次のサイバー危機は、ダウンタイムではなく信頼の危機となる可能性があります。侵害されたデータは、システムが稼働を続けていても重要な意思決定を混乱させる恐れがあるためです。
サイバーレジリエンスは、復旧にとどまらず検証へと進化しなければなりません。また、共有プラットフォームへの信頼が揺らいだ場合でも、企業は安全に業務を継続できる必要があります。
集合的なレジリエンスが不可欠になります。重要なサービスを稼働し続けるためには、組織とそのエコシステム・パートナーとの連携が欠かせません。
情報はあらゆる組織の中核にあります。企業がデジタルで事業を行えるのは、システムとその基盤となる共有情報が正確で、現実の活動を反映していると信頼できるからです。
サイバーインシデントは、情報を侵害または改ざんし、それに依存する意思決定を妨げることで、このデータの流れを阻害します。その混乱が内部から生じるものであれ、顧客、サプライヤー、パートナーを含む外部の関係者から生じるものであれ、影響は同様です。
このような状況では、システムの修復中のダウンタイムによる影響だけでなく、ビジネス関係や共有されたデジタル・エコシステムを支える信頼が損なわれることによる影響も生じます。
共有された依存関係に対する信頼
サイバーレジリエンスは長年にわたり、主にシステム停止時の可用性、復旧、回復の取り組みに重点が置かれてきました。こうした能力は引き続き不可欠ですが、情報の完全性や真正性を損なう攻撃も同様に大きな混乱をもたらし得ます。
このようなシナリオでは、組織は不正確、改ざんされた、または検証されていないデータを使い続けて意思決定を行う可能性があります。相互につながったデジタル経済においては、その影響が企業や分野を越えて連鎖的に広がる可能性があります。
現代の経済とそれを支える重要インフラは、デジタル情報とその上に構築された取引への信頼に依存しています。組織は、取引を処理するソフトウェア・プラットフォーム、情報を保管するクラウド事業者、正確な運用データを提供するサプライヤー、複雑なサプライチェーンを調整するデジタル・ネットワークに頼っています。これらのシステムは、技術が機能するからだけでなく、そこを流れる情報が信頼されているからこそ機能しているのです。
その信頼が損なわれると、影響は技術的な障害をはるかに超えて広がります。システムが稼働を続けていても、管理者は重要な意思決定を導く情報が正確か、完全か、あるいはそれに基づいて安全に行動できるかを判断できなくなる場合があります。このような状況では、情報に対する信頼を回復することは、技術そのものを回復することと同じくらい重要になります。
最近のインシデントは、共有された依存関係の問題がいかに速く広がるかを示しています。2024年7月には、信頼されたサプライヤーによる欠陥のあるCrowdStrikeのソフトウェア更新が、世界中で850万台のWindowsデバイスに影響を及ぼし、航空便の欠航、銀行サービスの停止、医療の混乱を引き起こしました。これは、集中リスクやシステム的な依存関係のリスクを浮き彫りにするものでした。
復旧には技術的な修正以上のものが必要でした。1時間以内に、Global Resilience Federationの分野横断的なBusiness Resilience Councilのメンバーが安全なチャンネルを通じて連携し、コミュニティが長年にわたって築いてきた信頼関係を基盤に対応を進めました。その後まもなく、CrowdStrikeのCEOは、別の信頼されたフォーラムで1,000を超える組織に説明を行い、既存の関係、事前に確立された対応手順、信頼されたチャンネルに依拠し、それらを基盤とした対応を示しました。
システムは機能しているが情報を信頼できない場合
さらに困難な危機は、システムの稼働が続いている一方で、そのシステムを流れる情報がもはや信頼できなくなった場合に発生します。
世界経済フォーラムの「Annual Meeting on Cybersecurity 2026」では、最近サイバーレジリエンスの演習が行われました。Annual Meeting on Cybersecurity 2026では、長年確立されてきた企業間（B2B）プラットフォームを中心に演習が行われました。このプラットフォームは、多数の取引パートナーのエコシステム全体でデジタル注文、出荷、請求書を経路設定するものです。演習中、広く信頼されていたこのプラットフォームが不安定な動作を始め、そこに含まれる情報がなお信頼できるのかという不確実性が生じました。
参加者は、取引データが引き続き信頼できるか、顧客との約束を果たすべきか、再接続の前にどのような保証が必要か、そして行動を起こす必要が生じるまでにどの程度の不確実性を許容できるかを判断しなければなりませんでした。
これらの課題は、サイバーセキュリティ、オペレーション、法務、リスク、コミュニケーション、経営陣の意思決定が交差する領域に関わるものでした。リーダーは確実な情報が得られる前に行動し、これまで信頼できると考えられていたパートナーやプラットフォームに対する信頼を見直さなければなりませんでした。
AIにより信頼の問題の影響はより大きくなる
人工知能（AI）がビジネスプロセス全体にますます組み込まれるにつれて、組織が直面するサイバー上の課題はさらに深刻になります。
従来の障害とは異なり、機能が低下したAIサービスは、応答を続けながらも、一貫性のない推奨、誤解を招く要約、予期しない動作、あるいは微妙に破損した出力を生み出す可能性があります。周辺のアプリケーションは通常どおり機能しているように見える一方で、それらが支援する意思決定への信頼は低下していくことがあります。
