KPMGジャパン、「サイバーセキュリティサーベイ2026/27」（速報版）を発表

KPMGジャパン（東京都千代田区、チェアマン：山田 裕行）は、国内企業におけるサイバーセキュリティへの取組みに関する実態調査を実施し、その調査レポート「サイバーセキュリティサーベイ2026/27」の発刊に先立ち、速報版を本日発表しました。

AIの活用が急速に広がりビジネス環境が大きく変化するなか、ランサムウェアやフィッシング、ビジネスメール詐欺などによる被害が国内外で相次いでおり、サイバーセキュリティの重要性はこれまで以上に高まっています。また、サイバーインシデントの影響は自社のみならず、グループ会社や委託先・取引先を含むサプライチェーン全体に及ぶことから、企業にはさまざまな対策を講じ、より高度な管理態勢を構築することが求められています。

9回目となる本調査では、国内上場企業および売上高1,000億円以上の未上場企業420社のサイバーセキュリティ責任者・担当者から得た回答を基に、「サイバー攻撃の実態」「サイバーセキュリティ管理態勢」「子会社管理」「委託先・取引先管理」「サイバーセキュリティ対策」「AIセキュリティ」の6テーマについて調査・分析しています。なお、本調査は、KPMGインターナショナルの日本におけるメンバーファームである有限責任 あずさ監査法人（本部：東京都新宿区）、KPMGコンサルティング株式会社（本社：東京都千代田区）、株式会社 KPMG Forensic & Risk Advisory（本社：東京都千代田区）がKPMGジャパンとして共同で実施しました。

本レポート（速報版）の全文は、以下からダウンロードいただけます。

「サイバーセキュリティサーベイ2026/27」（速報版）

テーマ1：サイバー攻撃の実態

サイバーインシデントによって業務上の影響があった企業のうち、41.4％で自社に経済的損失が発生し、32.3％で顧客・取引先の個人情報漏えい、31.3％で自社従業員の個人情報漏えいが生じました。過去1年間の合計損失額では、前回調査と同様に10億円以上との回答もありました。

フィッシング、ビジネスメール詐欺、ソーシャル・エンジニアリング攻撃、ディープフェイクを用いた不正な送金指示など、生成AIを用いる可能性の高い攻撃は、前回調査と比べて増加傾向がみられました。

インシデントの発生経路では、「国内の委託先・取引先」を経由した攻撃によって業務上の影響があったとの回答が14.1％で最も高く、前回調査の10.8％を上回りました。この結果から、委託先・取引先を含めた対策の必要性が示唆されます。

テーマ2：サイバーセキュリティ管理態勢

サイバーセキュリティ投資（予算額）を前年から増加させた企業は、56.9％となりました。一方、サイバーセキュリティの中期計画を策定していない企業は41.3％に達しており、投資拡大と中長期的な計画の策定が必ずしも連動していない状況がみられます。

また、サイバーセキュリティ推進組織の人員について、「おおいに不足している」「やや不足している」との回答は合計87.4％でした。また、専任人数が0人との回答は46.9％で、人材確保や推進体制の整備が引き続き大きな課題となっています。

テーマ3：子会社管理

国内子会社への方針では、「本社と同じ対策を子会社にも導入し、運用も一元的に実施」が34.7％で最も高くなりました。セキュリティポリシーの整備、評価・アセスメント、教育・訓練は半数以上の企業で実施され、グループを含む全社共通のCSIRT・SOCや情報システム資産管理も前回調査から実施・検討が進んでいます。一方、海外子会社では、「セキュリティ対策の決定は子会社に委ねており、必要に応じて報告・相談を受けている」と「子会社の対策を把握していない」の合計が38.3％となり、国内子会社の20.6％を上回りました。海外子会社のセキュリティ評価・アセスメントの実施率は40.3％で、国内子会社の50.8％を下回っています。

テーマ4：委託先・取引先管理

委託先・取引先管理では、いずれの施策も実施率は4割未満でした。「委託先に対するセキュリティ指針の整備」は31.4％、「委託先選定時のセキュリティ対策アンケート取得」は36.6％、「システムやサービスを利用した委託先のセキュリティ対策状況の一元管理」は9.4％にとどまりました。

委託先・取引先に関する取組みで参照している法令・ガイドライン類では、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）を挙げた企業が53.1％となりました。製造では60.8％が同制度を参照しており、従業員規模を問わず幅広い企業で関心がみられます。

