〇企画趣旨

デジタル社会が加速度的に進展する2026年、サイバーセキュリティはもはやIT領域の一施策ではなく、企業価値と事業継続を左右する経営戦略の中核として再定義されつつあり、その最前線ではAIが攻撃と防御の両面で決定的な影響力を持つようになっています。ランサムウェアや多層的な侵害、生成AIによるフィッシングやディープフェイク詐欺といった巧妙化した攻撃は、数十億件規模の攻撃試行と数百万件に及ぶ深刻な侵害を生み出し、企業・組織の安全保障は前例のない水準で試されています。実際、AIを活用した攻撃は2025年には世界的に数千万件規模に達するとされ、AI関連の脅威を最大のリスクと捉える組織も80％強に上るなど、攻撃の自動化と高速化はすでに現実のものとなっています。

一方で、防御側においてもAIを用いた高度な検知・分析や自動対応が急速に進化し、「人が追いかけるセキュリティ」から「AIと協調するセキュリティ」への転換が不可欠な時代に突入しています。さらに国際的には、EUにおけるサイバーレジリエンス法やAI規制などが企業のリスク管理基準を引き上げ、国家間でもAIを軸とした攻防競争が激化する中、企業には従来型の脆弱性対策を超え、組織横断のゼロトラスト戦略、AI統合型のリアルタイム防御、そして従業員一人ひとりの行動変容を含むセキュリティ文化の定着といった“新たな防衛線”の構築が強く求められています。Gartnerが示すように、生成AIを活用したセキュリティ行動プログラムによってインシデントの大幅な低減が見込まれるなど、技術と組織の両輪での変革が成果を左右する局面に入っています。

本カンファレンスは、こうした急激な環境変化を背景に、最新インシデントの分析からAI時代の攻防構造、国際的な政策・規制動向、そして2030年代のサイバーリスクに勝つための体制づくりとリーダーシップのあり方までを業界トップの専門家・実務者とともに描き出し、参加者が自組織に即した実践的な戦略を構想できる場として開催した。

■基調講演

AI時代のサイバー脅威構造と防衛戦線
～高度化する攻撃に対し、企業はどう生き残るべきか～

◎なぜ、いま前提が変わるのか

この講演は、情報システム部門だけを対象にしたものではない。経営、法務、総務、現場を含め、組織全体でサイバーリスクを同じ地図の上で捉えるためのものである。AIは、攻撃そのものを新しくするだけではなく、攻撃者の運用能力を大きく増幅する。AIを使うことで、攻撃の速度、量、説得力、適応力が同時に高まる。

サイバー攻撃は、「侵入」で終わるものではない。侵入は目的ではなく、あくまで手段である。攻撃者はその先にある金銭化、情報取得、業務停止、信用毀損、さらには説明責任への圧力まで見ている。典型的な流れは、偵察、なりすまし、認証突破、横展開、データ窃取、そして事業や信用への波及である。企業としては、攻撃者が誰かを特定するのを待つ前に、防衛線を機能させる必要がある。

また、攻撃は通常業務の文脈に入り込む。たとえば、役員からの連絡、海外拠点とのやり取り、取引先情報の変更など、正規の業務に見える形で行われる。自然な日本語、時差、役職、社内用語が揃うと、担当者は違和感を持ちにくくなるため、担当者の注意力だけに依存する防御には限界がある。これからは、「違和感で見抜く」時代から、「確認の仕組みで止める」時代へと変わっている。

◎攻撃者は、何を手に入れたのか

AIによって増幅されるのは、主に六つの工程である。偵察、標的理解、なりすまし生成、心理操作、反復試行、越境攻撃である。AIが単独で攻撃を成立させるわけではないが、攻撃者がAIを使うことで作戦速度と自然さを底上げする。本当に怖いのは、超高度な攻撃が突然現れることではなく、「凡庸な攻撃が高品質化すること」である。

AI時代には、攻撃を低コストで繰り返せる。準備にかかる時間や費用が下がり、業界や役職に合わせた自然な文面も作りやすくなる。その結果、攻撃対象は大企業だけでなく、中堅企業や地方企業にも広がっていく。一方、防御側には大きな負荷がかかる。確認すべき量が増え、担当者が疲弊しやすくなるためである。

たとえば、海外送金や請求書差し替えを狙う攻撃を考えてみる。攻撃者は、まず公開情報を収集し、取引先や関係者になりすまして連絡する。そして、確認経路を少しずつずらし、最終的に送金や受領へ誘導する。

