KPMGジャパン、「サイバーセキュリティサーベイ2026/27」（速報版）を発表
KPMGコンサルティング株式会社
-AI活用が広がる一方、サイバー攻撃、サプライチェーン、AIガバナンスへの対応が課題に-
KPMGジャパン（東京都千代田区、チェアマン：山田 裕行）は、国内企業におけるサイバーセキュリティへの取組みに関する実態調査を実施し、その調査レポート「サイバーセキュリティサーベイ2026/27」の発刊に先立ち、速報版を本日発表しました。
AIの活用が急速に広がりビジネス環境が大きく変化するなか、ランサムウェアやフィッシング、ビジネスメール詐欺などによる被害が国内外で相次いでおり、サイバーセキュリティの重要性はこれまで以上に高まっています。また、サイバーインシデントの影響は自社のみならず、グループ会社や委託先・取引先を含むサプライチェーン全体に及ぶことから、企業にはさまざまな対策を講じ、より高度な管理態勢を構築することが求められています。
9回目となる本調査では、国内上場企業および売上高1,000億円以上の未上場企業420社のサイバーセキュリティ責任者・担当者から得た回答を基に、「サイバー攻撃の実態」「サイバーセキュリティ管理態勢」「子会社管理」「委託先・取引先管理」「サイバーセキュリティ対策」「AIセキュリティ」の6テーマについて調査・分析しています。なお、本調査は、KPMGインターナショナルの日本におけるメンバーファームである有限責任 あずさ監査法人（本部：東京都新宿区）、KPMGコンサルティング株式会社（本社：東京都千代田区）、株式会社 KPMG Forensic & Risk Advisory（本社：東京都千代田区）がKPMGジャパンとして共同で実施しました。
本レポート（速報版）の全文は、以下からダウンロードいただけます。
「サイバーセキュリティサーベイ2026/27」（速報版）
＜注目すべき調査結果＞
1．サイバー攻撃の実態
サイバーインシデントによって業務上の影響があった企業のうち、41.4％で自社に経済的な損失が発生し、32.3％で顧客・取引先の個人情報漏えい、31.3％で自社従業員の個人情報漏えいが生じた。また、国内の委託先・取引先を経由した攻撃による被害が14.1％で最も高くなった。
2．サイバーセキュリティ管理態勢
企業の56.9％がサイバーセキュリティ対策の予算を増加させる一方、41.3％が中期計画を未策定。サイバーセキュリティ推進組織の人員不足を認識している企業は87.4％に。
3．子会社管理
国内子会社では、本社と同じ対策を導入し、運用も一元的に実施している企業が34.7％で最多となった。一方、海外子会社では、対策の決定を子会社に委ねている企業と、対策状況を把握していない企業の合計が38.3％となり、国内子会社の20.6％を上回った。
4．委託先・取引先管理
委託先・取引先管理において企業が実施している対応として、セキュリティ指針の整備が企業の31.4％、委託先選定時のセキュリティ対策アンケート取得は36.6％、システム等を利用した一元管理は9.4％にとどまる。サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への関心は高く、53.1％の企業が参照していることがわかった。
5．サイバーセキュリティ対策
ランサムウェア対応としてバックアップ対策や資産管理等の導入が進む一方、資産管理では45.4％の企業が運用面の課題を抱えている。また、緊急度が高いと判断された脆弱性へのパッチ適用について、「公開から1週間以内に適用」「公開から1ヵ月以内に適用」と回答した割合の合計が52.1％にとどまった。また、ゼロトラスト原則に基づくアクセス制御について、導入済みや導入の検討が進む一方、サイバーBCPを策定している企業は28.7％にとどまる。
6．AIセキュリティ
企業の96.6％が生成AIを、47.9％の企業がAIエージェント・自律型AIを主に利用または検討しているが、AIセキュリティに関する明確な責任者・オーナーを定めていない企業は38.2％で、AIエージェント・自律型AIを利用している企業のうち全社的な把握ができていない企業が23.0％で最多となった。
テーマ1：サイバー攻撃の実態
サイバーインシデントによって業務上の影響があった企業のうち、41.4％で自社に経済的損失が発生し、32.3％で顧客・取引先の個人情報漏えい、31.3％で自社従業員の個人情報漏えいが生じました。過去1年間の合計損失額では、前回調査と同様に10億円以上との回答もありました。
[画像1:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-8f5eb116bbfa3b9d184cc36adc863ece-820x566.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図1】サイバーインシデントによって発生した被害
フィッシング、ビジネスメール詐欺、ソーシャル・エンジニアリング攻撃、ディープフェイクを用いた不正な送金指示など、生成AIを用いる可能性の高い攻撃は、前回調査と比べて増加傾向がみられました。
[画像2:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-0e63c77ff3db5012a293b33f6df2b05f-820x501.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図2】生成AIの日本語力向上に関連する攻撃の被害有無（前回調査との比較）
インシデントの発生経路では、「国内の委託先・取引先」を経由した攻撃によって業務上の影響があったとの回答が14.1％で最も高く、前回調査の10.8％を上回りました。この結果から、委託先・取引先を含めた対策の必要性が示唆されます。
[画像3:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-4480cb7a3e72d5fb88b2094cd9103d75-820x491.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図3】インシデントの発生経路
テーマ2：サイバーセキュリティ管理態勢
サイバーセキュリティ投資（予算額）を前年から増加させた企業は、56.9％となりました。一方、サイバーセキュリティの中期計画を策定していない企業は41.3％に達しており、投資拡大と中長期的な計画の策定が必ずしも連動していない状況がみられます。
[画像4:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-41310672222a27b458fef5ca9e84fb2d-820x116.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図4】サイバーセキュリティ予算の増減
