CISOのAIガバナンス、サイバーセキュリティとAIリスクが交わる領域
2026年のCISOにとって、AIは二重の課題をもたらします。AIシステムは、防御すべき新たな攻撃対象領域であると同時に、統治すべき新たな資産カテゴリでもあります。世界経済フォーラム（WEF）の「Global Cybersecurity Outlook 2025」は、72%の組織がサイバーリスクは増大したと回答したと報告しています。Darktraceの2025年の調査では、CISOの78%がAI脅威による重大な影響を報告し、93%が1年以内にAIを利用した攻撃が日常的に発生すると予想しています。AIは技術部門の関心事から、取締役会レベルのセキュリティおよびガバナンスの課題へと移行しました。
CISOが対処すべき4つのAI脅威カテゴリ
プロンプトインジェクションと敵対的攻撃。Cloud Security Alliance（CSA）の2026年4月のレポートは、本番環境のAIシステムにおいてプロンプトインジェクションによるリモートコード実行が生じることを確認しました。攻撃ベクトルには、直接的なプロンプトインジェクション、データソースを介した間接的なプロンプトインジェクション、ゼロクリックによるエージェント型ブラウザの乗っ取り、ツール利用の操作が含まれます。OWASP Top 10 for LLM Applications（LLMアプリケーション向けOWASPトップ10）が基準となる参照文書ですが、これに従っている組織は29%にとどまります（Moody's、2025年）。
AIを介したデータ漏えい。従業員が機密データをコンシューマー向けAIツールに入力すること、AIが認可された範囲を超えて個人データを処理すること、モデルからの学習データの抽出などです。Saviyntが200名超のCISOを対象に実施した2026年の調査では、「AIは誰も付与していないアクセス権を持っている」ことが明らかになりました。AIエージェントが、IAMプロセスを通じて正式に認可されたことのない権限で稼働しているのです。
モデルポイズニングとサプライチェーン。汚染された学習データ、悪意あるファインチューニング、AIモデルのリポジトリを経由したサプライチェーン攻撃です。OpenClawの脆弱性公表（2025年11月）では、21,000件を超える露出したインスタンスが特定され、リポジトリのコンテンツの12%にマルウェアが含まれていました。
AIを利用した脅威。AIが生成するフィッシング（Cobaltによれば、フィッシングの40%が現在はAI生成）、AI支援によるコードの脆弱性（DryRunによれば、AIが生成したプルリクエストの87%にセキュリティ上の欠陥が含まれる）、ソーシャルエンジニアリングに用いられるディープフェイク、そして自動化された脆弱性の発見です。
APRA（オーストラリア健全性規制庁）が示すCISOに直結する具体的な期待事項
APRAが2026年4月30日に発出した業界向け書簡は、非人間主体（AIエージェント）のアイデンティティ・アクセス管理を具体的なギャップとして名指ししました。これはまさにCISOの領域です。AIエージェントには、人間のユーザーと同等のIAM統制、認証、認可、監査ログが必要です。CPS 234（情報セキュリティ）は、情報資産を処理するAIシステムに適用されます。敵対的テスト、すなわちプロンプトインジェクション、ジェイルブレイク、データ持ち出しのテストは、重要なAIシステムについて実施が期待されます。
CISOのためのフレームワーク整合
CISOのAIガバナンスを支える実務的なフレームワーク構成は次のとおりです。NIST AI RMF（AI固有のリスクマネジメント）＋NISTサイバーセキュリティフレームワーク2.0（サイバーリスクマネジメント）＋NIST IR 8596（両者を橋渡しする2025年12月の予備ドラフト）。AIマネジメントシステムのためのISO/IEC 42001と、情報セキュリティのためのISO 27001。アプリケーションセキュリティのためのOWASP Top 10 LLM。適用対象となるAIに対するEU AI法のサイバーセキュリティ要件。オーストラリアの金融サービスにおける情報セキュリティのためのCPS 234です。
CISOが構築すべきもの
AI固有のセキュリティ統制。プロンプトインジェクションのテスト、出力のフィルタリング、AIシステム向けの入力検証。AI APIへのアクセスに対するレート制限と異常検知。AIツールへの入力を対象とするデータ損失防止のルール。AIの学習および推論インフラのネットワークセグメンテーションです。
非人間主体のためのIAM。AIエージェント、自動化されたワークフロー、AI駆動のプロセスには、アイデンティティ管理が必要です。すなわち、固有のアイデンティティ、最小権限アクセス、認証、監査ログ、アクセスレビューです。これこそがAPRAが具体的に名指ししたギャップです。
AIベンダーのセキュリティ評価。標準的なサードパーティリスク評価を、AI固有の設問で拡張します。モデルのセキュリティテスト、学習データのセキュリティ、敵対的堅牢性、AI固有の障害に対するインシデント対応です。
AIのためのインシデント対応。AIインシデント（モデル挙動の異常、敵対的攻撃、AIを介したデータ漏えい、AI生成コンテンツに関するインシデント）には、明確に定義された対応手順、エスカレーション経路、報告義務が必要です。
AIに関するセキュリティ意識向上。AI固有のリスクに関する従業員研修です。AIツールに入力してはならないもの、AIが生成したフィッシングの見分け方、AIのセキュリティ上の懸念を報告する方法を扱います。