CPSを運用する日本企業の54％が、過去1年間にサイバー攻撃による業務への影響を経験

OT/CPSセキュリティのグローバル調査レポートを発表 - AIを悪用したサイバー攻撃への警戒が高まる中、事業継続とオペレーショナルレジリエンスの重要性が浮き彫りに

CPS（サイバーフィジカルシステム）保護/OTセキュリティ企業のClaroty Ltd.（本社：アメリカ・ニューヨーク州、CEO：ヤニヴ・バルディ、以下 クラロティ）は、このたび、世界の企業が直面するオペレーショナルセキュリティの最新動向と課題をまとめた調査レポート「The Global State of Operational Security 2026: Protecting Operations Evolves as a Core Business Capability（オペレーショナルセキュリティのグローバル動向2026：事業の中核機能へと進化するオペレーションの保護）」を発表しました。調査では、CPSを運用する日本企業の54％（グローバル：58％）が、過去12カ月間にOTなどの運用環境に影響を及ぼすサイバー攻撃を経験したと回答しています。

 

本レポートでは、OTおよびCPSのセキュリティ確保が、オペレーショナルレジリエンスや事業継続の強化に加え、DXやAIの導入を推進するうえでも重要であることを示しています。また、コンプライアンスへの対応においても、OT/CPSセキュリティが不可欠な要素となっていることが明らかになりました。

 

オペレーショナル環境への影響が事業継続を脅かす

調査の結果、CPSに影響を及ぼすサイバーインシデントは、業務停止や安全上の問題、金銭的損失などにつながっていることが確認できました。

 

こうしたリスクは、企業のサイバーセキュリティ投資の優先順位にも反映されています。サイバーセキュリティ投資を促す主な要因として、日本では51％が「オペレーショナルリスクおよびサイバー脅威」を挙げ、グローバルの37％を上回りました。次いで、「デジタルトランスフォーメーション（DX）/モダナイゼーション」が37％（グローバル：36％）、「事業中断または収益損失のリスク」が29％（グローバル：29％）となりました。その他の主な調査結果は以下の通りです。

• オペレーショナルインシデントによる影響について、日本では46％（グローバル：35％）が「金銭的損失」を挙げ、41％（グローバル：40％）が「安全上のインシデントや危険事象」、30％（グローバル：43％）が「業務停止」を挙げました。

• 業務に影響を及ぼしたインシデントによる平均損失額は、日本では約196万ドル（グローバル：約104万ドル）でした。グローバルでは、従業員5,000人以上の企業で平均160万ドル、10,000人以上の企業では平均225万ドルに上りました。

• CPSに影響を及ぼすサイバーインシデントによる業務停止期間は、日本では平均2.72日（グローバル：3日）でした。また、日本の回答者の約6％（グローバル：約10％）が、8～30日間に及ぶ業務停止を経験したと回答しました。

• 日本の回答者の81％（グローバル：75％）が、第三者によるアクセスに関連して、業務に影響を及ぼすインシデントを少なくとも1件経験したと回答しました。一方、52％（グローバル：49％）は、第三者のアクセスについて「部分的にしか監視していない」または「まったく監視していない」と回答しました。

• こうした損失が発生している一方で、ITとオペレーショナルセキュリティを完全に統合していると回答した企業は、日本ではわずか13％（グローバル：16％）にとどまりました。

 

AI活用が進む一方、AIを悪用したサイバー攻撃への警戒も高まる

企業では、業務効率の向上や、人間の専門知識や判断を取り入れた「ヒューマン・イン・ザ・ループ」を支援するため、業務環境におけるAI活用が進んでいます。一方で、AIを悪用したCPSへのサイバー攻撃の増加に対する懸念も高まっています。主な調査結果は以下の通りです。

• 日本の回答者の28％（グローバル：30％）が、「AI、自動化、高度な分析の効果的な活用」を、DX施策を成功させるための主要な要因として挙げました。

• 日本の回答者の63％（グローバル：70％）が、業務環境ですでにAIを活用していると回答しました。また、66％（グローバル：71％）が、サイバーセキュリティ製品・サービスの調達において、AIを基本要件としていると回答しました。

• AI活用による効果について、日本では47％（グローバル：48％）が「業務効率の向上」、38％（グローバル：37％）が「新たなビジネスモデルの実現」、36％（グローバル：46％）が「意思決定の改善」を挙げました。

