IBM Cost of a Data Breach 2026
侵害企業の92%に共通していたのは、
「アクセス管理の穴」だった
承認ワークフローを整え、情報を区分しても、SSOや最小権限、退職者の権限回収が緩ければ穴は残る。IBMの最新調査は、AI関連のセキュリティ侵害を受けた企業の圧倒的多数が、実は最も基本的なアクセス制御でつまずいていたことを明らかにした。
604社への調査が示した、
"整っているのに破られる"構図
承認ワークフローや情報区分の整備率は年々上がっている。それでも侵害は起きた。
IBMは8月、年次調査「Cost of a Data Breach Report 2026: AI Security Edition」を公表した。世界604社を対象にした今回の調査で、AI関連のセキュリティ侵害を受けた企業のうち92%が、SSOの未接続・最小権限の未実施・退職者アカウントの放置といった基本的なアクセス制御を欠いていたことが判明した。承認ワークフローや情報区分といった「見える化」の施策が整っていても、実際に誰が・どのAIツールに・どこまでアクセスできるかという土台が緩んでいれば、侵害の入り口は塞がらない。
IBM SecurityでAIリスク調査を統括するRenata Choi氏は、報告書に寄せたコメントで「企業はAI導入のガバナンス文書を整えることに注力しすぎて、足元のIDとアクセス管理という基本を後回しにしている」と指摘する。調査では、侵害を受けた企業のうち61%がAIワークロードにSSOを適用しておらず、退職者のAIツールアクセスが取り消されるまでの平均日数は67日に達していた。AI関連侵害の平均被害額は前年から8%増の554万ドルで、そのうちアクセス制御の欠如が確認された案件は平均で47万ドル上振れしていたという。
| 表層のガバナンス | 実効的なアクセス制御 |
|---|---|
| 承認ワークフローの整備 | SSO必須化・多要素認証 |
| 情報区分ポリシーの策定 | 役割ベースの最小権限設計 |
| 利用規程・研修の実施 | 退職者アクセスの即時失効 |
権限は、辞めた後も生き続ける
入社時に付与された権限は、異動のたびに積み上がり、退職後もそのまま残る。
今回の調査が浮き彫りにしたのは、AI導入特有の増幅効果だ。エージェント型AIやRAG基盤は、複数のSaaS・社内データベースへ横断アクセスすることを前提に設計されることが多く、一度発行された権限がAIツール経由で想定より広い範囲のデータに届いてしまう。人間のアカウントであれば不審なアクセスパターンとして検知されやすいが、正規のサービスアカウントやAPIキー経由のアクセスは監視の目が届きにくい、と報告書は指摘している。
数字で見る調査結果
整えたのは、見える化だけだった。
なぜ、いま重要なのか
アクセス管理の不備自体は、IBMの調査で以前から繰り返し指摘されてきたテーマだ。今回際立つのは、AI導入企業においてその欠如がより高い比率で侵害に直結している点にある。理由は、AIツールが複数システムを横断して大量のデータに触れる「ハブ」になりやすいからだ。承認や情報区分といった上位のガバナンス施策が整っていても、その下にあるID・アクセス管理という土台が緩んでいれば、AI導入はむしろ攻撃対象を広げる結果になりかねない。単発の統計というより、「AI導入の成熟度＝アクセス管理の成熟度」に近づいてきたサインとして読むべきだろう。
誰に、どう効くか
経営層にとっては、AI導入のガバナンス投資を「規程やチェックリストの整備」で終わらせず、IDaaS・アクセス管理製品への実装投資にまで踏み込む判断が問われる。PM・情報システム部門にとっては、社内AIツール導入のチェックリストに「アクセス制御レビュー」を独立した項目として明記するという、今日から着手できる具体的なアクションになる。エンジニア・IT管理者にとっては、AIエージェントやAPIキーに対しても人間アカウントと同水準の最小権限設計・定期棚卸しを適用し、退職者オフボーディングの自動化を優先課題に据えるべき局面だ。
次の一手：アクセス制御チェックリスト
今日から着手できる項目は、主にこの4つに整理できる。
SSO・多要素認証の全AIツール適用
個別ログインが残っているAIツール・拡張機能を洗い出し、SSO配下に統合する。シャドーAIの温床になりやすい未接続サービスを優先する。
最小権限の定期レビュー（四半期）
異動・昇進のたびに積み上がった権限を、四半期ごとに棚卸しして不要分を削除する。AIエージェント用のサービスアカウントも対象に含める。
退職者オフボーディングの自動化
人事システムの退職処理とID管理システムを連携させ、67日かかっていたアクセス取り消しを即時〜数時間単位に短縮する。
社内AI導入チェックリストへの明記
承認ワークフローや情報区分のチェック項目に並べて「アクセス制御レビュー」を独立項目として追加し、見落としを防ぐ。
反対視点・調査の限界
数字を読む際にはいくつか留保が要る。まず調査の多くは各社のセキュリティ担当者による自己申告ベースであり、「基本的なアクセス制御を欠いていた」という判定基準の厳密さは公開情報だけでは検証できない。次に、92%という比率はアクセス制御の欠如と侵害の相関を示すものであり、それだけで単独の原因と断定はできない——他の要因（パッチ未適用、フィッシング耐性の低さなど）が重なっているケースも多いとみられる。さらに調査対象の604社は大企業・中堅企業に偏っており、中小企業やスタートアップの実態をそのまま代表するとは限らない。過度に一般化せず、自社のログとアクセス権限の棚卸し状況を実際に確認することが、この数字を活かす一番の近道だ。