サイバーセキュリティのガバナンス体制に関するアンケート調査（2026年1～3月）

近年、企業が直面するサイバーセキュリティリスクは、新たな局面を迎えています。米アンソロピック社が2026年4月に発表したAIモデル「Claude Mythos（クロード・ミュトス）」は、ソフトウェアの脆弱性を自律的かつ大規模に発見・悪用できる能力を備えており、その脅威の深刻さから一般公開が見送られました。日本においても自民党の国家サイバーセキュリティ戦略本部や金融庁が緊急の対応協議を開始するなど、官民を問わず警戒が高まっています。

こうした環境変化を踏まえると、投資家の立場から企業のセキュリティ体制を適切に評価することの重要性は、かつてなく高まっていると言えます。サイバーインシデントは、業績への直接的な打撃にとどまらず、顧客・取引先からの信頼喪失や訴訟リスク、ひいては企業価値の毀損に直結し得るからです。

AIによるサイバーセキュリティリスクの上昇については、カディラではかねてより関心を持っており、2026年1～3月に、投資先企業を対象とした「サイバーセキュリティのガバナンス体制に関するアンケート調査」を独自に実施しました（回答企業35社）。

限定的なサンプル数ですが、実際に対話を行った企業からの回答として、日本企業のガバナンス実態を把握する上で参考になるため、その調査結果をご報告します。

取締役会でのサイバーセキュリティ報告・議論の有無

「過去1年程の期間において、取締役会でサイバーセキュリティについて報告や議論は行われましたか」という問いに対しては、80%の企業が取締役会でのサイバーセキュリティ報告・議論を実施しており、さらに11%がリスクマネジメント委員会や内部統制委員会等の場で同等の議論を行っていると回答しました。合計91%の企業で経営レベルの関与が確認できたことは、全体として一定のガバナンスの底上げが進んでいることを示しています。

経済産業省が2023年3月に「サイバーセキュリティ経営ガイドライン Ver3.0」を改訂（*1）したほか、金融庁は2024年10月に監督指針から独立した「金融分野におけるサイバーセキュリティに関するガイドライン」を新たに公表（*2）するなど、規制・指針の整備が相次いでいます。こうした動向を踏まえれば、取締役会でサイバーセキュリティを議論することの重要性は今後一層高まっていくものと考えられます。

Q1. 過去1年程の期間において、取締役会でサイバーセキュリティについて報告や議論は行われましたか。

・取締役会で実施：80%

・取締役会に準じる委員会等で実施：11%

・報告・議論なし：9%

取締役会での議論テーマ

取締役会での議論内容についての回答コメントを分析すると、最も多かったのは対策方針・戦略の策定・進捗確認（46%）で、外部環境の変化を踏まえた今後の戦略や施策の進捗確認など、経営判断・意思決定を伴う議論が広く行われている様子がうかがえます。次いでインシデント対応・事例共有（37%）が多く、自社の被害事例の共有・対応確認、他社事例を踏まえた自社リスクの見直しなど、実践的なリスク管理としての議論が行われている様子がうかがえます。ガバナンス体制・規程整備（23%）も一定数見られ、「報告するだけ」でなく経営判断・意思決定を伴う場としての機能が定着しつつある企業が存在することは評価できます。

他方、演習・訓練の実施や脆弱性診断・監視体制への言及はそれぞれ11%にとどまりました。サイバーインシデントを「起きるかもしれない事態」ではなく「起きることを前提とした事態」として対処する考え方が反映されていると推察され、取締役会レベルでのコミットメントを示す重要な指標として注目できます。

