情報システム監査統制協会（ISACA）の2026年サイバーセキュリティ状況調査では、セキュリティリーダーの68％が過去5年間に業務上のストレスが増えたと回答しました。CISOの71％は複雑化する脅威環境を主なストレス要因に挙げ、2025年の63％を上回りました。セキュリティ企業Absoluteの調査では、ミトス級AIモデルの登場を受け、CISOの50％がセキュリティ業界を離れることを検討していると分かりました。

こうした負担を受け、企業のセキュリティ責任者や専門家は、CISOが取り組むべき7つの課題を挙げました。1つ目は、侵害の防止と、復旧・事業継続に向けた回復力の強化です。シーメンス米国法人の最高サイバーセキュリティ責任者、カイル・マクミランは、組織のリスク特性やIT環境、全体的・業界別の脅威動向を把握し、利用できる資源に応じた防御策を立てる必要があると述べました。すべての企業に通用する単一の戦略はなく、複数の要素の間で選択や妥協も避けられないと説明しています。Signiaの2026年インシデント対応準備状況報告書では、CISOの73％が大規模なサイバー攻撃への備えは不十分だと回答しました。AIを使った攻撃の規模と速度が増すなか、予防に加え、インシデント発生時の事業継続と回復力の確保が重要な業務になっています。対応計画の改善、実際の脅威を想定した訓練、復旧を速めるためのセキュリティチームの運営見直しが課題に挙がりました。Foundryのセキュリティ優先事項調査では、セキュリティリーダーの69％がこうした戦略転換を進めていると答えました。

2つ目は、組織の業務手順やインフラ、リスクに合ったセキュリティプログラムを構築することです。CrucyconのCEO、アイラ・ウィンクラーは、脆弱性へのパッチ適用、人員・予算不足、戦略策定など、企業ごとに課題が異なると述べました。CISOには事業に合った戦略や資源管理、チームの日々の業務を導く力が求められ、自身のリーダーシップを高めるとともに、次世代のセキュリティリーダーを育てる必要があります。システムや手順、統制が組織の変化に対応できるかどうかに、リーダーシップが表れるとウィンクラーは説明しました。問題が起きても組織が大きく揺らがないよう、必要な運用・技術ツールとプロセスを整え、責任者が不在でもシステムが安定して動く状態にするべきだとしています。

3つ目は、AI時代に合わせてサイバーセキュリティ戦略を再設計することです。BNSF RailwayのCISO、アレックス・レビーは、中程度の技術力を持つハッカーでもAIを使えば、以前は多大な資源を持つ国家支援のハッカー集団しか実行できなかった高度な攻撃を行えると述べました。攻撃の開発と実行も速まり、セキュリティ組織には対応速度と処理能力の向上が求められます。AIセキュリティツールの導入や、セキュリティチームがエージェント型AIと協働するための準備も課題です。ZiffinのCISO、マーティ・バラックは、AIの普及によってパッチ管理、サポート終了技術への対応、自動化、ツール活用、業務の優先順位付けまで変化していると述べました。1～3年前と同じ方法では働けず、反復作業の自動化やチームの負担軽減と、事業リスクへの対応を両立する方法を検討していると話しました。

4つ目は、企業によるAI利用とAIインフラを安全に管理することです。Proofpointの2026年報告書では、世界のCISOの78％が生成AIの利用は組織にセキュリティリスクをもたらすと回答し、88％が今後2年間の最優先課題として、AIアシスタント、コパイロット、自動化技術の安全な利用支援を挙げました。AppfireのCISO、ダグ・カーステンは、AI委員会や法務責任者、IT運用責任者、エンジニアリングチームと連携し、経営陣がAIガバナンス方針を守るよう管理しています。各部門のAI担当者は従業員教育と、新しいツールが承認済みの安全基準を満たすことを担い、カーステンは未承認のAI利用も監視しています。Oktaの2026年グローバルCISOインサイト報告書では、CISOの68％が組織内で未承認のAI利用を見つけた経験があると答えました。AIエージェントの統制も課題に挙がっています。Foundryの調査では、CISOの43％がAIセキュリティ態勢管理（AI-SPM）ツールへの投資を増やしており、投資拡大項目の中で最も大きな割合でした。CISOの34％は、今後12か月にセキュリティチームが専門性を高める分野としてエージェント型AIのセキュリティを挙げ、クラウドセキュリティに次ぐ順位でした。