この攻撃は、一通のメールだけで完結するものではない。狙われているのは、メール本文だけではなく、確認経路そのものである。したがって、止めどころは「不審なメールを見抜くこと」だけではない。送金先変更の手続き、別経路での確認、承認例外の扱いなど、業務プロセスそのものに防御線を設計する必要がある。

AIは万能ではないが、防御側の運用限界を突くには十分である。「何でも突破する」という過大評価も、「文面が自然になるだけ」という過小評価も適切ではない。攻撃の成功率を少し上げ、採算を良くするだけで、攻撃者にとっては十分な価値がある。

◎企業の防衛線は、どこで破られるのか

現在の攻撃対象は、端末やサーバーだけではない。攻撃者は、ID、SaaS、API、共有データ、委託先、海外拠点、管理者権限、チャット、承認プロセスなどを横断し、「正規の利用者」であるかのようになりすます。特に、業務権限と重要データが集中するID、SaaS、委託先を優先して確認する必要がある。

MFA※1 は重要な対策だが、それだけでは十分ではない。認証済みセッション、管理者権限、SaaS連携、APIキー、設定不備も狙われるため、「ログイン後の振る舞い」を見る運用が必要になる。
※1 Multi-Factor Authentication＝多要素認証

XDR/MDR※2 の導入後に重要になるのは、検知後の判断設計である。技術調査、事業継続、対外説明を並行して進めるためには、事前に判断者と判断基準を決めておく必要がある。
※2 XDR/MDR＝Extended Detection and Response（拡張型検知・対応）/ Managed Detection and Response（マネージド型検知・対応）

脆弱性対応は、「周知した」だけでは完了しない。影響資産、責任者、期限、未対応状況を追跡し、リスクが許容できる状態かを判断して初めて完了と言える。侵害は権限とデータの流れに沿って広がるため、防御も部門横断で設計する必要がある。

◎ 生き残る企業の防衛戦線

これからの企業防衛は、「防ぐ」だけでは足りない。止めない、広げない、説明できる。これが、AI時代の防衛戦線である。企業防衛は、把握、認証・権限、検知・監視、被害局限、復旧・BCP、説明責任の、六つの層を重ねて設計する必要がある。

防御の出発点は、全資産の洗い出しではなく、重要業務の把握である。止まると経営に影響する業務を特定し、それを支えるID、SaaS、データ、委託先、海外拠点、保守ベンダーを確認することで、守るべき対象、復旧順位、代替手段が明確になる。防御は一枚の壁ではなく、多層的に設計するものだ。だからこそ、セキュリティ投資は「安心のための費用」ではなく、「事業継続能力を高める投資」として説明する必要がある。

多くの企業にとって、サイバー対応は「実施しているか」だけでなく、「説明できるか」も問われる時代になっている。復旧力は、バックアップの有無だけでは決まらない。検知後にどの範囲を隔離し、どの業務を継続し、どの順番で復旧するのか。さらに、誰が判断し、その手順を演習・見直ししているのかまで決まっていて初めて、実効性のある復旧力と言える。

また、説明責任は技術調査の後に付け足すものではない。事実、未確認事項、影響範囲、次の対応を早い段階から整理し、曖昧な安心宣言ではなく、事実・評価・示唆を切り分けて説明することが重要である。

◎今日から確認すべき五つの問い

生き残る企業とは、攻撃を受けない企業ではない。攻撃を受けても、被害を広げず、事業を戻し、社会に説明できる企業である。

■課題解決講演（1）

業務SaaSに潜む"隠れAI"のセキュリティリスク
～本当に見るべき項目と評価の勘所～

経済産業省などの資料によると、「AI」は「事前学習過程を経て構築されたAIモデルを以て推論又は予測を行い、結果を出力するもの」である。

「AIサービス」は「AIシステム」および、それに含まれる「AIモデル」によって提供される役務。AIシステムは「AI開発者」「AI提供者」によって「AI利用者」に提供される。AIサービスとして「無人コンビニ」や「送電線点検AI」「スマート家電の最適化AI」等の事例がある。

◎AIリスクとは何か

2025年1月末に英国科学技術イノベーション省が発表した報告書内では「AIリスク」を、（1）AIの悪用がもたらすリスク （2）AIの不適切動作によるリスク （3）システミックリスク の3つに整理している。