テーマ5：サイバーセキュリティ対策

ランサムウェア対応としてのバックアップ対策、資産管理、脆弱性管理、アイデンティティ／アクセス管理などは導入・検討が進む一方、運用面には課題が残ります。特に資産管理では、「導入したが、運用の一部に課題がある」との回答が45.4％で、調査対象の対策のなかで最も高くなりました。また、今後のサイバーセキュリティ対策の導入予定では、「マイクロセグメンテーション、NDR等（社内LAN環境のゼロトラスト化を含む）」を検討している企業が42.9％で最も高くなりました。

緊急度が高い脆弱性へのパッチ適用について、「公開から1週間以内に適用」「公開から1ヵ月以内に適用」と回答した割合の合計が52.1％にとどまりました。

ゼロトラスト原則（※）に基づくアクセス制御は、導入済みまたは導入検討中との回答が82.3％となり、導入する計画がない、または状況を把握していない企業は17.5％にとどまりました。一方、サイバーBCPを策定している企業は28.7％、策定を検討している企業は60.1％、経営層も対象に含めた訓練を実施している企業は21.8％でした。

（※）：社内・社外の境界によらず、アクセスのたびに認証・認可を実施する考え方

テーマ6：AIセキュリティ

生成AIは96.6％、AIエージェント・自律型AIは47.9％の企業で、主に利用または検討されており、企業におけるAI活用は広がっています。AIの主な活用方法では、「社内利用のみでAIを活用している」が67.4％で最も高くなりました。

AIセキュリティに関する明確な責任者（CAIO/CISO等）を定義している企業は26.8％にとどまり、「明確な責任者・オーナーは定めていない」が38.2％でした。推進体制では、IT／情報セキュリティ部門が中心となって管理・推進している企業が64.2％を占める一方、全社横断の委員会／CoEが存在する企業は12.5％でした。AI活用が広がる一方で、責任体制や推進体制の整備状況には企業間で差がみられました。

AIエージェント・自律型AIに関するガバナンスを整備している企業は全社的または一部のユースケースで29.9％にとどまる一方、61.2％がその必要性を認識しながらも未整備と回答しており、AIエージェント・自律型AIの活用が進むなか、ガバナンスの整備状況に差がみられました。

また、AIエージェント・自律型AIを利用している企業のうち、 「各部門・各プロジェクトが個別に導入・管理しており、全社的な把握はできていない」との回答が23.0％で最多となり、利用実態の把握にも課題がみられました。

セキュリティ運用へのAI活用では、「アラート要約・トリアージ、インシデント調査ガイド・推奨対応の自動提示」に81.7％の企業が期待しています。運用業務の効率化に加え、専門的な分析や人材育成へのAI活用にも期待がよせられています。

「サイバーセキュリティサーベイ2026/27」概要

名称：企業のサイバーセキュリティへの取組みに関する調査

対象：国内上場企業および売上高1,000億円以上の未上場企業のサイバーセキュリティ責任者・担当者

調査期間：2026年6月29日～8月12日

調査方法：郵送およびウェブによるアンケートの回収

有効回答数：420社

本レポート（速報版）の全文は、以下からダウンロードいただけます。

「サイバーセキュリティサーベイ2026/27」（速報版）

今後、本調査結果に解説を加えた詳細版レポート「サイバーセキュリティサーベイ2026/27」を発表する予定です。

KPMGジャパンについて

KPMGジャパンは、KPMGインターナショナルの日本におけるメンバーファームの総称であり、監査、税務、アドバイザリーの3分野にわたる11のプロフェッショナルファームによって構成されています。クライアントが抱える経営課題に対して、各分野の専門家が知識とスキルを活かして連携し、KPMGのグローバルネットワークも活用しながら、価値あるサービスを提供しています。

日本におけるメンバーファームは以下のとおりです。

有限責任 あずさ監査法人、KPMG税理士法人、KPMGアドバイザリーホールディングス株式会社、KPMGコンサルティング株式会社、株式会社 KPMG FAS、株式会社 KPMG Forensic & Risk Advisory、KPMGあずさサステナビリティ株式会社、KPMGヘルスケアジャパン株式会社、KPMG社会保険労務士法人、KPMG行政書士法人、株式会社 KPMG Ignition Tokyo