499万ドルのデータ漏洩：IBMが602社で発見したこと🔐

データ漏洩は企業にコストを負担させる 平均499万ドル (IBM、2026年)

これは記録的な数字だ。わずか1年で12％も増加したのだから。

この数字は、IBMのためにポネモン研究所が行った調査によるもので、16か国、17業種にわたる602の組織を対象としている。

これは推測ではなく、この種の研究としては最大規模の一つです。

しかし、見出しの数字は最も面白くない部分だ。

重要なのは なぜ 上昇した。そして今年、その答えは新たなものとなった。🔐

🧾主な調査結果の概要

測定	形	ソース
平均侵害コスト	499万ドル	IBM（2026年）
昨年からの変更点	+12%	IBM（2026年）
AIを活用した攻撃の増加	+56%	IBM（2026年）
AIが関わる場合の追加コスト	約100万ドル	IBM（2026年）
AIアクセス制御のないAI侵害企業	92%	IBM（2026年）
サプライチェーン侵害のライフサイクル	258日間	IBM（2026年）
公開処罰を伴うランサムウェア	41%	IBM（2026年）
量子リスクへの対策を計画している企業	わずか26％	IBM（2026年）

💸「平均コスト」が実際に意味するものとは

人々は情報漏洩のコストというと身代金のことだと考えがちですが、実際はそうではありません。

この図は、全く異なる4つの要素をまとめたものである。

検知とエスカレーション。 真相を突き止め、調査し、専門家を呼ぶ。

通知。 顧客と規制当局に伝える。

応答。 弁護士費用、ヘルプデスク、信用情報監視サービス。

顧客を失った。 一度店を出て二度と来ない客。

IBMは、2026年の増加は、検出率、エスカレーション、およびビジネス損失コストの増加によって引き起こされたと指摘している（IBM、2026年）。

なぜ「失われたビジネス」が恐ろしいラインなのか

弁護士費用はこれで終了です。一度退会されたお客様は、二度と戻ってこないかもしれません。

その費用は、事件が解決した後も長く発生し続ける。

情報漏洩は、まず信頼に関わる事象であり、次に技術的な事象である。

平均値が誤解を招く理由

情報漏洩によるコストは、極めてばらつきが大きい。

小規模企業であれば数万ドルの損失で済むかもしれない。病院チェーンであれば数億ドルの損失を被るかもしれない。

平均値は、全く異なる二つの世界の間に位置づけられる。

予算編成のためではなく、方向性を理解するために使用してください。

🤖 状況を一変させるAIの発見

これは2026年の研究における真に新しい部分である。

AIを利用した攻撃は1年間で56％増加した。 (IBM、2026年)

AIが関与していた場合、情報漏洩による損失額は平均よりも約100万ドル高かった。

それは、一つの要因によって法案に追加された5分の1の金額である。

92%という数字は覚えておくべき数字だ

ここに、人々を不安にさせるはずの調査結果がある。

AI関連の侵害を受けた組織の92%は、AIへのアクセス制御策を導入していなかった。 (IBM、2026年)

制御が弱いわけではない。全くない。

AIの影響を受けた企業の10社中9社は、AIの利用対象者や利用方法を一切制限していなかった。

「AIアクセス制御」とは実際には何を意味するのか

思っているほど技術的な話ではありません。

それは、スタッフがどのAIツールを使用しているかを把握することを意味します。

それは、そこにどのようなデータを貼り付けることができるかを決定することを意味します。

つまり、アクセスをオフにできるということだ。

ほとんどの企業は最初の質問にすら答えられないのに、ましてや3つ目の質問に答えられるはずもない。

シャドウAIが根本的な問題である

職員がAIツールを導入するスピードは、政策の策定ペースを上回っている。

誰かが顧客リストを無料のチャットボットに貼り付けて、要約させる。

悪意はありません。ハッキングもしていません。データが単に外部に流出しただけです。

チーム向けのツールを選ぶなら、 AIツールガイド 注目すべき点について説明します。

🔗 サプライチェーン：最も遅く、最もコストのかかるルート

攻撃者はもはやあなた自身を攻撃するのではなく、あなたのサプライヤーを攻撃するようになっている。

IBMは、サプライチェーンの侵害が2番目に多い原因であることを発見した（IBM、2026）。

また、最長の侵害ライフサイクルにも並びました。 特定と封じ込めに258日.

そして、最大のコスト増加をもたらし、平均すると 世界平均を227,250ドル上回る.

