アイデンティティ管理サービスを提供するOkta, Inc.（本社：米国・サンフランシスコ 以下 Okta）の日本法人であるOkta Japan株式会社（本社：東京都渋谷区、代表取締役社長：渡邉 崇）は、新たなグローバル調査レポート「Global CISO Insights 2026」を公開しました。本調査は、日本を含む世界6カ国（米国、英国、カナダ、フランス、ドイツ、日本）のCISO（最高情報セキュリティ責任者）をはじめとするサイバーセキュリティのトップリーダー306名を対象に実施されました。
背景：AIエージェントの台頭と「人間前提」のセキュリティの限界
これまで企業のセキュリティやアクセス管理は、「人間の従業員」に対してアイデンティティを付与し、その権限を管理することを前提として構築されてきました。しかし、自律的にタスクをこなす非人間である「AIエージェント」が組織内に普及する時代を迎え、これまでの常識が通用しなくなっています。人間用に作られた既存のルールやインフラをAIに流用しようとした結果、企業の中枢で深刻なガバナンスの危機が起きていることが、本調査から明らかになりました。
グローバルの調査結果：AIガバナンスにおけるギャップとシャドーAIの蔓延
多くの組織がAIの業務利用を進める一方で、セキュリティリーダーたちは「人間用のツールではAIの自律的な動きを制御できない」というギャップに直面し、危機感を募らせています。
AIアクセスのスプロール化への懸念：グローバルのCISOの81%が、過剰なAIアクセス権限がレビューされないまま放置されること、すなわち「AIアクセスのスプロール化（無秩序な拡大）」に強い懸念を抱いています。
人間用ルールの流用が生む「盲点」：多くの組織がきめ細かい制御ではなく広範なアクセス制御を使用しており、組織の21%が共有認証情報やサービスアカウントをAIエージェントに使い回しています。さらに4人に1人のCISOが、AIに対して人間のユーザーと全く同じアイデンティティ管理を適用しています。自律的なAIを人間用の枠組みに無理やり当てはめることで、システム上で「個々のAIがどこで何をしているか」を識別できなくなり、エージェント型エンタープライズ全体に広大な盲点が生まれています。
AIの可視化と制御の欠如：このような盲点が引き金となり、自社の環境内にあるすべてのAIエージェントを「所在を特定できる（47%）」、「接続先を制御できる（46%）」、または「アクションを承認できる（45%）」と自信を持っているCISOはいずれも半数未満にとどまっています。
シャドーAIの蔓延と受動的な対応：CISOの68%が、組織内に未承認のAI（シャドーAI）が少なくとも一部存在すると認識しています。しかし、発見時の対応は「アクセスをブロックする（35%）」が最多であり、これは従業員の利用ニーズを満たさず、かえって水面下での利用を助長してしまうため、根本的な解決にいたっていません。
経営陣および取締役会との連携不足：許容できるAIリスクレベルについて、経営層および取締役会と「完全に認識が一致している」と感じているCISOはわずか31%です。この意思統一の欠如が、責任あるAI導入に必要なセキュリティ投資を確保する上でのハードルとなっています。
日本の調査結果：「セキュリティ第一」と「ツール不足」のパラドックス
日本の調査結果における最大の特徴は、日本のCISOたちが世界で最も「セキュリティを重視」する姿勢を示している一方で、実際のガバナンスツールの導入においては深刻な遅れを取っているという事実です。
世界とは逆行する「セキュリティ第一」の姿勢：グローバル全体では約半数（49%）の組織が「セキュリティよりもイノベーション（AIの迅速な導入）を優先する」と答え、英国にいたっては約7割（68%）に達するなど、世界的にAIの活用を急ぐ傾向が顕著です。対照的に日本では「イノベーション優先（約30%）」を「セキュリティ優先（34%）」が上回りました。世界がAIの活用を急ぐ中で、日本企業は調査対象国で最も慎重に「セキュリティ第一」を掲げている独自の実態が浮き彫りになりました。
シャドーAI検出能力の深刻な遅れ：高いセキュリティ意識とは裏腹に、日本のリーダーの14.5%が「自組織にはシャドーAIの効果的な検出機能がない」と明かしています。グローバル平均が5.2%であり、英国（1.0%）や米国（2.3%）など他国が軒並み1〜3%台にとどまる中、日本における初歩的なコントロールの導入遅れが突出しています。
一貫したガバナンスの不在：日本のリーダーの約12%が、AIエージェントのアイデンティティおよびアクセスガバナンスに対して「組織として一貫したアプローチをまだ持っていない」と回答しており、グローバル平均（6%）の約2倍に上るなど、ガバナンスの「未整備」な状態が大きな課題となっています。
Oktaの提言：AIガバナンスを強化する4つの方法
本調査のデータは、「見えないものを保護することはできず、アイデンティティが付与されていないものを統制することはできない」という事実を明確に示しています。新しいタイプの脅威に対抗しつつ、AIのスピードでビジネスを推進するために、Oktaが提言する実践すべき4つの方法は以下の通りです。
AIエージェントの全体像を完全に把握する： 見えないものは統制できません。AIエージェントが「どこで稼働し、何に接続でき、何ができるか」をマッピングし、発見（ディスカバリー）することを戦略の基盤として優先してください。
共有アカウントを廃止し「正規のアイデンティティ」を付与する： AIを人間用の枠組みに無理やり当てはめたり、共有アカウントを使い回したりするべきではありません。すべてのAIエージェントを、独自のライフサイクルとアクセス権限を持つ正規のアイデンティティとして扱ってください。
シャドーAIは単にブロックせず、ガバナンス下に置く： シャドーAIのアクセスを単にブロックするだけでは、水面下での利用をさらに助長してしまいます。新しいAIツールを迅速に評価・導入するプロセスを構築し、安全な選択肢を従業員に提供してください。
取締役会との連携ギャップを埋める： AIのセキュリティを「ビジネスのスピードを遅らせるもの」ではなく「ビジネスを加速させるもの」として経営層に位置づけてください。ガバナンスの成熟度を根拠に、AI導入に必要なセキュリティ投資を確保します。
調査概要
本レポートは、306名の最高情報セキュリティ責任者（CISO）、サイバーセキュリティ責任者、その他の上級セキュリティ幹部を対象としたグローバル調査に基づいています。
調査対象：世界6カ国における306名のCISO、サイバーセキュリティ責任者、組織の情報セキュリティポリシーやリスク管理を統括するセキュリティ幹部
国別の回答者内訳：英国（33.0%）、日本（24.8%）、米国（14.1%）、フランス（11.1%）、カナダ（8.5%）、ドイツ（8.5%）
調査実施時期：2026年6月