Business Resilience Councilの分野横断的な演習「AI Interrupted」は、GoogleおよびAnthropicと共同で開発されたもので、機能が低下したAIアプリケーション・プログラミング・インターフェース（API）ゲートウェイのシミュレーションを行い、企業の社内システムや外部のソフトウェア・アズ・ア・サービス（SaaS）プラットフォーム全体で異常な動作が生じる状況を再現しました。
参加者は、原因や影響範囲が不明な状況で、AIの利用を減らすべきか、機能を切断すべきか、あるいは運用を続けるべきかを判断しなければなりませんでした。また、どの出力が引き続き信頼できるか、どのプロセスがAIなしで安全に運用できるか、誰がAI機能を制限または無効化できるか、再接続前にどのような証拠が必要かを見極める必要がありました。
この演習では、準備態勢における重大なギャップが明らかになりました。
AIの機能低下や障害時の最低限の実行可能なサービスレベルを定義していたのは、回答者のわずか3%でした
80%は、ツールが再び使用可能と判断されるために必要なAIの最低限の機能を把握していませんでした
重要な業務サービスの中で生成AIがどのように使用されているかを示す完全なデータフロー図を備えていたのは、わずか6%でした
明らかになっている原則は次のとおりです。組織は、AIサービスを単に復旧させるだけでなく、その出力と下流への影響を検証しなければならず、技術的な可用性は、運用上の信頼がなければ意味を持たないということです。
集団防御から集合的レジリエンスへ
世界経済フォーラムのGlobal Cybersecurity Outlook 2026 は、大規模組織の65%が、サードパーティおよびサプライチェーンの脆弱性を最大のサイバーレジリエンス上の課題として挙げていると報告しています。
同報告書はまた、集中リスクの危険性も指摘しています。主要なクラウド、インターネット、または共有サービスの事業者に影響を与えるインシデントは、それらのシステムを流れる情報に関する不確実性を含め、広範な下流への影響をもたらす可能性があります。プラットフォームは、技術的に復旧しても、運用上の信頼を取り戻せない場合があります。
脅威インテリジェンス、脆弱性、緩和策などを信頼できるコミュニティ間で共有することといった集団防御の取り組みは、引き続き不可欠です。しかし、次のステップは集合的レジリエンスです。これは、共有された依存先が故障、劣化、あるいはもはや信頼できなくなった場合でも、組織が共に重要なサービスを提供し続けられるようにすることを意味します。
これは、事前に確立された関係、安全な通信チャンネル、合意されたエスカレーション手順、重要ベンダーとの共通の期待、そしてエコシステム全体で機能低下時の運用をテストする演習にかかっています。
実際、「Global Cybersecurity Outlook 2026」によると、高いレジリエンスを有すると評価された組織は、レジリエンスが不十分な組織と比べて、エコシステム・パートナーとサイバー演習を実施する可能性がほぼ3倍高いという結果が示されています。Global Cybersecurity Outlook 2026。
組織が今すぐサイバーレジリエンスを強化する6つの方法
信頼は事業の復旧に不可欠であり、組織は危機が発生する前に、必要となる関係、意思決定プロセス、検証の仕組みを確立しておくべきです。
経営層による責任の割り当て： 重要なパートナーとの関係全体において、信頼、透明性、レジリエンスを強化する責任を担うリーダーを任命します。
共有された依存関係の把握： 外部プラットフォーム、クラウドサービス、AIモデル、SaaS事業者、デジタル・ネットワークを特定し、それらが信頼できなくなったり、信頼性を失ったりするシナリオに備えて計画を立てます。
意思決定権限の事前定義： 意思決定者（第一及び第二）と、サービスの切断、AI機能の制限、再接続の承認に関する組織的な手順を割り当てます。
信頼できる通信手段の確立： 通常の通信や共有プラットフォームを信頼できない場合に備えて、ベンダーの担当者との間に、安全で帯域外のチャンネルと関係を構築し、観察内容を比較し、情報を検証し、行動を調整できるようにします。
復旧だけでなく検証への投資： データ、取引、自動化された行動の完全性、真正性、来歴を検証する能力を開発します。復旧によって、システムと下流のプロセスが利用可能であるだけでなく信頼できることを確認し、検証方法を重要なパートナーに伝えます。
共同での演習の実施： ベンダーやプラットフォーム・パートナーとともに、システムが機能低下した状態を想定した複数者によるシミュレーションを実施し、意思決定上のギャップを明らかにし、レジリエンスを強化します。
サイバーレジリエンスは、従来、システムを技術的にどれだけ迅速に復旧できるかによって測られてきました。しかし今後は、確実性が乏しい状況において、組織が情報をどれだけ効果的に検証し、健全な意思決定を維持できるかによって、レジリエンスがますます測られるようになるでしょう。
ここで示したように、信頼できる関係と、エコシステム・パートナーとの複数者による演習を通じて、仮想的な段階にあるうちに信頼のギャップに対処することが、将来のサイバー危機の影響を抑制する鍵となるでしょう。