サプライチェーンの侵害がより大きなコストにつながる理由
侵害されたシステムを制御できません
検出は、誰かがあなたに知らせることに依存します。
多くの顧客が同時に影響を受ける
法的責任はしばしば不明確である
それを修正するには、サプライヤーを徐々に変更する必要があります。

258日という数字が重要だ

それは8か月以上です。

システム内に8ヶ月間潜伏している攻撃者は、ファイルを1つ盗むだけでは済まない。

ネットワーク内部での時間経過こそが、インシデントを大惨事へと発展させる要因となる。

週が1週間増えるごとに費用も増える。

小規模企業が実際にできること

大規模な取引先を監査することはできません。現実的に考えましょう。

しかし、署名する前に3つまで質問することができます。

このサプライヤーは過去に情報漏洩を起こしたことがありますか？どのようなデータを保有していますか？どのように私に知らせてくれるのでしょうか？

ほとんどのサプライヤーは回答するだろう。しかし、問い合わせる顧客は少ない。

📅 実際の情報漏洩の状況（週ごと）

費用という数字は抽象的に感じられるが、タイムラインがあれば具体的になる。

258日間のサプライチェーンライフサイクルを最悪のケースとして考えると、その形状は次のようになります。

ステージ	何が起こっている	コスト要因
0日目	攻撃者は静かに侵入する	まだ何も表示されていません
1日目～180日目	誰も知らない	データが建物から出る
検出	アラート、または外部からの電話	捜査開始
最初の72時間	スクランブル、専門家、法律	検出とエスカレーション
第1～4週	顧客および規制当局に通知する	通知費用
生後2～8ヶ月	封じ込めと再建	対応コスト
1～2年目	客は静かに立ち去る	失われたビジネス

2行目をもう一度見てください。

最も長い段階は、何も問題がないように見える段階だ。

静寂ステージが最もコストがかかる理由

屋内にいる日数が長ければ長いほど、収集されるデータ量も増える。

それはまた、より多くのシステムが影響を受け、より多くの顧客が影響を受けることを意味する。

コストは攻撃者のスキルではなく、滞在時間に応じて増加する。

生後8ヶ月の不器用な攻撃者は、生後1日の天才的な攻撃者よりも大きな損害を与える。

レギュレータクロックは検出時に開始されます

これは企業にとって大きな痛手となる。

多くの規則では、発見後短期間のうちに通知することを義務付けている。

その猶予期間は通常72時間です。

こうした事態を想定したリハーサルを一度も行っていない企業は、誰が責任者になるかを決めるのに数日を費やすことになる。

🏭 なぜ一部の業界ではこれほど高い賃金が支払われるのか

499万ドルという平均値は、業種別の大きなばらつきを覆い隠している。

この傾向は、長年にわたる本研究を通して一貫している。

コスト上昇の原因	なぜ
規制データ	罰金および義務的な通知
健康記録または財務記録	カード番号のように再発行することはできません
顧客からの信頼への依存度が高い	失われたビジネスは、より根深い問題につながる
長期データ保持	情報漏洩ごとに流出した記録がさらに増える
複雑なレガシーシステム	調査と封じ込めに時間がかかる

注目すべきは、そのうち技術的な内容は一つだけだということだ。

情報漏洩によるコストを左右する主な要因は、ファイアウォールの品質ではなく、データの性質である。

記憶の教訓

これは安価だが人気のない制御方法だ。

不要になったデータは削除してください。

あなたが保管していない記録は盗まれることはありません。

ほとんどの組織は、規則で定められているよりもはるかに多くの情報を、はるかに長い期間保管している。

オンラインショップにとってこれが重要な理由

小売業者は、注文履歴、住所、および支払いトークンを保管している。

それは魅力的なデータであり、静かに蓄積されていく。

私たちの見解では eコマースの成長 取引量の増加速度を示しています。

売上が増えれば記録も伸びる。つまり、失うものも増えるということだ。

😨ランサムウェアがビジネスモデルを変えた

旧来のモデルは単純だった。ファイルを暗号化し、鍵を売り戻す。

バックアップによってその効果は薄れた。そのため攻撃者は適応した。

ランサムウェア攻撃の41％​​は、評判への脅威や公の場での非難を伴う。 (IBM、2026年)