（1）＝サイバー犯罪者等がAIを悪用することで生じるリスクの例としては、フェイク画像等がもたらす個人への被害や世論操作がある。詐欺や恐喝、個人や組織の評判を傷つけるための偽情報の拡散、心理的な虐待といった悪用が警告されている。また、大規模かつ巧妙な世論操作が可能になるのではないかという懸念も高まっている。

AIを悪用したサイバー攻撃やCBRN※兵器の開発支援なども、例として挙げられる。高度な技能を持たない人物であってもサイバー攻撃が実践可能になってきたし、合成したDNAをホワイトハウスに持ち込むというデモンストレーションも行われた。
※CBRN=化学、生物、放射性物質、核

（2）＝AIによる利用者の意図しない動作によって生じるリスクは、信頼性の問題、バイアス、コントロールの喪失がある。AIに何かの仕事を任せる際には、その結果を任せた人間がしっかりとチェックする必要がある。また、学習データの準備の際に入念な配慮を行う必要がある。

◎クラウドサービスにおけるAIリスク

クラウドサービス（SaaS）においてもAIを利用しているケースが存在しており、各リスクの管理が重要だ。当社の調査によると、約4～5割のクラウドサービスにおいてAIを利用または開発している。しかし、利用規約の明示、学習データの収集・利用ルールを策定しているサービスはいずれも約半数にとどまる。

SaaSの裏に潜む「隠れAI」の存在を意識したい。預託データを学習に利用していても22％が法令遵守のための利用ルールを定めていない、また、AIの品質管理およびセキュリティ対策未実施サービスは約半数という調査結果もある。クラウドサービスにおけるAIガバナンスの確認は必須なのである。

◎Assured/Assured企業評価について

弊社はクラウドサービスのセキュリティ信用評価「Assuredクラウド評価」、取引先企業のセキュリティ信用評価「Assured企業評価」を展開している。調査を行いたいサービスを選択することで、セキュリティ専門チームが作成した評価結果レポート（網羅的な設問による調査結果＋スコアリング）を取得できる。

聞き取り情報を基にした、専門家による第三者目線での網羅的な評価レポートを提供するため、各ステークホルダーへ客観的な専門家評価としての説明が可能だ。今、各社ごとに「個別最適化」されていたサードパーティのセキュリティ評価を、業界全体で最適化することは必須だ。構造上の問題解決にもつながる。弊社のサービスは、業種を問わず大手企業を中心に4年間で1600社以上に利用が拡大している。

■特別講演（1）

NECグループにおけるサイバーセキュリティ対策の最先端
～ データドリブンセキュリティ経営と人材育成戦略の舞台裏 ～

NECは「海底から宇宙まで」を掲げ、世界中の多岐にわたる業種のお客様に幅広く価値を提供している。

NECが考えるセキュリティ施策テーマとしては、（1）サイバー攻撃対策（サイバーリスクマネジメント、インシデント対応力強化、脅威・脆弱性管理、脅威・リスクの可視化）、（2）情報セキュリティ基盤（Identity/Device/Network/Application）、（3）セキュリティガバナンス（アウェアネス、重要情報管理、協力会社セキュリティ強化、工場セキュリティ強化）、大きく3つに分類して取り組んでいる。

そして、サイバーセキュリティ経営の観点では、弱いところが標的になり、外部サーバやNW危機の脆弱性が放置されている⇒ガバナンス。セキュリティに対する社会的要請の高まりがあり、ステークホルダに対する情報開示が必要⇒アカウンタビリティ。セキュリティ意識が欠如しており、高度セキュリティ人材が不足⇒意識改革。この3点を重視している。

NECグループは、これまでデジタルセキュリティトランスフォーメンションを進めてきた。国際規格などを踏まえ、網羅的かつ包括的な対策を行い、グループ情報セキュリティポリシーも展開。CSO/CISOのもと、全社の情報セキュリティを推進している。

例えば、先述の（2）ゼロトラストセキュリティ基盤では、USBメモリ等の接続不可（Device）、信頼できる接続先のみアクセス（Network）、生体認証・パスワードレス（Identity）、クラウド設定のミス・脆弱性検出（Application）、リスク行動検出による内部不正対策（Data）などを行っている。※セキュリティ管理事例複数紹介

