トレンドマイクロは8月21日、「セキュリティ成熟度と被害の実態調査 2026」の結果を公開した。これは、過去3年間でサイバー攻撃による被害を受けた、国内の法人組織（従業員500名以上）の経営者およびセキュリティ・リスクマネジメントの責任者（部長以上）306人を対象に実施したもの。その概要は以下のとおり。
今回の調査では、主に以下4つの現状が明らかになった。
●リスク対策を阻害する2大要因
セキュリティ対策の阻害要因として、統治・識別・防御・検知・対応・復旧の全ての項目で、「人的リソース及び適切なスキルセットの不足」が最多を占めた。次いで、AIをはじめとした新技術の台頭による攻撃対象領域の拡大に伴う「攻撃の高度化」、「複雑化への対処」が上位に挙がった。
●経営層の「行動」こそが業務継続のカギ
ランサムウェアおよびビジネスメール詐欺被害による被害金額と業務停止期間は、いずれも2024年度調査から増加。一方、経営層が報告を単に受けるだけでなく、予算・人員の配分やリーダーシップの発揮など自ら具体的な行動を起こす企業ほど、セキュリティ成熟度が高い傾向にあることが判明した。セキュリティ成熟度が高い企業ほど業務への影響が軽微である傾向も確認された。
●正確な意思決定には経営層との緊密なコミュニケーションが不可欠
セキュリティ成熟度と業務停止期間には、相関性が見られることが判明。また、経営層の関わりが高い業種ほど、セキュリティ成熟度が高かった。
●生成AIの普及スピードとセキュリティ対策のギャップ
ビジネス環境における生成AIの利用は2024年度調査から大幅に拡大しており、ガイドラインの整備や社内教育を実施する企業も増加。一方、システム的な対策（ガードレール）においては、利用アプリケーションの制限や、内部からの情報漏洩対策は進んでいるものの、外部からの攻撃に対する備えは不十分な状況にある。
ランサムウェアによる被害額（合計）については、2023年度から実施しているこの調査において、被害額が5億円以上の占める割合が増加傾向にある。特に「5億円～10億円未満」「10億円以上」の割合が増加。累計被害額の平均は2026年度約3億4800万円。2024年度の調査における同被害額は平均約2億2000万円で、前回より約1億3000万円上がっている。
ランサムウェアを含む「過去3年間のサイバー攻撃による被害額（合計）」については、「被害額はなかった」と回答した割合が2023年度以降増加している（2023年度27.5%、2024年度38.3 %、2026年度42.5%）。累計被害額の平均は2026年度は約1億8900万円。2024年度の調査における同被害額は平均1億7100万円で、前回より約1800万円上がっている。
ランサムウェアによるサイバー攻撃から復旧までに要した業務停止時間は、「10日以上かかった」（1か月以内・半年以内・半年以上を含む）が増加しており、長期化の傾向が見られる。2026年度の平均業務停止時間は、約862.9時間（約36.0日）。2024年度の調査の同時間は平均244.9時間（10.2日）だった。
ランサムウェアを含む「最も被害額が大きかったサイバー攻撃による業務停止期間」は、「業務停止は発生していない」と「1日以上かかった」の両極の割合がそれぞれ増加しており、二極化の傾向があった。2026年度の平均業務停止時間は約369.3時間（約15.4日）。2024年度の調査における同時間は平均147.1時間（6.1日）だった。
関連リンク