• 業務の安定的な運用を脅かすリスクとして、日本では49％（グローバル：37％）が「AIを悪用したサイバー攻撃」を挙げました。これは、「ランサムウェア」47％（グローバル：27％）、「サプライチェーンへの攻撃」23％（グローバル：23％）、「レガシーOT資産」16％（グローバル：21％）を上回り、日本ではAIを悪用したサイバー攻撃への警戒が特に高いことが示されました。

 

IT/OTガバナンスの統合と、プロアクティブなコンプライアンス対応

規制環境が複雑化する中、ITとOTの融合への対応には高度な専門知識が求められており、企業にとって大きな課題となっています。調査では、IT/OTガバナンスの統合が進んでいる企業ほど、コンプライアンスにプロアクティブまたは体系的に取り組む傾向が見られました。主な調査結果は以下の通りです。

• コンプライアンスへの取り組みを妨げる主な運用上の課題として、日本では31％が「IT/OT連携に関する継続的な課題」、26％が「レガシーシステムへのコンプライアンス対応の難しさ」、23％が「外部ベンダーなど第三者に関するリスク」、16％が「資産の可視性不足」を挙げました。

• コンプライアンス上の主な課題として、日本では41％（グローバル：34％）が「コンプライアンスに必要なポリシーや管理策の導入」を挙げました。次いで、35％（グローバル：35％）が「複数の拠点・地域・事業部門にまたがるコンプライアンス管理」、33％（グローバル：38％）が「変化し続ける規制、要件、フレームワークへの対応」を挙げました。

• IT/OTガバナンスの統合が進んでいる日本企業の65％が、コンプライアンスに対してプロアクティブまたは体系的に取り組んでいます。

• 日本の回答者の56％（グローバル：75％）が、コンプライアンス管理にプロアクティブまたは体系的に取り組んでいると回答しました。

 

ClarotyでField CTOを務めるシーン・タフツ（Sean Tufts）は、次のように述べています。「企業の間では、世界の重要インフラを確実に保護するために、オペレーショナルレジリエンスを優先することの重要性が広く認識されるようになっています。AIを悪用した脅威の拡大や地政学的情勢を背景に、重要インフラを取り巻く脅威環境は大きく変化しています。こうした変化を受け、企業には、個々の資産の保護を中心とした従来の考え方から、事業全体のオペレーショナルレジリエンスを重視するアプローチへの転換が求められています。プロアクティブなリスク低減と迅速な復旧能力を組み合わせ、重要なプロセスを保護しながら、業務の継続性を確保していくことが求められます。」

 

今回の調査結果は、オペレーショナルレジリエンスがサイバーセキュリティ上の重要課題であるだけでなく、企業経営においても優先度の高いテーマであることを示しています。サイバーインシデントによる重大な影響を最小限に抑え、迅速な復旧を可能にするためには、資産の適切な保護やセグメンテーション、ガバナンスの強化が重要です。また、IT/OTガバナンスの統合、第三者アクセスの厳格な制御と監視、事業継続計画の見直し・強化、AIを安全に導入・活用するためのセキュリティ対策などを通じて、業務環境の安全性を高め、継続的な稼働を確保していくことが求められます。

 

なお、調査は、CPSを運用する企業の経営層およびテクノロジーリーダー2,000人を対象に、世界各地で実施したものです。本レポートは、こちらからダウンロードできます。

  

Clarotyについて

 Claroty（クラロティ）は、現代社会を支えるミッションクリティカルなインフラを保護するためのソリューションを提供しています。AIを搭載した「Claroty Platform」は、運用に関する唯一の信頼できる情報源（Single Source of Operational Truth）として機能し、「資産インベントリ」、「エクスポージャー管理」、「ネットワーク保護」、「セキュアアクセス」、「脅威検知」という5つのコアソリューションを通じて、サイバーフィジカルシステム（CPS）全体に対し、業界で最も深い可視性と最も広範な保護を実現します。またクラロティは、リスク低減、運用の完全性維持、コンプライアンス対応を支援するプログラム型アプローチにより、組織のCPSセキュリティ運用を強化します。これは、クラウドベースの「Claroty xDome」、オンプレミス型の「Claroty Continuous Threat Detection（CTD）」のいずれでも実現可能で、これらのソリューションは世界中の数百の組織・数千の拠点で導入されています。クラロティは米国ニューヨーク市に本社を置き、ヨーロッパ、アジア太平洋、ラテンアメリカにも拠点を展開しています。