セキュリティ業務（申請・問い合わせ～インシデント対応～可視化）はデジタル化している。データドリブンを支える基盤・運用・体制を作っており、サイバーセキュリティダッシュボードにより可視化し、会長・社長から一般社員までグローバルに共通言語で展開している。ダッシュボード制作のためには、社内に展開されたさまざまな製品、サービスのログを管理していることはもちろん、ガバナンスや体制が構築され運用されていることが重要だ。

AIトランスフォーメーションも行い、ありとあらゆる領域へのAIの浸透、AIが持つパワーをフル活用している。

企業価値向上に寄与し、かつAIと相性のよい7領域にフォーカス。継続的なQuick WinでAIによる価値・効果を浸透させ、行動変容につなげている。7分野とは、AI経営マネジメント変革／AI営業変革／AI BPO変革／AI SI変革／AI IT運用変革／AI リスク変革／AI セキュリティ変革、である。

セキュリティ分野におけるAI活用では、攻撃側・防御側の双方向の視点で次世代の対策を実現している。攻撃側では、AIを活用した攻撃診断や調査、人に対する訓練・演習。防御側では、AIを活用したインシデントレスポンス・脅威ハンティング、検知ツール高度化、セキュリティ実装の自動化・効率化、セキュリティ対策立案、などだ。

人材育成にも力を入れている。全社情報セキュリティ教育、新入社員やキャリア採用者向け教育、マイクロテーマトークなどを行い、セキュリティ・アウェアネスを向上させている。

社会の安心・安全のため、セキュリティ投資⇒社内実践⇒顧客・社会へ還元⇒セキュリティ投資、という循環をつくり、NECは「Value Creator」として社会やお客様の課題に対し、常に全力で取り組む。

■課題解決講演（2）

AIリスクに備えるデータガバナンス
- AISPMとDSPMによるデータリスク最小化

AI活用が進む一方で、人材・スキル・体制が不十分、各種リスクへの不安、導入・運用コスト……といった課題が顕在化している。

各種リスクを具体的に挙げれば、Shadow AIリスク（個人活用・業務データが無断投入され把握できないリスク）、統制分断リスク（部門活用・AI利用のルールや契約、設定が統一されていない）、データの過剰露出リスク（全社活用・機密情報を含む回答が生成され漏洩リスクが拡大）、無人実行リスク（AIエージェント活用・誤動作や不正指示が人を介せずに実行し被害拡大）、AI依存リスク（最適化と高度化・判断や処理がAI前提で、停止や誤り時に説明責任不能）などがある。

2005年設立の弊社は、世界で8000社以上への導入実績があり、データセキュリティ分野で最高クラスの評価をいただいている企業だ。それぞれのリスクに必要な対策を講じることができる。

AI活用は「推進」の前に「リスク対策」をすることが重要。AI活用とセキュリティは経営判断である。AIセキュリティの本質はデータセキュリティだ。AIは「見えるデータ」をそのまま利用する。よってデータの状態がAIリスクとなる。最初にデータの環境を安全に整えることが大切なのである。
まずは、機密データ発見と分類／データの過剰共有の検出・自動修正／データ権限の最少化／データのモニタリングを行う。次にAI利用の可視化／AI設定・権限リスクの把握と是正／AI実行時の監視・制御／AI利用の監査・説明責任の確立、を行う。
“Data Security Posture Management”＝組織内の「データやAIのリスク状態」を継続的にDSPMで把握・是正・監視していくのである。

データには一般データと機密データがある。機密データは、限られた関係者のみが扱うべきであり、不適切に利用・共有された場合に組織へ実害を及ぼす可能性のある情報だ。どこにあるか分からない、誰が・いつ・何をしたか追えない、漏れても、気づく・止める仕組みがない……では漏洩が起きる。※Copilot関連の動画、解説あり

実際、Copilotは「機密レベル」で判断せず「アクセスできる」データを活用する。DSPMでCopilotが参照できる・できないデータを管理したい。

先述のように、AI活用時にはAI利用・管理のチェックポイントを押さえることが重要だ。誰にどの用途で使われているか、アクセスできるデータや操作範囲を適切に制御できているか、「いつ・何を・どこまで」実行しているか監視できているか、どのデータを使いどのような判断応答をしたか説明できるか──。以上を確認したい。これらが整理されないまま、統制が欠如したままAIの利用範囲だけが拡大することで、AIのリスクが増加する。

新しいエージェントやAIが次々に増加し、データは日々増え、保存場所や用途も変わり続ける。共有設定や権限が業務の中で自然に広がっていく。従来の運用やルールだけではこの変化には追いつけない。必要なのは、可視化・保護・ガバナンスを仕組みで対応することだ。

