サイバーセキュリティの重要性

サイバー攻撃によって、わずか数週間で1 年分の営業利益を失う可能性があり、サイバーセキュリティは企業の防衛上、必要不可欠なものとなっています。

デジタル・トランスフォーメーションが進み、人工知能（AI）の導入が加速し、地政学的な緊張が続く中、サイバー攻撃の頻度、巧妙さ、金銭的な被害はますます増大しています。従来、リスクが高いと見なされてきた業界だけでなく、今やあらゆるセクターの企業がサイバー攻撃の脅威にさらされています。長期投資家にとって重要な問題は「サイバーリスクが存在するかどうか」ではなく、「サイバーリスクを管理する体制を整備しているかどうか」にあります。

サイバー攻撃によって、わずか数週間で1 年分の営業利益を失う可能性があり、サイバーセキュリティは企業の防衛上、必要不可欠なものとなっています。

デジタル・トランスフォーメーションが進み、人工知能（AI）の導入が加速し、地政学的な緊張が続く中、サイバー攻撃の頻度、巧妙さ、金銭的な被害はますます増大しています。従来、リスクが高いと見なされてきた業界だけでなく、今やあらゆるセクターの企業がサイバー攻撃の脅威にさらされています。長期投資家にとって重要な問題は「サイバーリスクが存在するかどうか」ではなく、「サイバーリスクを管理する体制を整備しているかどうか」にあります。

2025 年に私たちは、比較的サイバーリスクに晒されていると考えられるポートフォリオで保有する企業に対して、独自のサイバーセキュリティの評価フレームワークを適用しました。その目的は、財務的に重大な影響を及ぼし得るサイバーリスクを、個々の企業レベルで評価することにあります。

脅威の概観
2025 年のサイバー犯罪による損失は10.5 兆ドルに達すると予測されており、これはサイバーセキュリティへの投資額の約50 倍に相当します¹。信用調査機関のエクイファックス（Equifax）の事例は、サイバー攻撃の増加を如実に物語っています。同社は2024 年に 1,500 万件以上のサイバー攻撃に対応しました。これは1 秒あたり約175 回の攻撃に相当し、対2023 年比で25% の増加です²。注目を集めた事件から、引き続き、潜在的な被害規模の大きさがわかります。英国では、2025 年に発生したランサムウェア攻撃によって主要企業の業務が停止し、数億ドル相当の利益損失と復旧費用の発生を招きました。同時に、多くの経営者たちは、備えが不足した領域が残っていることを認識しています。

CISO（最高情報セキュリティ責任者）³ を対象とした調査によると、回答者の過半数が「今後12ヵ月以内に重大なサイバー攻撃が発生する」と予想しています。一方で、「対応に向けた準備が不十分である」と感じている回答者も、相当数に上っています。

デジタル化の広範な進展により、あらゆる企業が今やデータ企業となっています。その結果、企業の攻撃対象領域（不正利用者がシステムにアクセスし、データを取得する可能性のある地点の総数）は拡大しています。さらに、企業の攻撃対象領域を拡大させる要因としては、以下のようなものも挙げられます。

• 広範な自動化及びインターネットで結ばれたIoT の普及⁴
• クラウド及びハイブリッド・インフラへの依存の拡大
• 第三者である外部ベンダーへの依存の増加
• グローバル・サプライチェーンの複雑化
• 従業員数の増加と勤務形態の分散化
• 継続的なM&A 活動⁵

人為的なミスは、依然としてサイバー攻撃を許す主な原因となっていますが、サプライチェーンの脆弱性も、同様に重大な要因になりつつあります。特に企業買収に積極的な企業においては、サイバーセキュリティのデューデリジェンスの統合が不十分な場合、隠れたリスクを抱える可能性があります。

ゲームチェンジャーになる新技術
AIはサイバーセキュリティのあり方を、根本から変えようとしています。一方で、生成AI（GenAI）の登場によって、攻撃を仕掛ける側は参入し易くなっています。フィッシング攻撃の手口はさらに巧妙になり、脆弱性診断は大規模に自動化され、悪意のあるサイバー攻撃をさらに速く、かつ洗練された形で展開することが可能となっています。その一方で、AI を活用した防衛策は、脅威の検知や対応に要する時間を大幅に短縮することができます。調査結果によれば、サイバーセキュリティ対策にAI を導入している企業は、データ侵害による平均コストが抑制されており、被害を迅速に抑えていることが示されています⁶。しかし私たちの見解では、企業はAIツールの導入に伴い、セキュリティ要件を追加して検討しなければならないでしょう。ある調査では、AI 関連の脆弱性が、2025 年において、最も急速に高まっているサイバーリスクであると報告されています⁷。

量子コンピューティングは、実現には時間がかかりますが、潜在的に破壊的な脅威となり得ます。特に懸念されているのが、「今盗んで、後で解読する」と呼ばれる攻撃で、暗号化されたデータをあらかじめ盗んでおき、将来的に量子コンピュータを用いて解読するという手法です。これは、財務記録や知的財産、医療情報といった長期間にわたって秘匿性が必要な機密データに対してリスクとなります。一方で、防衛策の開発も進んでいます。2024 年、米国国立標準技術研究所（NIST）が、世界で初めて「Post-Quantum Cryptography（PQC）標準、または量子耐性暗号の標準規格」を公表しました。米国のサイバーセキュリティ関連機関も、各組織に量子技術への対応準備を早期に開始するよう働きかけています。歴史的に見て、暗号技術の移行には長い年月を要します。そのため、長期保存が必要な機密データを保有する企業にとって、量子耐性暗号への早期の備えは賢明であると考えられます。

