ガートナージャパンが主催する「ガートナー セキュリティ＆リスク・マネジメント サミット」。２日目の基調講演では「日本におけるセキュリティの重要論点：2026年」と題し、バイス プレジデント チームマネージャーの礒田優一氏、シニアディレクターの矢野薫氏、ディレクターの鈴木弘之氏が登壇した。
ガートナーは2026年1月、国内企業が押さえるべきセキュリティの重要論点を9項目に整理した。今回の講演では、その中からガバナンス、働き方とデータ活用、セキュリティ・オペレーションの3領域を中心に取り上げた。
礒田氏は、Anthropicが2026年4月に発表したフロンティアAI「Mythos」などを例に、AIが高度な攻撃をより速く、低コストで実行できる環境が整いつつあると指摘。「サイバーセキュリティの歴史的な大転換点にある」として、従来の前提に基づく戦略を再構築する必要があると訴えた。
講演は宮本武蔵の『五輪書』になぞらえ、「地・水・火・風・空」の5章で構成された。
「地」の章で礒田氏が取り上げたのは、セキュリティ投資とガバナンスの見直しである。
企業では、IT予算や売上高に対する比率、成熟度評価などを基にセキュリティ予算を決めることが多い。しかし、AIや量子コンピューティング、サイバー・フィジカル・システムなどのリスクは、過去の延長線上にある指標だけでは評価しにくい。
礒田氏は、「どこまでリスクを受容するかを考えたうえで、どこへ投資するか判断すべきだ」としたうえで、「フロンティアAIなど新たなリスクへの投資を増やす一方、既存ツールの集約や優先順位の変更によってコストを抑える、メリハリのある戦略が必要だ」と指摘した。
組織体制に関しては、中央部門がすべてを管理する中央集権型から、事業部門や海外拠点にも権限を持たせる連邦型ガバナンスへの移行が進む。
ガートナーが国内の従業員500人以上の企業を対象に2026年2月に実施した調査では、連邦型を検討する背景として、47％がサードパーティやサプライチェーンのリスク増加、40％がITやクラウド、AIなどの民主化を挙げた。
ただし、全体戦略を持たないまま権限を分散すれば、サイロ化や重複投資を招く。戦略やポリシーは中央で統一し、実行は各部門に委ねるなど、機能ごとに「集約」と「分散」を使い分ける必要がある。
AIエージェントの市民開発についても、全面的に禁止するのではなく、自由と責任を与える「権限強化」の考え方を示した。企画、開発、テスト、運用、監視の各段階で、実行責任や説明責任、協議先、報告先を定めるRACIを明確化することを求めた。