ウォッチガード調査、中小企業で未承認AI利用64%、パスワード重複76%と脆弱性浮き彫り

ウォッチガードが2026年4月に8カ国4大陸の50人から500人の従業員を持つ中小企業684人を対象に実施した調査で、サイバーセキュリティの基礎的な脆弱性が明らかになった。調査結果によると、回答者の64%が組織の承認を得ていない公共のAIツールを使用しており、76%が複数のアカウント間でパスワードを重複使用している。また、公共のWi-Fi環境で作業する際にVPNやZTNAを使用しているのは20%にとどまり、ネットワーク利用時の保護策が不十分であることが示された。

パスワード管理に関する詳細な分析では、30%がパスワードを他者と共有した経験があると回答し、多要素認証の効果を低下させている。34%はポリシーによる強制更新やインシデント発生時のみパスワードを変更しており、25%は10以上のパスワードを日常的に管理している。一方で、63%がパスワードマネージャーを活用しているという肯定的な結果も得られた。多要素認証については、すべてのアカウントで有効化しているのは22%のみである。

ハイブリッドワークやリモートワークに伴う行動パターンも調査対象となった。70%の従業員が公共のWi-Fiに接続して業務を行っており、55%が業務用端末でオンラインショッピングやSNS利用など私的な活動を行っている。44%が業務用端末に個人ファイルを保存し、60%が外部ストレージを使用、63%がクラウドプラットフォームでファイルを共有している。これらの行動は、マルウェア感染やデータ漏洩のリスクを高める要因となっている。

AI利用の監視不足も顕著で、39%の組織はソフトウェアのインベントリ管理を行っていない。AIポリシーの欠如により、顧客情報や業務文書が外部のAIサービスに送信される可能性がある。セキュリティ教育の面では、23%が一度もトレーニングを受けたことがなく、49%が年1回、29%が月1回の頻度で受けている。26%が知らない送信者からのリンクや添付ファイルを開封した経験があり、AIによるフィッシング攻撃の高度化と相まってリスクが高まっている。

端末の保護状況も懸念材料で、ノートパソコンとスマートフォン両方にアンチウイルスを導入しているのは48%のみである。ノートパソコンのみが33%、どちらにもないのが7%を占める。8%は明確な更新スケジュールがなく、5%は一度も更新していない。過去12ヶ月で個人情報が盗まれた経験があるのは30%、定期的にバックアップを取っているのは18%にとどまる。

タイでは中小企業が全企業の99.5%を占め、GDPの34.8%を構成している。限られたIT予算を持つこれらの企業に対し、マネージドサービスプロバイダーはデータに基づいたリスク認識の向上、月額制の基本的なセキュリティパッケージ、意識向上トレーニング、AIガバナンスの構築、および外部ネットワーク制御サービスの提供を通じて、セキュリティギャップを埋める役割を担うことが推奨されている。