Q2. 取締役会等で行われたサイバーセキュリティに関する報告や議論の内容についてご記入ください

・対策方針・戦略の策定・進捗確認：46%

・インシデント対応・事例共有：37%

・ガバナンス体制・規程整備：23%

・演習・トレーニング：11%

・脆弱性診断・監視体制：11%

・コメントなし：37%

※複数事項をコメントしている企業があるため合計値は100%になりません

サイバーセキュリティの最終責任者

組織の中でサイバーセキュリティの最終責任者を誰が担っているのかについて質問したところ、最も多いのはCIO・CDO等のIT系役員が担う形（31%）で、次いで取締役・執行役員が兼務で担う形（29%）でした。両者を合わせると約6割の企業で、サイバーセキュリティの最終責任がIT部門または経営層の兼務となっており、専門性の観点からは課題が残ります。代表取締役社長が直接責任を担っている企業も17%あり、経営トップが前面に立つケースも一定数見られます。

サイバーセキュリティを専門とするCISO（Chief Information Security Officer）を専任で設置している企業は9%にとどまりました。Fortune 500企業では2022年時点でほぼ全社が専任CISOを置くに至っており、さらに4割が副CISOポジションを新設するなど組織の厚みが増しています。こうしたグローバルの標準化の流れと比較すると、日本企業ではIT系役員や経営トップへの兼務が多く、サイバーセキュリティ専門の経営人材の確保が課題となっていることが見て取れます。

少数ではありますが、部長クラスが最終責任者とされている企業（11%）や、責任者が「未確定」と回答した企業（2%）も存在しており、責任体制が流動的な先も見受けられました。

Q3. サイバーセキュリティについて最終的な責任を負う方の役職を教えてください。

・CIO / CDO等 IT系役員：31%

・取締役・執行役員（兼務）：29%

・代表取締役・社長：17%

・部長クラス：11%

・CISO専任：9%

・未確定・不明：3%

モニタリングの対象範囲

サイバーセキュリティのモニタリング範囲については、グループ全体をモニタリング対象としている企業が66%と最多であり、グループガバナンスの観点からは一定の水準が確認できました。しかし「上場企業本体のみ」との回答も51%と相当数見られ、子会社・関連会社経由の侵害リスクへの対応が限定的な企業が存在することも事実です。

また、取引先まで対象を広げている企業は17%に留まっています。近年のサイバー攻撃はグループ内部よりもサプライチェーンの弱点を突く手法が増加しています。米国NISTのサイバーセキュリティフレームワークやISO認証（ISO27001）において、サードパーティリスク管理は重要な要件として位置づけられており、取引先を含めたサプライチェーン全体でのモニタリング体制の強化は、今後の課題と言えるでしょう。

Q4. サイバーセキュリティについて、現在どの範囲までをモニタリングの対象とされていますか（複数選択可）

・グループ会社（全て）：66%

・上場企業本体：51%

・グループ会社（一部のみ）：26%

・取引先（一部のみ）：17%

・取引先（全て）：0%

・未回答：6%

※複数回答可のため合計値は100%になりません

まとめ

以上が、2026年1～3月にカディラが実施した、上場企業を対象とするサイバーセキュリティのガバナンス体制に関するアンケート結果の報告です。

今回の調査では、取締役会レベルでのサイバーセキュリティへの関与が91%の企業で確認されるなど、ガバナンスの基盤形成は一定程度進んでいることが示されました。一方で、専任CISOの設置が9%にとどまることや、サプライチェーンまでモニタリング対象を広げている企業がわずか14%に過ぎないことなど、「形式的な関与」から「実効的なリスク管理」への深化という点では、改善余地が大きいと言えます。

AIの進化によってサイバー攻撃の高度化・自動化が現実のものとなりつつある中、こうした体制の不備は企業価値に直結するリスクとなり得ます。カディラは今後も投資先企業との対話を通じて、サイバーセキュリティガバナンスの実効性向上を働きかけてまいります。

*1 サイバーセキュリティ経営ガイドラインと支援ツール　https://www.meti.go.jp/policy/netsecurity/mng_guide.html

*2 金融分野におけるサイバーセキュリティ対策　https://www.fsa.go.jp/policy/cybersecurity/index.html