2026年10月、プログラム言語PHPに深刻な脆弱性が発見され、世界各国でウェブサイトやオンラインサービスの停止が相次ぎました。
日本でも銀行、証券会社、通信会社、小売業など、幅広い企業が対応を迫られました。
今回の問題で特に注目されたのは、10年以上存在していたとされるソフトウェアの欠陥を人工知能であるAIが発見したことです。
AIの進歩によって、これまで人間が見つけられなかった脆弱性が短期間で発見される時代が到来しつつあります。
これはサイバーセキュリティーを大きく向上させる可能性がある一方、攻撃者にも新しい能力を与える可能性があります。
企業は今後、AIによって高度化するサイバーリスクにどのように対応すべきなのでしょうか。
シリーズ最終回では、AI時代のサイバーセキュリティーと企業経営の未来について考えます。
サイバーセキュリティーの前提が変わる
従来、企業のサイバーセキュリティー対策では、既知の脆弱性を修正し、不正アクセスを防止することが重視されてきました。
もちろん、こうした基本的な対策は今後も重要です。
しかし、AIの進歩によって、これまで発見されていなかった欠陥が次々と明らかになる可能性があります。
今回のPHP問題は、その象徴的な事例といえます。
長年利用されてきたソフトウェアであっても、安全性が完全に保証されているわけではありません。
また、多くの企業が同じソフトウェアを利用している場合、一つの脆弱性が世界規模の問題に発展する可能性があります。
今後は、既知の危険性を排除するだけでなく、未知の脆弱性が存在することを前提とした経営管理が重要になります。
AIは攻撃と防御の双方を高度化させる
AIの進歩は、サイバーセキュリティーの攻撃側と防御側の双方に影響を与えます。
防御側では、AIを活用して大量のプログラムを解析し、未知の脆弱性を発見することができます。
また、ネットワーク上の異常な通信を分析し、不正アクセスの兆候を早期に把握する用途にも利用できます。
さらに、企業が利用しているソフトウェアと脆弱性情報を照合し、対応の優先順位を判断する支援にも活用できます。
一方、攻撃者もAIを利用する可能性があります。
例えば、攻撃対象となるシステムの調査や、脆弱性の悪用可能性の分析などにAIが利用されることが考えられます。
その結果、脆弱性が発見されてから攻撃が始まるまでの時間が短縮される恐れがあります。
今後は、攻撃側と防御側の双方がAIを活用することを前提に、対策を進める必要があります。
脆弱性を完全になくすことは難しい
企業経営では、サイバー事故を完全に防止することが理想とされます。
しかし、現実にはすべての脆弱性をなくすことは困難です。
情報システムは、多数のプログラムや外部サービスを組み合わせて構築されています。
そのため、個々のソフトウェアが適切に管理されていても、組み合わせや設定によって新たな問題が生じる可能性があります。
また、ソフトウェアの更新によって新しい不具合が発生する場合もあります。
重要なのは、事故を完全になくすことだけを目標にしないことです。
事故が発生する可能性を前提に、被害を最小限に抑え、迅速に復旧できる体制を整える必要があります。
この考え方は、企業の事業継続計画やリスク管理にも共通しています。
サイバーレジリエンスが重要になる
今後、企業経営で重要になる概念の一つが、サイバーレジリエンスです。
サイバーレジリエンスとは、サイバー攻撃やシステム障害が発生した場合でも、重要な業務を維持し、被害から回復する能力を意味します。
従来のセキュリティー対策が攻撃を防ぐことに重点を置いていたのに対し、レジリエンスでは被害が発生した後の対応も重視します。
例えば、重要なシステムを複数の環境に分散することが考えられます。
また、バックアップを適切に保管し、必要な場合には迅速に復元できる体制を整えることも重要です。
さらに、オンラインサービスが停止した場合の代替手段を用意することも有効です。
金融機関であれば、オンライン手続きが停止した際の店舗や電話による対応が考えられます。
小売業であれば、ネットショップが停止した場合の注文受付方法を検討する必要があります。
企業には、事故を防ぐ能力だけでなく、事故に耐えて事業を継続する能力が求められるのです。
経営者に求められる新しい判断能力
AI時代のサイバーセキュリティーでは、経営者の判断能力がますます重要になります。
重大な脆弱性が発見された場合、企業は短時間で対応を決定しなければならないことがあります。
例えば、オンラインサービスを継続するのか、一時停止するのかという判断です。
サービスを継続すれば顧客の利便性を維持できますが、攻撃を受ける危険性が残る場合があります。
一方、サービスを停止すれば危険性を低減できるものの、売上減少や顧客への影響が生じます。
こうした判断は、情報システム部門だけで完結するものではありません。
営業部門、経理財務部門、法務部門、リスク管理部門などの情報を総合する必要があります。
経営者には、技術的な危険性と経営上の影響を理解し、合理的な意思決定を行う能力が求められます。
取締役会の監督責任も重要になる
サイバーリスクは、企業価値に影響する重要な経営課題です。
そのため、取締役会による監督も重要になります。
例えば、重要システムの安全管理状況、重大な脆弱性への対応体制、外部委託先の管理状況などについて、定期的に報告を受けることが考えられます。
また、サイバーセキュリティー対策に必要な人材や予算が確保されているかを確認することも重要です。
短期的な利益を優先して必要な投資を先送りすれば、将来の重大な損失につながる可能性があります。
一方、すべてのリスクに無制限の費用をかけることも合理的ではありません。