[画像5:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-f86fc77f41bf1dfa9d9b99e6b6a474da-820x434.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図5】サイバーセキュリティの中期／単年度計画策定状況
また、サイバーセキュリティ推進組織の人員について、「おおいに不足している」「やや不足している」との回答は合計87.4％でした。また、専任人数が0人との回答は46.9％で、人材確保や推進体制の整備が引き続き大きな課題となっています。
[画像6:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-2d8e6aaf5160dadbb5a320872cedce8d-820x93.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図6】サイバーセキュリティ推進組織人員状況
[画像7:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-f1f5c9e343128dd2ef9e9c14d8d677fb-820x408.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図7】サイバーセキュリティ推進組織の専任人数
テーマ3：子会社管理
国内子会社への方針では、「本社と同じ対策を子会社にも導入し、運用も一元的に実施」が34.7％で最も高くなりました。セキュリティポリシーの整備、評価・アセスメント、教育・訓練は半数以上の企業で実施され、グループを含む全社共通のCSIRT・SOCや情報システム資産管理も前回調査から実施・検討が進んでいます。一方、海外子会社では、「セキュリティ対策の決定は子会社に委ねており、必要に応じて報告・相談を受けている」と「子会社の対策を把握していない」の合計が38.3％となり、国内子会社の20.6％を上回りました。海外子会社のセキュリティ評価・アセスメントの実施率は40.3％で、国内子会社の50.8％を下回っています。
[画像8:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-2a95d585e2742dd99072368375ae5280-820x465.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図8】子会社におけるセキュリティ対策の方針
テーマ4：委託先・取引先管理
委託先・取引先管理では、いずれの施策も実施率は4割未満でした。「委託先に対するセキュリティ指針の整備」は31.4％、「委託先選定時のセキュリティ対策アンケート取得」は36.6％、「システムやサービスを利用した委託先のセキュリティ対策状況の一元管理」は9.4％にとどまりました。
[画像9:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-a03fabefa5bc80a98d8537b98bb20f5f-820x470.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図9】委託先・取引先に対して実施しているセキュリティ対策
委託先・取引先に関する取組みで参照している法令・ガイドライン類では、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）を挙げた企業が53.1％となりました。製造では60.8％が同制度を参照しており、従業員規模を問わず幅広い企業で関心がみられます。
[画像10:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-a65917b50015886d9c7ad137f352a6a4-820x455.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図10】委託先・取引先に関する取組みで参照している法令・ガイドライン
テーマ5：サイバーセキュリティ対策
ランサムウェア対応としてのバックアップ対策、資産管理、脆弱性管理、アイデンティティ／アクセス管理などは導入・検討が進む一方、運用面には課題が残ります。特に資産管理では、「導入したが、運用の一部に課題がある」との回答が45.4％で、調査対象の対策のなかで最も高くなりました。また、今後のサイバーセキュリティ対策の導入予定では、「マイクロセグメンテーション、NDR等（社内LAN環境のゼロトラスト化を含む）」を検討している企業が42.9％で最も高くなりました。
[画像11:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-e97adb460e663bc1defbb8579b8e4e4c-820x487.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図11】資産管理、脆弱性管理に係る対策の導入状況
[画像12:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-731eb9d296a159c2ac79bdeac940959a-820x504.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図12】「導入を検討している」サイバーセキュリティ対策 上位10項目
緊急度が高い脆弱性へのパッチ適用について、「公開から1週間以内に適用」「公開から1ヵ月以内に適用」と回答した割合の合計が52.1％にとどまりました。
[画像13:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-03dadc59e0a6e4b3ac02aeda0a524702-820x475.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図13】緊急度が高い脆弱性に対するパッチ適用のタイミング
ゼロトラスト原則（※）に基づくアクセス制御は、導入済みまたは導入検討中との回答が82.3％となり、導入する計画がない、または状況を把握していない企業は17.5％にとどまりました。一方、サイバーBCPを策定している企業は28.7％、策定を検討している企業は60.1％、経営層も対象に含めた訓練を実施している企業は21.8％でした。
