生成AI活用拡大の一方で外部攻撃対策に遅れ
―ランサムウェアの平均被害額約3.5億円、平均停止期間36日に長期化
～セキュリティ成熟度と被害の実態調査 2026～
2026年8月21日
トレンドマイクロ株式会社（本社：東京都新宿区、代表取締役社長 兼 CEO：エバ・チェン 東証プライム：4704、以下、トレンドマイクロ）の法人向けブランド TrendAI と特定非営利活動法人 CIO Lounge（所在地：大阪府大阪市北区、理事長：矢島 孝應）は、過去 3 年間でサイバー攻撃による被害を受けた、国内の法人組織（従業員 500 名以上）の経営者およびセキュリティ・リスクマネジメントの責任者（部長以上）306 人を対象に「セキュリティ成熟度と被害の実態調査 2026」を実施しました※1。
※1 調査結果のパーセンテージは、小数点以下第二位を四捨五入した数値です。合計が100%にならない場合があります。
レポート全文はこちら
本調査では、主に以下 4 つの現状が明らかになりました。TrendAI と CIO Lounge による考察と提言についても本レポートに記しています。
●リスク対策を阻害する 2 大要因
セキュリティ対策の阻害要因として、統治・識別・防御・検知・対応・復旧の全ての項目で、「人的リソース及び適切なスキルセットの不足」が最多を占めました。次いで、AI をはじめとした新技術の台頭による攻撃対象領域の拡大に伴う「攻撃の高度化」、「複雑化への対処」が上位に挙がりました。
●経営層の「行動」こそが業務継続のカギ
ランサムウェアおよびビジネスメール詐欺被害による被害金額と業務停止期間は、いずれも 2024 年度調査から増加しました。一方、経営層が報告を単に受けるだけでなく、予算・人員の配分やリーダーシップの発揮など自ら具体的な行動を起こす企業ほど、セキュリティ成熟度が高い傾向にあることが判明しました。セキュリティ成熟度が高い企業ほど業務への影響が軽微である傾向も確認されました。
●正確な意思決定には経営層との緊密なコミュニケーションが不可欠
セキュリティ成熟度と業務停止期間には、相関性が見られることが判明しました。また、経営層の関わりが高い業種ほど、セキュリティ成熟度が高い結果となりました。
●生成 AI の普及スピードとセキュリティ対策のギャップ
ビジネス環境における生成 AI の利用は 2024 年度調査から大幅に拡大しており、ガイドラインの整備や社内教育を実施する企業も増加しています。一方、システム的な対策（ガードレール）においては、利用アプリケーションの制限や、内部からの情報漏洩対策は進んでいるものの、外部からの攻撃に対する備えは不十分な状況にあります。
さらに、被害の報告が後を絶たないランサムウェアによる被害額（合計）については、2023 年度以降継続して実施している本調査において、被害額が 5 億円以上の占める割合が増加傾向にあることが明らかになりました。特に「5 億円～ 10 億円未満」、「10 億円以上」の割合が増加しています（図 1）。累計被害額※2 の平均は 2026 年度は約 3 億 4,800 万円となっています。2024 年度の調査における同被害額は平均約 2 億 2,000 万円であり、前回より約 1 億 3,000 万円上がっています。
図1：ランサムウェアによる被害額（2023年度、2024年度、2026年度比較）
※過去3年間のサイバー攻撃によって発生した被害額の合計について、把握できている範囲で最も近いものをお答えください。
※被害額とは、次の3つのコストに分かれます。①直接コスト、②復旧コスト、③再発防止コスト
※「過去3年間に外部から受けたサイバー攻撃にて「ランサムウェア攻撃（脅迫・恐喝・データ改ざん/破壊）」と回答した人（2026年度:n=90、2024年度：n=120、2023年度：n=108）のデータを算出。
一方、ランサムウェアを含む「過去 3 年間のサイバー攻撃による被害額（合計）」については、「被害額はなかった」と回答した割合が 2023 年度以降増加しています（2023 年度 27.5 %、2024 年度38.3 %、2026 年度 42.5 %）。累計被害額の平均※2 は 2026 年度は約 1 億 8,900 万円となりました。2024 年度の調査における同被害額は平均 1 億 7,100 万円であり、前回より約 1,800 万円上がっています。
※2 回答のレンジに一定額をあてはめ平均額を算出
ランサムウェアによるサイバー攻撃から復旧までに要した業務停止時間に関しては、「10 日以上かかった」（1 ヶ月以内・半年以内・半年以上を含む）と回答する割合が増加しており、長期化の傾向が見られます（図 2）。2026 年度の平均業務停止時間※3 は、約 862.9 時間（約 36.0 日）となりました。2024 年度の調査における同時間は平均 244.9 時間（10.2 日）でした。
図2：ランサムウェアによる業務停止期間（2023年度、2024年度、2026年度比較）
