェントによる意図しない操作は23.4％でした。
AIが外部システムと連携して業務を実行する場合、管理すべき対象は情報の入出力に加え、操作の範囲にも広がります。AIに付与する権限を必要最小限に制限し、重要な操作には人による承認や監査の仕組みを設けることが重要です。
■安全なAI活用に向けた4つの提言
①AIの利用状況を可視化する
シャドーAIなど未承認の利用ツールも含めて、社内で使われているAIと、扱う情報・外部システムとの連携状況を整理し、管理すべき対象を明確にすることが重要です。
②AIガバナンスと管理体制を整備する
AI利用に関するガイドラインや、AIに入力する情報の取り扱い方針を定め、利用・導入に関する責任体制を明確にすることが重要です。ルールを策定するだけではなく、実際の業務で運用できる状態にする必要があります。
③AIアプリケーションの安全性を技術的に検証する
プロンプトインジェクション、権限外情報の取得、AIエージェントの意図しない操作など、AI特有のリスクを想定した検証を行い、適切な利用環境を整備することが重要です。
④継続的に見直し・改善する
AIモデル、参照する情報、接続先や付与する権限など、AI利用環境の変化に応じてリスクを再評価し、継続的な管理・改善活動をすることが重要です。
■まとめ
本調査では、AI利用ルールの整備が進む一方で、AI活用の安全性を確かめる技術的な対策にはまだ伸びしろがある実態が明らかになりました。この傾向は、AI活用が進む従業員1,000名以上の企業でも同様です。AI活用の広がりとともに、企業が向き合うリスクは情報流出や不適切な出力だけではなく、AIアプリケーションの脆弱性、RAGのアクセス制御、AIエージェントの操作権限へと広がっています。セキュリティ対策は、AIを生産性向上や事業成長に長く生かしていくための基盤として、重要性を増しています。利用ルールの整備にとどまらず、利用実態の把握、技術的な安全性の検証、継続的な見直しを組み合わせていくことが、これからの企業に求められています。
■サイバーセキュリティクラウドのAIセキュリティ事業の展開について
当社は企業の安全なAI活用を支援するため、AI MONBAN、AI アプリケーション脆弱性診断サービス、AI ガバナンスアセスメントサービス、AI セキュリティ改善・実装支援サービスなど、AI利用の管理から技術的な安全性の検証・改善まで、複数の領域にわたるサービスを展開しています。
詳細はAISecurityページをご覧ください。：https://www.cscloud.co.jp/ai-security/
一般社団法人サイバーセキュリティ連盟について（https://www.cscloud.co.jp/dx-security）
「サイバー攻撃による『深刻な被害』ゼロ」を目指して「日本のDXをもっと安全に」するための様々な活動を展開しています。既にサイバーセキュリティに取り組まれている方への強化コンテンツはもちろんのこと「サイバーセキュリティって、必要なの？」「サイバー攻撃対策って、何をするの？」という方にも分かりやすく、その必要性や具体的な対策方法などが分かるコンテンツを提供しています。
株式会社サイバーセキュリティクラウド（https://www.cscloud.co.jp）
所在地 ：〒141-0021 東京都品川区上大崎3-1-1JR東急目黒ビル13階
代表者 ：代表取締役社長兼CEO小池敏弘
設 立 ：2010年8月
「世界中の人々が安心安全に使えるサイバー空間を創造する」をミッションに掲げ、世界有数のサイバー脅威インテリジェンスを駆使したWebアプリケーションのセキュリティサービスを軸に、脆弱性情報収集・管理ツールやクラウド環境のフルマネージドセキュリティサービスを提供している日本発のセキュリティメーカーです。私たちはサイバーセキュリティにおけるグローバルカンパニーの1つとして、サイバーセキュリティに関する社会課題を解決し、社会への付加価値提供に貢献してまいります。