（※）：社内・社外の境界によらず、アクセスのたびに認証・認可を実施する考え方
[画像14:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-739b35418802c14a6418aaa0fdfa03eb-820x430.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図14】ゼロトラスト原則に基づくアクセス制御の導入状況
[画像15:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-58306e98467207b1f6156caf5f90070a-820x449.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図15】サイバーBCPの対応状況
テーマ6：AIセキュリティ
生成AIは96.6％、AIエージェント・自律型AIは47.9％の企業で、主に利用または検討されており、企業におけるAI活用は広がっています。AIの主な活用方法では、「社内利用のみでAIを活用している」が67.4％で最も高くなりました。
[画像16:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-3651b469062a54e11acce2179c6f9bbc-820x440.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図16】主に利用している（または検討している）AI技術・手法
AIセキュリティに関する明確な責任者（CAIO/CISO等）を定義している企業は26.8％にとどまり、「明確な責任者・オーナーは定めていない」が38.2％でした。推進体制では、IT／情報セキュリティ部門が中心となって管理・推進している企業が64.2％を占める一方、全社横断の委員会／CoEが存在する企業は12.5％でした。AI活用が広がる一方で、責任体制や推進体制の整備状況には企業間で差がみられました。
[画像17:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-110ddf3b7ade5204177c3ec6dc233ff9-820x134.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図17】AIセキュリティに関する責任体制
[画像18:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-6278adbf2725bfe9b46b84d51b3f3283-820x129.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図18】AIセキュリティを推進・管理する組織体制
AIエージェント・自律型AIに関するガバナンスを整備している企業は全社的または一部のユースケースで29.9％にとどまる一方、61.2％がその必要性を認識しながらも未整備と回答しており、AIエージェント・自律型AIの活用が進むなか、ガバナンスの整備状況に差がみられました。
[画像19:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-67e6b444bd124f8a3419be64a39a9130-820x134.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図19】AIエージェント・自律型AIのルール・ガバナンスの整備状況
また、AIエージェント・自律型AIを利用している企業のうち、 「各部門・各プロジェクトが個別に導入・管理しており、全社的な把握はできていない」との回答が23.0％で最多となり、利用実態の把握にも課題がみられました。
[画像20:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-3bce2daae2a2d928c137d3bd1794b24d-820x134.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図20】AIエージェント・自律型AI利用の把握状況
セキュリティ運用へのAI活用では、「アラート要約・トリアージ、インシデント調査ガイド・推奨対応の自動提示」に81.7％の企業が期待しています。運用業務の効率化に加え、専門的な分析や人材育成へのAI活用にも期待がよせられています。
[画像21:
https://prcdn.freetls.fastly.net/release_image/88324/411/88324-411-559806cc16f046e6e1449abd982a1dee-820x391.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
【図21】セキュリティ運用において企業が期待するAIの活用領域
「サイバーセキュリティサーベイ2026/27」概要
名称：企業のサイバーセキュリティへの取組みに関する調査
対象：国内上場企業および売上高1,000億円以上の未上場企業のサイバーセキュリティ責任者・担当者
調査期間：2026年6月29日～8月12日
調査方法：郵送およびウェブによるアンケートの回収
有効回答数：420社
本レポート（速報版）の全文は、以下からダウンロードいただけます。
「サイバーセキュリティサーベイ2026/27」（速報版）
今後、本調査結果に解説を加えた詳細版レポート「サイバーセキュリティサーベイ2026/27」を発表する予定です。
KPMGジャパンについて
KPMGジャパンは、KPMGインターナショナルの日本におけるメンバーファームの総称であり、監査、税務、アドバイザリーの3分野にわたる11のプロフェッショナルファームによって構成されています。クライアントが抱える経営課題に対して、各分野の専門家が知識とスキルを活かして連携し、KPMGのグローバルネットワークも活用しながら、価値あるサービスを提供しています。
日本におけるメンバーファームは以下のとおりです。
有限責任 あずさ監査法人、KPMG税理士法人、KPMGアドバイザリーホールディングス株式会社、KPMGコンサルティング株式会社、株式会社 KPMG FAS、株式会社 KPMG Forensic & Risk Advisory、KPMGあずさサステナビリティ株式会社、KPMGヘルスケアジャパン株式会社、KPMG社会保険労務士法人、KPMG行政書士法人、株式会社 KPMG Ignition Tokyo
プレスリリース提供：PR TIMES
記事提供：PRTimes