独自のサイバーセキュリティに関する評価フレームワーク
サイバーセキュリティを体系的かつ比較可能な形で評価するため、私たちは独自の評価フレームワークを開発しました。この評価フレームワークでは、次の6つの柱に関して、ポジティブとネガティブの指標を評価します。

1. ガバナンス:  私たちの見解では、ベストプラクティスには、取締役会レベルでのサイバーセキュリティ監視、専門知識を持った取締役の選任、明確に定義された責任体制が含まれます。サイバーセキュリティは、孤立したIT 部門の機能としてではなく、全社的なリスク管理（ERM）の中に組み込まれるべきであると考えています。
2. 人材、トレーニング、及び組織文化: 技術だけでは不十分です。私たちの評価フレームワークに沿った成熟したアプローチには、専門チームの設置やフィッシング・シミュレーション（不合格者の再教育を含む）、サイバー意識に基づいた企業文化の構築が含まれています。
3. 外部取引先及びM&Aリスク: 私たちの評価フレームワークでは、サプライチェーンに対するデューデリジェンス、契約上のセーフガード条項、買収の意思決定プロセスにおいてサイバーセキュリティ分析が統一されていることなど、耐久性の高いエコシステムが構築されているかどうかに注目しています。
4. 防衛プロセスと管理: ポジティブな指標としては、認識された標準フレームワークへの準拠に加え、IDアクセスの管理、エンドポイント検知・対応（端末を監視してサイバー攻撃に対応）、脅威・脆弱性の管理など、統制が見られることがあげられます。また、 AIを活用した防衛策や、量子耐性暗号の標準規格に対する早期の認識と対応計画もポジティブな要素となります。
5. 対応の準備状況: 被害を封じ込めるスピードが、最終的な財務的影響を左右することが少なくありません。私たちの評価フレームワークでは、企業による定期的なインシデント対応テストの実施 や、経営幹部レベルにおける対応シミュレーション、シナリオ・プランニングを実施しているかどうかを評価しています。
6. 外部機関による証明: 内部統制の妥当性を補完するものとして、独立した監査、認証（ISO 27001 等）⁸、サイバー保険の加入、透明性の高い定量的な情報開示を重視しています。

2025 年、私たちはサイバーセキュリティ・リスクに最も直面していると判断したポートフォリオ企業10 社に対してエンゲージメントを行いました。重大なサイバー攻撃のリスクを完全に排除することは不可能ですが、これらの企業は、概して適切にリスクを管理しているというのが私たちの見解です。以下に、ベストプラクティスの具体例をあげます。

• AIを活用した防衛策の導入により、攻撃の検知や対応に要する平均時間を大幅に短縮
• サイバーセキュリティの基準を満たさない場合、外部ベンダーとの取引の終了や買収案件の見送りを実施
• サプライチェーンのレジリエンスを構築するため、一つの取引先に依存しないデュアル・ソーシング戦略を採用
• 例えば、ネットワークの区分化や多要素認証などを通じて、サイバー攻撃による被害範囲を限定する統制体制を整備
• 過去の事故の学習を通じて、継続的な改善を重視する企業文化を構築
• 独立した第三者による統制の認証（ISO 27001 等）を取得
• 投資家に対して透明性を高めるため、定量的な指標の開示を実施
• 「Post-Quantum Cryptography（PQC）標準、または量子耐性暗号の標準規格」に基づくサイバーセキュリティ能力の検査を早期に開始

投資への示唆：リスクと収益機会
サイバー攻撃の脅威が加速する環境下で、サイバーセキュリティへの支出は構造的に増加しています。業界の予測によれば、2025 年の世界全体のサイバーセキュリティ支出額は2,000 億ドルを超え、今後も2 桁の成長率で増え続ける見通しです⁹。企業のCIO（最高情報責任者）を対象とした調査でも、サイバーセキュリティの予算は、ソフトウェア関連の支出全体の伸びを上回るペースで増加していることがわかります¹⁰。

このような環境は、リスクと収益機会の両面をもたらすでしょう。リスクの観点からは、サイバーセキュリティ対策への投資が不十分な企業は、財務的に重大な影響を及ぼす攻撃を受けるリスクが高まります。収益機会の観点からは、顧客企業のエコシステムに深く組み込まれた大規模なサイバーセキュリティを提供する企業や、プラットフォーム企業は、持続的な需要の増加から利益を得る可能性があります。

私たちのポートフォリオには、サイバーセキュリティについて極めて重要な関わりを持つ、次のような企業が含まれています。

• マイクロソフト（Microsoft）：世界最大のサイバーセキュリティ事業を展開しており、その事業規模は推定300 億ドルに達します。この3 年間で事業規模は2 倍以上に拡大しています¹¹。
• ビザ（Visa）：決済セキュリティや不正防止における専門知識を活かし、顧客に対してサイバーセキュリティに関する助言サービスを提供しています。
• アルファベット（Alphabet）：クラウド・セキュリティのリーディングカンパニーであるWiz 社を320 億ドルで買収する計画を進めており、サイバーセキュリティ分野のビジネスを深化させています。
• エクスペリアン（Experian）： 同社の本人確認及び不正防止ソリューションは、信用調査において世界で推定190 億ドルの詐欺被害の回避に貢献しています¹²。

冷酷な現実
いかなるサイバーセキュリティ・システムであっても、完全な防衛を保証することはできません。しかしながら、私たちの見解では、「備えのある企業」と「そうでない企業」との差は、これまで以上に決定的なものになっています。サイバー・レジリエンスは、企業の防衛上、必要不可欠なものであると同時に、潜在的な競争優位性をもたらす要素でもあります。強力なガバナンスがあり、高度な防衛能力に投資し、技術の変化に先見性をもって適応する企業こそ、事業運営と株主価値を守る上で有利な立場にあると私たちは考えています。