※業務が停止してから再開するまで、どれくらいの時間がかかりましたか。最も近いものをお答えください。
※「過去3年間に外部から受けたサイバー攻撃の中で最も被害額が大きかったもの」にて「ランサムウェア攻撃（脅迫・恐喝・データ改ざん/破壊）」と回答した人（2026年度:n=33、2024年度：n=39、2023年度：n=53）のデータを算出。なお平均期間の算出は「業務停止は発生していない」、「わからない」の回答はそれぞれ除いています。（2026年度:n=32、2024年度：n=35、2023年度：n=40）
一方、ランサムウェアを含む「最も被害額が大きかったサイバー攻撃による業務停止期間」については、「業務停止は発生していない」と「1 日以上かかった」の両極の割合がそれぞれ増加しており、二極化の傾向が明らかになりました※4。2026 年度の平均業務停止時間※3 は、約 369.3 時間（約 15.4 日）となりました。2024 年度の調査における同時間は平均 147.1 時間（6.1 日）でした。
※3 回答のレンジに一定額をあてはめ業務停止時間の平均を算出
※4 「業務停止は発生していない」と回答した割合：2023年度43.3%、2024年度40.3%、2026年度46.7%
「1日以上かかった」と回答した割合：2023年度15.83%、2024度年23.3%、2026年度26.9%
■コメント
NPO CIO Lounge 情報セキュリティ分科会リーダー 四本 英夫（よつもと ひでお）
生成 AI の導入を急ぐ一方で、防御側の体制整備が後手に回っている現状に強い危機感を覚えます。特筆すべきは、セキュリティを IT 部門に任せきりにせず、経営層が予算や人員配置に直接責任を持つ企業ほど、被害を最小限に留めている点です。今やセキュリティは単なる技術課題ではなく「経営課題」であり、リーダーによる断固たる意思決定とリソース投入こそが、事業継続を左右する鍵となります。
トレンドマイクロ株式会社 TrendAIマーケティング本部 部長 大田原 忠雄（おおたはら ただお）
生成 AI の導入に際し、全社的なガイドラインの策定や教育、情報漏洩対策やアプリケーションの制御といった、主に利用者を主体とした内部対策が先行している傾向が明らかになりました。新しい技術の導入による、アタックサーフェス（攻撃対象領域）の広がりに適切に対処するためには、外部からの攻撃リスクを可視化し、ビジネスへの影響を踏まえた優先度付け、AI を活用した自動対処までを取り込んだ、攻撃者の先手を打つプロセスの構築が急がれます。
■調査概要
調査名：「セキュリティ成熟度と被害の実態調査 2026」
調査手法：インターネット調査
調査地域：日本国内
調査対象者：以下の条件をすべて満たす個人
・過去3年以内にサイバー攻撃による被害を受けた法人組織に所属
・従業員規模500名以上の法人組織に所属
・経営者、セキュリティやリスクマネジメントの責任者（部長職以上）
回答者数：306人
調査時期：2026年5月
調査主体：トレンドマイクロ株式会社、特定非営利活動法人 CIO Lounge
◆TrendAI について
TrendAI は、トレンドマイクロのエンタープライズ向け事業部門であり、AI セキュリティのグローバルリーダーです。 AI の包括的な可視化と統合セキュリティを通じて、組織に確かな信頼をもたらし、イノベーションを推進するとともに、リスクを最小化します。現在、世界 185 か国において大手企業や政府機関に採用され、アイデンティティ、インフラ、データに至るまで、組織全体を横断したセキュリティを提供しています。世界屈指の脅威・攻撃インテリジェンスを基盤に、フォーチュン・グローバル 500 企業を含む多くの組織が TrendAI を活用してリスクを低減し、脅威を検知・阻止しています。
◆CIO Loungeについて
CIO Lounge は、企業で CIO 及び IT 部門責任者としてこれら課題に先進的に対応してきたメンバーが集い、各人の経験・知識を利用することで、悩みを抱える企業の経営幹部層・CIO 及び IT 部門責任者の相談相手となり、解決への糸口を見出し、情報化社会の発展を図る活動に寄与すること及び最新の ICT 技術活用普及促進による科学技術の振興を図る活動、更には各企業へのコンサルティング活動・各種セミナー開催・次世代 CIO 育成等を通じた経済活動の活性化を図る活動を目的とした特定非営利活動法人です。
※ 2026年8月21日現在の情報をもとに作成したものです。今後、内容の全部もしくは一部に変更が生じる可能性があります。
※ TREND MICROはトレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。
Copyright (c) 2026 Trend Micro Incorporated. All Rights Reserved.
© 2026 NPO CIO Lounge