“Varonis Atlas”のAIセキュリティ基盤は、可能性＆ポスチャ（AIインベントリ／セキュリティポスチャ管理／ペネトレーションテスト）、保護（AIランタイムガードレール／アクティビティモニタリング／検知＆対応）、ガバナンス（AIコンプライアンス管理／Third-Party Risk Mgmt）の三分野にわたる。

AIに「見せない」＝機密データに手が届かない状態を作る。AIを「遮断する」＝危険なプロンプト・応答・動作を遮断。AIを「証明する」＝何が起きたかを後から説明できる。この3つを可能にするのがVaronisなのである。

■課題解決講演（3）

1%の管理不全が経営を止める。直近の事例から学ぶ、侵入後の「被害最小化」への現実解
～1,000名以上の企業が陥る、ID管理の聖域とBPOによる封鎖戦略～

弊社はSaaS／デバイス管理におけるPlatformとアウトソーシングを提供する会社だ。今、クラウドサービスの利用増加に伴い管理の重要性が高まっている。ガバナンスが効かせにくくなっており、セキュリティやコストのリスクを抱える状態にある企業は多い。

大手飲料メーカー、オフィス用品通販サービス会社など、事業停止につながるセキュリティインシデントがたて続けに発生している。同様の被害の発生リスクはあらゆる企業に顕在化している。“いまそこにある脅威”だ。

オフィス用品会社では、MFA（多要素認証）未設定の業務委託社員のアカウントが管理できておらず、攻撃者がログイン情報を窃取し侵入した。攻撃は「壁を壊す」から「正規のIDを使って鍵を開ける」へと変化している。データを人質に取られた時点で、経営は身代金か社会的信用の失墜かの二択を迫られる。

サイバー攻撃は「分業体制」になっている。初期侵入ブローカーが企業の認証情報やパスワードを収集⇒ダークウェブのマーケットでIDを販売・購入⇒ランサムウェア実行犯がIDを購入し攻撃を実行する、という流れだ。このエコシステムにより洗練された攻撃を幅広い人々ができるようになり、あらゆる組織に対する攻撃の量と侵入可能性が増大している。

日本企業のアカウント認証情報は、約15～45万円とされる。数億円かけてファイアウォールを突破するよりもIDを買うほうがコストは遙かに安く、「ログインされる攻撃」が急増している。たった一つの脆弱なIDが、99.9％の防御を無力化する。

基本管理／適応／強化が脅威に打ち勝つための戦略的ID管理フレームワークだ。本日は基本管理に焦点を当てる。徹底すべき基本原則は、MFAの設定率の確認、最小権限、定期的なアカウント監査、だ。

◎企業が抱えるSaaS管理の課題に対する打ち手

企業は、全社で共通利用しているSaaSだけでなく、各部門や個人利用SaaSの管理が必要になっている。IT部門非公認のSaaS利用が多々あるからだ。例えば、既に退職した社員や契約終了した外部スタッフのSaaSアカウントIDは全体の約10％である、という調査結果がある。

人力、ヒアリングなどでExcel台帳の更新・管理をすることは非現実的。また、縦割りの管理体制には潜在的なリスクが発生している。まずは、情シス管理下のSaaSに対して漏れのない管理体制を構築。加えて、部門利用SaaSやシャドーITを恒久的に可視化する管理態勢を構築したい。そして、各部門のSaaS運用／管理を最適化することで、より強固な管理態勢としたい。

Josysにより、唯一無二のSaaS統合台帳の構築が可能となる。流れは、メンバーデータ統合⇒アプリデータ統合⇒SaaS統合台帳の完成。従業員情報とアプリ情報を自動で紐付けることで、誰が・何の・アクセス権を持っているかというシステム全体の全体像が把握可能である。認可済みアプリはAPI連携により、未認可アプリはブラウザ拡張機能の利用により、把握・捕捉する。

SaaS管理における漏れやリスクを自動で特定する仕組み作りが可能になる。機能としては、（1）特権管理ダッシュボード （2）多要素認証のステータス管理・強制適用 （3）IT部門管理外のSaaS≒シャドーIT対策も可能。リアルタイムでのアカウント改廃自動化が実現する。

