2026年10月22日、国内の野村総合研究所（NRI）とNRIセキュアテクノロジーズは、AI駆動型サイバー攻撃への対応力を高める「サイバーレジリエンス経営支援」の提供を開始した。経営・セキュリティ・システムの3領域から、被害抑制と事業継続を両立する意思決定体制の構築を支援する。
AI攻撃に備え、経営主導で停止基準を整備
本サービスの特徴は、サイバー攻撃への対策を技術部門だけの課題とせず、経営層が主体となって判断できる仕組みを整える点にある。対象はEC・デジタル事業者、グローバル製造業、金融機関などの重要インフラ事業者を中心とする企業・組織だ。
背景には、AIの進化によるサイバー攻撃の高速化がある。NRIセキュアの分析によれば、セキュリティ上の脆弱性が公開されてから悪用されるまでの期間は、2018年時点では平均約2.3年だった。一方、近年では公開後数時間から1日程度で悪用される事例も確認されている。フロンティアAI（※）の性能向上により、脆弱性の偵察・発見から攻撃コードの生成・実行までをAIが自律的に進める水準に近づいていることが要因とされる。
こうした状況では、侵入を防ぐ対策だけでなく、攻撃を受けた際に事業への影響を最小限に抑える判断が重要となる。システムの稼働を続ければ被害が拡大する恐れがある一方、停止すれば収益機会の損失や顧客への影響が生じるためだ。金融庁と日本銀行も2026年5月、金融機関に対し、優先サービスやITシステムの停止に備えるよう要請している。
短期支援では、約2～3か月で現状把握、判断基準の策定、運用設計、経営合意の4段階を進める。システム停止による損失や社会的影響を分析し、停止・再開の判断基準、対応手順、責任者、社内外への連絡経路を整備する。経営コンサルタント、システムエンジニア、セキュリティ専門家が合同チームを組み、経営陣の合意形成まで一貫して支援する仕組みだ。
※フロンティアAI：高度な能力を持ち、従来のAIを超える複雑なタスクへの対応が期待される先端的なAI技術。
経営判断の迅速化に期待 停止による損失も課題に
本サービスは、サイバーセキュリティを技術的な防御から経営リスク管理へと広げる取り組みといえる。従来の技術中心の支援では、脆弱性の深刻度などを基に対策の優先順位を決めることが中心だった。これに対し、本サービスでは事業損益への影響や顧客・取引先との信頼関係、ブランド価値なども判断材料に含める。
例えば、攻撃の兆候を検知した際、どのシステムを停止すべきか、停止による損失をどこまで許容するかを事前に定めておけば、有事における判断の遅れを抑えられる可能性がある。CEOや取締役会を含む経営層が判断基準を共有することで、情報システム部門だけでは決定しにくい事業継続と被害抑制の両立にも取り組みやすくなるだろう。
一方、システム停止の判断を誤れば、攻撃による直接的な被害を防げても、売上の減少や顧客離れ、契約上の損失を招きかねない。停止基準を設けるだけでは十分ではなく、事業への影響を正確に評価し、状況に応じて再開できる運用体制が不可欠となる。また、グループ会社や委託先との連携、顧客や取引先への説明方針も、実効性を左右する要素だ。
両社は短期支援に加え、中期ではパッチ適用プロセスの再構築やAIを活用したセキュリティ診断、長期ではセキュリティ運用のAI化や自動パッチ適用などを支援する方針である。こうした取り組みが定着すれば、攻撃への対応力を高めながら、セキュリティ投資の最適化にもつながるだろう。
AIによる攻撃の高速化が進むなか、企業には防御技術の強化だけでなく、事業への影響を踏まえて迅速に決断できる経営体制の整備が求められる。