5つ目は、現在と将来のセキュリティ人材の能力格差を縮めることです。国際情報システムセキュリティ資格コンソーシアム（ISC2）の2025年サイバーセキュリティ人材調査では、セキュリティ専門家の95％が少なくとも1つの能力をさらに身につける必要があると回答しました。ISACA調査では、企業の58％がセキュリティチームの人員不足を評価し、2025年の55％から増えました。セキュリティリーダーが挙げた能力不足の分野は、ソフトスキルが57％、大規模言語モデルのセキュリティ運用（LLM SecOps）が45％、クラウドコンピューティングが31％、データセキュリティが31％、機械学習のセキュリティ運用（ML SecOps）が31％でした。マクミランは、全分野に通じた人材を多数採用するのは難しいため、技術的な素養に加えて事業理解と対人能力があり、市場の変化に応じて成長できる人を採用すると述べました。従業員が新しい能力を学べる環境も整えています。ISACA調査では、セキュリティリーダーの68％が専門能力開発の研修を提供しており、前年の60％から増えました。資格取得費用の支援は2025年の54％から61％に、資格維持費用の支援は52％から59％にそれぞれ増加しました。

6つ目は、速く変化する脅威に対応できる機動的な組織をつくることです。Tiro SecurityのCISO兼CTO、ジェナイ・マリンコビッチは、AIを使った攻撃は5分もかからず、侵入から脆弱な箇所の探索、バックアップされていない領域の確認、ランサムウェアの実行まで進む可能性があると述べました。対応に使える時間が短くなり、インシデント対応手順全体が変わっていると説明しています。バラックは、企業が毎月新たな方針やツール、機能を導入するため、セキュリティチームはそれらを評価する必要があり、優先順位を決める手順と能力のあるチームメンバーが欠かせないと述べました。

7つ目は、脆弱性・ID管理、暗号化、サプライチェーン管理、エンドポイント保護といった基本的なセキュリティ業務を怠らないことです。GigamonのCISO、グラント・ヤコメニは、新しい技術に注目が集まっても基本原則は重要だと強調しました。問題が起きるたびに急いで対応しなくて済むよう、優先順位と手順を整え、人員、方針、効果測定の仕組みをつくる必要があると述べました。セキュリティ組織が成熟していても、企業と脅威環境は変わり続けるため、細部にわたる継続的な調整と改善が必要だと付け加えました。

情報システム監査統制協会（ISACA）の2026年サイバーセキュリティ状況調査では、セキュリティリーダーの68％が過去5年間に業務上のストレスが増えたと回答しました。CISOの71％は複雑化する脅威環境を主なストレス要因に挙げ、2025年の63％を上回りました。セキュリティ企業Absoluteの調査では、ミトス級AIモデルの登場を受け、CISOの50％がセキュリティ業界を離れることを検討していると分かりました。

こうした負担を受け、企業のセキュリティ責任者や専門家は、CISOが取り組むべき7つの課題を挙げました。1つ目は、侵害の防止と、復旧・事業継続に向けた回復力の強化です。シーメンス米国法人の最高サイバーセキュリティ責任者、カイル・マクミランは、組織のリスク特性やIT環境、全体的・業界別の脅威動向を把握し、利用できる資源に応じた防御策を立てる必要があると述べました。すべての企業に通用する単一の戦略はなく、複数の要素の間で選択や妥協も避けられないと説明しています。Signiaの2026年インシデント対応準備状況報告書では、CISOの73％が大規模なサイバー攻撃への備えは不十分だと回答しました。AIを使った攻撃の規模と速度が増すなか、予防に加え、インシデント発生時の事業継続と回復力の確保が重要な業務になっています。対応計画の改善、実際の脅威を想定した訓練、復旧を速めるためのセキュリティチームの運営見直しが課題に挙がりました。Foundryのセキュリティ優先事項調査では、セキュリティリーダーの69％がこうした戦略転換を進めていると答えました。

2つ目は、組織の業務手順やインフラ、リスクに合ったセキュリティプログラムを構築することです。CrucyconのCEO、アイラ・ウィンクラーは、脆弱性へのパッチ適用、人員・予算不足、戦略策定など、企業ごとに課題が異なると述べました。CISOには事業に合った戦略や資源管理、チームの日々の業務を導く力が求められ、自身のリーダーシップを高めるとともに、次世代のセキュリティリーダーを育てる必要があります。システムや手順、統制が組織の変化に対応できるかどうかに、リーダーシップが表れるとウィンクラーは説明しました。問題が起きても組織が大きく揺らがないよう、必要な運用・技術ツールとプロセスを整え、責任者が不在でもシステムが安定して動く状態にするべきだとしています。