Josysは人手なら数日かかる退職処理を数分で完遂し、攻撃者が入り込むタイムラグを消滅させる。また、自動化ツールでは削除できない領域（約2割）は、弊社の運用部隊が情シスの代わりに画面操作、設定変更、台帳更新を代行する。これで「脆弱なIDゼロ」が達成される。弊社の提供サービスの範囲は下記スライドを参照されたい。

 企業の成長は、新しいITを導入することからではなく、今あるITを統治することから始まる。

■特別講演（2）

企業の競争力となるセキュリティカルチャー醸成とは
～影の努力を賞賛し開発組織の納得感を引き出す「Security CREST」～

弊社のシステムセキュリティ推進グループのミッションは「セキュリティ維持・向上・事後対応を通じて、CyberAgentグループの成長阻害要因となるITセキュリティリスクを排除する」である。7チーム体制で、セキュリティオペレーション活動、セキュリティマネジメント活動、セキュリティリサーチ活動に従事している。

セキュリティは組織の「免疫」だ。免疫がなければ外敵に無防備＝不可欠。過剰反応は事業の成長を阻害＝過剰は害。新しい脅威を学習して進化＝適応する。セキュリティはあくまで手段であり、目的は事業の成功である。

優れた技術は、運用し続ける「組織の文化」がなければ持続しない。ツール導入がゴールになっていないか確認したい。ビジネスを止めないセキュリティは難しい。弊社の文化は「新規事業の創出」「自走力と抜擢」「自由と自己責任」。この文化の中で、どのようにセキュリティカルチャーを組織に根づかせるか、が課題だった。

モニタリング、脆弱性対応、設定見直し……エンジニアは最善を尽くしている。セキュリティは「何も起きない」ことが成果。従来はリスクの洗い出し・指摘が中心で、現場の努力を賞賛する視点が欠けていた。必要なのは、エンジニアの努力を「見える化し賞賛する仕組み」だ。

◎Security CREST　誕生・仕組み・設計思想

弊社には、持続的成長を支える新規事業や課題解決の方法などを提案、決議する「あした会議」がある。その技術・クリエイティブ特化版として、技術組織の未来やイノベーション推進を目的に開催される、エンジニア・クリエイター主導の提案会議が“CA BASE SUMMIT”だ。

2024年のCA BASE SUMMITで「セキュリティリスクの可視化は進んでいるものの、開発組織が抱えるリアルなリスクが解消しきれていない」という課題に対して“Security CREST”が誕生した。そのゴールは必要要件を策定しプロダクト単位で格付けを行うことだ。

狙いは、現場視点の反映（エンジニアの意見を取り入れた納得感のあるセキュリティ要件の確立／意識の向上（開発チームが自分事としてセキュリティ要件に向き合える状態の創出）／事業継続性（ビジネスの継続性を軸に適切にリスク管理ができている状態を目指す）、である。

Security CRESTのコンセプトは「優れたセキュリティレベルを有するプロダクトを賞賛する」。透明性、納得感、公平性を旨とする。透明性の実現のために、国際的ガイドラインであるNIST CSF 2.0を採用し、外部ベンダーレビューをも組み込んだ。NIST CSF 2.0をそのまま当てはめるのではなく、納得感を醸成するために現場エンジニアと共に作る評価基準とし、押しつけから対話へ、を意識した。

公平性の実現のために、開発組織の体制による影響を考慮し、開発組織の規模に依存しない観点に焦点を絞った。エンジニアの影の努力に光を当てるために、評価対象の範囲を、プロダクト開発に関わるエンジニアが主体的に改善可能な観点に絞り込んだのである。

◎制度の進化と文化としての浸透

今後（2回目以降）は、予防＋回復／新興リスク／説明責任を評価観点としていく。具体的には、封じ込めと復旧の体制／ランサムウェア対策／生成AI時代の安全管理、が主題となる。組織の変化と効果としては、対策の横展開により低ランクと評価されるプロダクトが消滅／クラウド監視標準化により上位ランクの割合が増加／インシデント対応拡大により最高ランクに到達するプロダクトが出現、が挙げられる。

まとめると、セキュリティカルチャーの設計は「透明性・納得感・公平性」を意識し、（1）可視化する（影の努力を測る） （2）納得感を先に設計する（技術導入の前に現場との対話） （3）進化させ続ける（制度は完成ではなく更新）、ことが重要である。
影の努力を光に変え、文化として醸成することが企業の競争力につながる。

1. TOP
2. 【イベントレポート】サイバーセキュリティの大転換点 －AI時代の脅威構造と対策の最適解－