取締役会には、企業の事業内容や財務状況を踏まえて、適切なリスク管理が行われているかを監督する役割があります。
内部監査の役割が変化する
AI時代には、内部監査部門の役割も変化していくと考えられます。
従来の内部監査では、業務手続きの遵守状況や会計処理の正確性などが重視されてきました。
しかし、企業活動のデジタル化が進むなか、情報システムの管理状況を評価する重要性が高まっています。
例えば、ソフトウェアの更新管理、アクセス権限の管理、外部委託先の監督、事故発生時の対応体制などが監査対象になります。
また、AIを業務に利用する企業では、AIの出力結果の正確性や、機密情報の取り扱いについても検討が必要です。
ただし、内部監査部門がすべての技術的な問題を直接検証することは現実的ではありません。
必要に応じて専門家の協力を得ながら、経営上重要なリスクに対する管理体制を評価することが求められます。
サイバーセキュリティー投資をどう評価するか
企業がサイバーセキュリティー対策を強化するには、一定の費用が必要になります。
例えば、専門人材の採用、セキュリティー製品の導入、システムの更新、従業員教育などです。
しかし、これらの投資は、事故が発生しなければ効果が見えにくいという特徴があります。
そのため、経営者が費用対効果を判断することは容易ではありません。
今後は、事故が発生した場合の損失を想定し、対策によってどの程度リスクを低減できるかを評価することが重要になります。
例えば、重要システムが3日間停止した場合の売上減少や復旧費用を試算します。
また、顧客情報が流出した場合の調査費用や損害賠償の可能性も検討します。
そのうえで、必要な対策に優先順位を付けます。
サイバーセキュリティー投資は、単なる費用ではなく、企業の事業継続性と将来の収益力を守るための投資として位置付ける必要があります。
中小企業にも新しい対応が求められる
AI時代のサイバーリスクは、大企業だけの問題ではありません。
中小企業や個人事業主も、ホームページ、ネットショップ、クラウドサービス、会計ソフトなどを利用しています。
これらのサービスに重大な脆弱性が発見されれば、事業規模にかかわらず影響を受ける可能性があります。
特に、情報システムを外部業者に委託している場合には、管理を任せきりにしないことが重要です。
例えば、重大な脆弱性が発見された場合に、委託先がどのような対応を取るのかを確認しておく必要があります。
また、重要なデータのバックアップや、多要素認証の導入など、基本的な対策を継続することも重要です。
中小企業では、限られた人員と予算のなかで、重要なシステムから優先的に対策することが合理的です。
AIを安全に活用する企業が競争力を高める
今後、AIは企業のさまざまな業務に利用されるようになると考えられます。
例えば、経理業務では仕訳データの分析や異常取引の検出、法務業務では契約書の確認、営業業務では顧客情報の分析などに活用できます。
また、サイバーセキュリティー分野でも、脆弱性の発見や不正アクセスの監視などに利用できます。
しかし、AIを導入する際には、情報漏洩や誤った判断などのリスクにも注意が必要です。
特に、顧客情報や企業秘密をAIサービスに入力する場合には、利用規約やデータの取り扱いを確認する必要があります。
また、AIの出力結果をそのまま採用するのではなく、人間による確認を組み合わせることが重要です。
今後、企業の競争力を左右するのは、AIを導入しているかどうかだけではありません。
AIを安全かつ適切に活用し、業務の効率化とリスク管理を両立できるかが重要になります。
サイバーセキュリティーは企業価値を支える経営基盤
企業価値は、将来の収益力や成長性だけで決まるものではありません。
企業がどの程度のリスクを抱え、そのリスクを適切に管理できているかも重要です。
重大なサイバー事故によって顧客情報が流出したり、事業活動が長期間停止したりすれば、企業の収益力や信用に影響する可能性があります。
一方、適切な管理体制を整備し、事故発生時にも迅速に対応できる企業は、顧客や取引先からの信頼を維持しやすくなります。
今後、投資家が企業のサイバーリスク管理体制に注目する機会も増えると考えられます。
サイバーセキュリティーは、情報システム部門の技術的な課題ではなく、企業価値を支える経営基盤として位置付ける必要があります。
結論
今回のPHPの脆弱性問題は、AI時代のサイバーセキュリティーが新しい段階に入りつつあることを示しました。
AIによって、これまで発見されなかったソフトウェアの欠陥が短期間で明らかになる可能性があります。
これは安全性を向上させる大きな機会である一方、攻撃者にも新しい能力を与える可能性があります。
今後、企業に求められるのは、すべてのサイバー攻撃を完全に防止することだけではありません。
未知の脆弱性が存在することを前提に、危険性を迅速に把握し、被害を最小限に抑え、事業を継続できる体制を整えることです。
そのためには、経営陣、取締役会、情報システム部門、経理財務部門、法務部門、内部監査部門などが連携する必要があります。
また、サイバーセキュリティー対策を単なる費用として捉えるのではなく、企業の信用と将来の収益力を守るための重要な経営投資として考えることが重要です。
AI時代の企業経営では、技術革新による利便性と効率性を追求するだけでは十分ではありません。
新しい技術が生み出すリスクを理解し、適切に管理する能力が求められます。
サイバーセキュリティーへの対応力は、今後の企業の持続的な成長と競争力を左右する重要な要素になるのです。
参考
日本経済新聞 2026年10月22日 プログラム言語「PHP」欠陥、世界でサイト停止 AIが脆弱性発見
日本経済新聞 2026年10月22日 PHP欠陥、銀行や通信でもサービス停止広がる みずほ銀など一部再開