CEOとCISOはレジリエンスをめぐって意見が分かれています。このギャップを埋めることこそ、サイバーディスラプション（サイバー攻撃やシステム障害などによって生じる事業・業務の混乱）を乗り越える鍵となります。
サイバー攻撃が高度化・頻発化するなか、レジリエンスはあらゆる企業戦略の中核に据えるべき経営課題となっています。しかし、レジリエンスの本質と責任の所在について、リーダー間の認識は一致していません。絶え間ないサイバー脅威に対応するために、企業は今こそ認識を一致させる必要があります——防護一辺倒の発想から脱却し、「いかに迅速に復旧するか」を最優先事項として位置づける変革が求められています。
脆弱性の増加、複雑性の増大、攻撃タイムラインの圧縮により、復旧がより困難になっています。
脆弱性の増加、複雑性の増大、攻撃タイムラインの圧縮により、復旧がより困難になっています。
87%
の企業がサイバーディスラプションを「繰り返し発生する事業運営上の現実」と認識
72%
が、昨今の複雑なテクノロジー環境において、サイバーディスラプションをすべて防ぐことはもはや現実的ではないと回答
89%
2025年におけるAI駆動型サイバー攻撃の前年比増加率1
83%
フロンティアAIモデルによる脆弱性の発見・悪用の初回成功率2 （以前はほぼゼロ）
フロンティアAIモデルの登場により、脆弱性の発見コストは事実上ゼロとなりました。脆弱性の発見と悪用が同時化し、攻撃タイムラインは数週間から数時間へと圧縮されています。
クラウド、AI、プラットフォーム、パートナーの活用拡大は、深い依存関係を生み出し、事態の切り分けを困難にしています。
クラウド、AI、プラットフォーム、パートナーの活用拡大は、深い依存関係を生み出し、事態の切り分けを困難にしています。
69%
の企業が、社内外の複雑なデジタルエコシステムへの依存度が高まっていると回答
61%
が、重要な事業継続能力が外部依存関係に左右されると報告
29分
攻撃者が最初の侵入ポイントから横展開するまでの平均時間3
81%
のリーダーが、サイバーディスラプションへの対応は縮退運用下での事業継続を伴うと回答
多くのリーダーは防御、コンプライアンス、安定したシステム運用といった従来の前提に基づいた理解にとどまっています。
多くのリーダーは防御、コンプライアンス、安定したシステム運用といった従来の前提に基づいた理解にとどまっています。
54%
の経営幹部が、強固な防御策があれば攻撃後も事業継続できると信じている
136%
CEOはCISOに比べ、コンプライアンスがレジリエンスを確保できると考える割合が136%高い
防御・予防中心のセキュリティ対策だけでは、事業継続、復旧スピード、守るべき価値の優先順位、リーダーシップの責任といった、真のレジリエンスに不可欠な要素を十分に捉えることはできません。
多くの企業では、復旧に対する期待値が、変化し続ける脅威の現実に追いついていません。
多くの企業では、復旧に対する期待値が、変化し続ける脅威の現実に追いついていません。
81%
の経営幹部が、深刻なインシデントによる重要ITのダウンタイムは10日以内と想定。しかし実際には平均3〜6か月。
64%
は、システムが安定稼働することを前提にテクノロジーを設計・管理・評価。一方で、10人中8人は、事態発生時に業務パフォーマンス低下を見込む。
本調査では、リーダーの間で、サイバー攻撃の予防と復旧、そしてCISOの役割に対する認識に違いがあることが明らかに。
本調査では、リーダーの間で、サイバー攻撃の予防と復旧、そしてCISOの役割に対する認識に違いがあることが明らかに。
これは単なる知識不足ではなく、構造的な認識のズレです。リーダー同士は合意しているつもりでも、実際には異なる前提に基づいて判断・行動しています。
さらに、レジリエンスの責任所在も不明瞭。
さらに、レジリエンスの責任所在も不明瞭。
責任が分散・分断されると復旧は遅れます。本来は限定的に抑えられるはずのインシデントが長期化し、事業全体を巻き込む事態へ発展するリスクもあります。
防御は、ディスラプションが発生する可能性を低減するものです。一方、レジリエンスは、ディスクリプションが起きた際にも重要業務を維持し、迅速に復旧することで、事業価値を守る能力です。
6つの「誤解」を正すことが、レジリエンスへの鍵
企業が抱えがちな思い込みを払拭できれば、ディスラプションの中でも事業を継続し、的確に舵取りする力を高めることができます。
01
誤解：「コンプライアンスを満たしていれば、守られている。」
現実：コンプライアンスはルールに準拠していることを証明するのみです。真のレジリエンスは、監査ではなく実戦演習でしか証明できません。
87%
の企業が、コンプライアンスによってレジリエンスが確保されると信じている
わずか35%
しか、実際の復旧演習を通じてレジリエンスを定期的に検証していない
対策： 監査ではなく、復旧演習でレジリエンスを証明しましょう。
02
誤解：「防御できていれば、復旧できる。」
現実：防御はインシデントの発症リスクを下げるものです。しかし、いざ事態が起きたとき事業を止めずにいられるかどうかは、レジリエンスによって決まります。
87%
の企業が、大規模なサイバー攻撃時にも、既存のセキュリティ対策で重要業務を維持できると信じている
わずか11%
のみが、予測・制御型のセキュリティが、複雑なシステムにおいて有効性を失いつつあると強く認識
対策：セキュリティ対策が破られることを前提に、事業を止めない仕組みを設計しましょう。
03
誤解：「外部パートナーのセキュリティリスクは、自社の責任範囲外である。」
