[調査・レポート]

2026年8月10日(月)小泉 真由子（ITジャーナリスト/エディター）

シェアする

リスト

企業資産の36％が「見えないリスク」に

　EYが示す「脆弱性ゾーン」とは、企業が十分に把握・管理できていない、いわば「見えないリスク」の領域だ。

　技術的な脆弱性が確認された資産だけを指す言葉ではない。企業資産を「可視性」と「セキュリティカバレッジ」の2軸で評価し、いずれも全体平均を下回る資産を指す、EY独自の分析区分である。可視性は資産の把握状況を、セキュリティカバレッジはセキュリティ統制・保護・監視の適用状況を表す。

　調査では、回答者が自社の業界と関連性の高い資産を選んだうえで、475種類の資産について可視性とセキュリティカバレッジをそれぞれ4段階で評価した。その結果、企業資産の36％が脆弱性ゾーンに該当した（図2）。

　つまり、技術的な脆弱性が個別に確認されていなくても、資産を把握できず、保護や監視が行き届いていなければ、脆弱性ゾーンに該当しうる。小川氏は、可視性と統制の水準が低い資産には、何らかの脆弱性が残されている可能性が高いとの見方を示した。

図2：企業資産の36％が「脆弱性ゾーン」に該当。可視性とセキュリティカバレッジがともに全体平均を下回る領域を示す。バブルの大きさは、毎月またはそれ以上の頻度で変更が発生する資産の平均割合を表す（出典：EYストラテジー・アンド・コンサルティング）
拡大画像表示

OT、サードパーティ、AIが新たな死角に

　脆弱性ゾーンに該当しやすいのは、どの資産か。資産カテゴリー別で割合が最も高かったのは、製造設備や制御機器などのOT（Operational Technology：運用技術）/物理資産で、57％に上った（図3）。

　次いで、取引先やパートナーなど外部との接続を含むエコシステム/サードパーティが49％、AIシステム/ツールが47％、ネットワークインフラが38％と続いた。一方、データ資産は24％、クラウド資産とAI以外のデジタル資産はいずれも21％と、平均の36％を下回った。

図3：資産カテゴリー別の脆弱性ゾーン該当率。OT/物理資産が57％で最も高く、エコシステム/サードパーティ、AIシステム/ツールが続いた（出典：EYストラテジー・アンド・コンサルティング）
拡大画像表示

　OTは従来、IT部門やサイバーセキュリティ部門の管轄外として扱われ、閉じた環境で使われるケースも多かった。そのため、資産把握や対策が後回しになりやすい。EYは、フィジカルAIの普及に伴い、CISOがこうした資産をサイバー攻撃から保護する取り組みを主導する役割が求められると指摘する。

　サードパーティも同様だ。自社が直接管理できないシステムやIDが社内環境に接続することで、攻撃対象領域は広がっている。委託先や協力会社に付与したID、リモートアクセス環境、外部のSaaSまで含めた管理が必要になる。

　さらに、AIシステムも新たな死角になりうる。各部門や従業員がIT部門の管理外で生成AIを利用すれば、把握されていないデータの流れや自律的な処理が増える。「クラウド普及時と同じように、シャドーITが増えてしまっている」（小川氏）。

●Next：最も重大なセキュリティリスクは死角の領域に