3つ目は、AI時代に合わせてサイバーセキュリティ戦略を再設計することです。BNSF RailwayのCISO、アレックス・レビーは、中程度の技術力を持つハッカーでもAIを使えば、以前は多大な資源を持つ国家支援のハッカー集団しか実行できなかった高度な攻撃を行えると述べました。攻撃の開発と実行も速まり、セキュリティ組織には対応速度と処理能力の向上が求められます。AIセキュリティツールの導入や、セキュリティチームがエージェント型AIと協働するための準備も課題です。ZiffinのCISO、マーティ・バラックは、AIの普及によってパッチ管理、サポート終了技術への対応、自動化、ツール活用、業務の優先順位付けまで変化していると述べました。1～3年前と同じ方法では働けず、反復作業の自動化やチームの負担軽減と、事業リスクへの対応を両立する方法を検討していると話しました。

4つ目は、企業によるAI利用とAIインフラを安全に管理することです。Proofpointの2026年報告書では、世界のCISOの78％が生成AIの利用は組織にセキュリティリスクをもたらすと回答し、88％が今後2年間の最優先課題として、AIアシスタント、コパイロット、自動化技術の安全な利用支援を挙げました。AppfireのCISO、ダグ・カーステンは、AI委員会や法務責任者、IT運用責任者、エンジニアリングチームと連携し、経営陣がAIガバナンス方針を守るよう管理しています。各部門のAI担当者は従業員教育と、新しいツールが承認済みの安全基準を満たすことを担い、カーステンは未承認のAI利用も監視しています。Oktaの2026年グローバルCISOインサイト報告書では、CISOの68％が組織内で未承認のAI利用を見つけた経験があると答えました。AIエージェントの統制も課題に挙がっています。Foundryの調査では、CISOの43％がAIセキュリティ態勢管理（AI-SPM）ツールへの投資を増やしており、投資拡大項目の中で最も大きな割合でした。CISOの34％は、今後12か月にセキュリティチームが専門性を高める分野としてエージェント型AIのセキュリティを挙げ、クラウドセキュリティに次ぐ順位でした。

5つ目は、現在と将来のセキュリティ人材の能力格差を縮めることです。国際情報システムセキュリティ資格コンソーシアム（ISC2）の2025年サイバーセキュリティ人材調査では、セキュリティ専門家の95％が少なくとも1つの能力をさらに身につける必要があると回答しました。ISACA調査では、企業の58％がセキュリティチームの人員不足を評価し、2025年の55％から増えました。セキュリティリーダーが挙げた能力不足の分野は、ソフトスキルが57％、大規模言語モデルのセキュリティ運用（LLM SecOps）が45％、クラウドコンピューティングが31％、データセキュリティが31％、機械学習のセキュリティ運用（ML SecOps）が31％でした。マクミランは、全分野に通じた人材を多数採用するのは難しいため、技術的な素養に加えて事業理解と対人能力があり、市場の変化に応じて成長できる人を採用すると述べました。従業員が新しい能力を学べる環境も整えています。ISACA調査では、セキュリティリーダーの68％が専門能力開発の研修を提供しており、前年の60％から増えました。資格取得費用の支援は2025年の54％から61％に、資格維持費用の支援は52％から59％にそれぞれ増加しました。

6つ目は、速く変化する脅威に対応できる機動的な組織をつくることです。Tiro SecurityのCISO兼CTO、ジェナイ・マリンコビッチは、AIを使った攻撃は5分もかからず、侵入から脆弱な箇所の探索、バックアップされていない領域の確認、ランサムウェアの実行まで進む可能性があると述べました。対応に使える時間が短くなり、インシデント対応手順全体が変わっていると説明しています。バラックは、企業が毎月新たな方針やツール、機能を導入するため、セキュリティチームはそれらを評価する必要があり、優先順位を決める手順と能力のあるチームメンバーが欠かせないと述べました。

7つ目は、脆弱性・ID管理、暗号化、サプライチェーン管理、エンドポイント保護といった基本的なセキュリティ業務を怠らないことです。GigamonのCISO、グラント・ヤコメニは、新しい技術に注目が集まっても基本原則は重要だと強調しました。問題が起きるたびに急いで対応しなくて済むよう、優先順位と手順を整え、人員、方針、効果測定の仕組みをつくる必要があると述べました。セキュリティ組織が成熟していても、企業と脅威環境は変わり続けるため、細部にわたる継続的な調整と改善が必要だと付け加えました。