現実：外部パートナーが契約上の責任を負っていても、契約だけでは自社に及ぶ業務影響や事業継続リスクを軽減できません。
61%
の企業が、事業運営において外部パートナーへの依存関係を持つ
わずか38%
しか、バリューチェーン上の重要な依存関係を正確に把握していない
対策： レジリエンスを自社内にとどめず、バリューチェーン全体へ広げましょう。
04
誤解：「インシデント対応体制があれば、レジリエントだ。」
現実： インシデント対応は事態を収束させるための対応であり、真のレジリエンスである重要事業を維持し、復旧する力ではなりません。
98%
が、迅速な検知と封じ込めこそがレジリエンスを示す指標だと考えている
わずか40%
しか、事前に定義・検証済みの復旧経路を備えていない
対策：対応するだけでなく、衝撃を吸収し、事業を継続できる設計にしましょう。
05
誤解：「サイバー保険があれば損害はカバーできる。」
現実：保険は一部の金銭的損失を補填できるかもしれません。しかし、停止した業務、失われた顧客の信頼、市場での地位までは取り戻せません。
60%
の企業が、サイバー保険をレジリエンス強化の代替策として位置づけている
最大10倍
業務停止、売上損失、ブランド毀損まで含めると、総コストは保険金支払い額の最大10倍に膨らむ可能性があります
対策： 脆弱な状態に保険をかけるのではなく、事業継続力を高めましょう。
06
誤解：「レジリエンスはセキュリティチームの問題だ。」
現実：サイバーリスクは、業務運営・意思決定・組織の評価制度・外部パートナーにまで影響します。そのため、責任もそれに応じて組織全体で共有されるべきです。
74%
の企業が、レジリエンスはセキュリティ部門やIT部門の責任と捉えている
わずか43%
の企業が、レジリエンスを全社共有の経営課題として管理している
対策： レジリエンスの責任はIT部門だけにせず、企業全体で担う体制を構築しましょう。
実態発生下でも事業を止めないために、リーダーが取るべき連携のあり方
サイバーインシデントによる混乱は、相互につながった現代のデジタル環境において、事業全体に広範な影響を及ぼします。だからこそ、サイバーレジリエンスについてCEOとCISOが共通認識を持つことが重要です。両者が連携することで、事業を止めずに継続するための明確な計画を描くことができます。
サイバーレジリエンスの第一歩は、混乱時にも事業を継続するために「最優先で守り、復旧すべき業務」を明確にすることです。そのうえで、事業にとって失うことのできない重要な機能を安定させ、コア業務を維持し、信頼できる環境へ確実に復旧できる体制を整える必要があります。
5つのアクション
1
重要機能（Crown Jewel）を特定し、アタックサーフェスを踏まえたバリューチェーン全体の依存関係をマッピングする。
2
インシデント発生前に、復旧の意思決定を設計する——優先順位・権限・発動条件・トレードオフを事前に定義する。
3
攻撃者が侵入している状況下でも機能する復旧環境を構築し、再構築に不可欠なアーティファクトを確保する。
4
再構築を自動化し、復旧時間を数週間から数時間へ圧縮する。
5
実攻撃シナリオで継続的に検証し、事業環境の変化に合わせて更新する。
レジリエンスに取り組む企業が、一歩先を行く
サイバーレジリエンスを重視する先進企業は、攻撃を防ぐだけでなく、事態発生時にも迅速に復旧し、事業価値を維持する力を戦略に組み込んでいます。
その効果は、リスクに備えているという安心感にとどまらず、企業価値の向上にもつながります
防御とレジリエンスへの投資バランスを最適化し、支出を適正化できる。
優先事項の明確な把握に基づき、サイバー投資を適正規模に絞り込める。
責任の明確化とコントロール・マッピングの改善により、コンプライアンスコストを削減できる。
変化し続ける脅威環境において、サイバーレジリエンスは企業が生き残るための備えであると同時に、次の成長を支える力になります。
謝辞
本調査にインサイトを提供いただいたすべての方に感謝いたします。
著者：Harpreet Sidhu、Jason Lewkowicz、Charlie Hosner、Yusof Seedat。
協力者：Vikram Desai、Rouzbeh Hashemi、Lachlan George。
出典
1. CrowdStrike グローバル脅威レポート、2026年
2. CyberGym 脆弱性再現ベンチマーク
3. CrowdStrike グローバル脅威レポート、2026年
調査について
アクセンチュアは2026年2月〜3月にかけて、1,000名のC-suiteを対象としたグローバル調査を実施しました。回答者には幅広い業界のCEO等相当のリーダー505名、CISO等相当のリーダー495名が含まれます。
- 最高経営責任者（CEO）
- 国/地域/部門CEO
- CEOまたは部門/機関長
- 最高情報セキュリティ責任者（CISO）
- 情報セキュリティディレクター
- オーストラリア
- ブラジル
- カナダ
- フランス
- ドイツ
- イタリア
- 日本
- サウジアラビア王国（KSA）
- シンガポール
- スペイン
- アラブ首長国連邦（UAE）
- 英国
- 米国
- 航空宇宙・防衛
- 自動車
- 銀行
- 資本市場
- 化学
- コミュニケーション・メディア
- 消費財・サービス
- エネルギー
- ヘルスケア
- ハイテク
- 産業機器
- 保険
- ライフサイエンス
- 天然資源
- 公共サービス
- 小売
- ソフトウェア・プラットフォーム
- 旅行
- ユーティリティ