彼らはまずデータを盗み、それからそれを公開すると脅迫する。

バックアップがもはや役に立たない理由

優れたバックアップはシステムを復元するものであって、盗まれたデータを元に戻すものではありません。

脅威が公表であるならば、復元しても何も変わらない。

バックアップは可用性を保護するが、機密性を保護するものではない。

その区別は、今や計画策定の中心となっている。

不快な含意

一度データが取得されると、それを取り消すことはできません。

身代金を支払うことは、犯罪者から約束を買うことだ。

法執行機関は一般的に支払いを勧めないが、それには正当な理由がある。

予防の重要性は以前よりも高まっている。なぜなら、回復による効果は以前ほど大きくないからだ。

🔮誰も行動に移していない量子数

この発見は、より静かで、より奇妙なものだ。

量子暗号後の技術への対応計画を開始している組織はわずか26%に過ぎない。 (IBM、2026年)

量子コンピュータは、現時点では現在の暗号を解読することはできない。

しかし、「今は収集し、後で解読する」という戦略が存在する。

収穫後復号化の仕組み

今日、攻撃者が暗号化されたデータを盗み出した。

彼らはそれを読むことはできない。それでも彼らはそれを保管する。

量子コンピューティングが成熟すれば、彼らはそれを解読するだろう。

今日盗まれたデータは、10年後には読み取れる状態になる可能性がある。

医療記録や国家機密に関しては、それは深刻な問題となる。

なぜ企業の4分の3がそれを無視するのか

それは遠い、抽象的なリスクだが、今日すでに代償を伴っている。

ほとんどの組織は、次四半期のセキュリティ対策費用を捻出するのに苦労している。

それは理解できます。そして、それが長期的なリスクを見落とす原因にもなります。

早期に行動を起こす企業は、長期間秘密にされてきたデータを保有している企業であることが多い。

📊 この研究を正しく読む方法

IBMの報告書は説得力があるが、指摘しておくべき限界点もいくつかある。

強さ	制限
調査対象となった実在の組織は602社	参加を希望する企業のみ
16か国、17の産業	大企業に偏っている
ポネモン大学による独自調査	セキュリティベンダーが公開
毎年同じ方法	費用は概算であり、監査は行われていません。
詳細な費用内訳	平均値は大きなばらつきを隠してしまう

3列目については正直に話すべきだ。

IBMはセキュリティ製品を販売しており、このレポートはその事業を支援するものである。

この研究はポネモン研究所が独自に実施しており、それが役立っている。

しかし、ベンダーの調査レポートを読む際には、その点を念頭に置いておくべきです。

なぜ今でも信頼する価値があるのか

この手法は公表されている。サンプルには名前が付けられている。このアプローチは毎年繰り返される。

この3つの要素によって、他の人が作業内容を確認できるようになります。

それに対して、情報源が全く不明なまま出回っている多くのセキュリティ統計データと比べてみてください。

計算方法が明示された数字は、自信満々な口調の数字よりも優れている。

💡 中小企業がここから学ぶべきこと

ほとんどの読者は銀行を経営しているわけではない。では、何が当てはまるのだろうか？

499万ドルという数字は当てはまりません。あなたのリスクははるかに小さいのです。

しかし、３つの発見は完璧にスケールダウンできる。

発見	今月は何をしようか
92%はAIアクセス制御を行っていなかった。	スタッフが使用するAIツールを書き留めてください。
サプライチェーンを見つけるのに258日かかりました	お客様のデータを保持しているサプライヤーの一覧
ランサムウェアの41％は出版物を脅迫している。	盗まれたデータが公開されると仮定します
検出コストが最も上昇した	既に料金を支払っているログ記録を有効にする
失われたビジネスは、永続的なコストである。	顧客に伝える内容を書いてください

それらのどれも予算を必要としない。

5つのうち4つは、午後に書き上げるようなリストです。

AIリストから始めましょう

これは最も新しいリスクであり、最も簡単に把握できるリスクでもある。

チームメンバーに、仕事でどのようなAIツールを使っているか尋ねてみてください。

懲罰的な質問にしないでください。正直な答えが欲しいのです。

ほとんどのマネージャーは、リストの長さに驚く。

次に、それらに何を入れるかを決めます。

まずは簡単なルールを一つだけ決めれば十分です。

絶対に貼り付けてはいけないものを挙げてください。顧客データはよくある例です。

誰も開かないポリシーよりも、人々が読む1ページのルールの方がはるかに優れている。

⏱️ 検出速度が全てを左右する理由

情報漏洩に関する調査全体を通して、あるパターンが繰り返されている。

検出が早ければ、コストは必ず削減される。

サプライチェーンにかかる258日という数字は、その正反対の極端な例を示している。

検出が遅くなる原因は何ですか？

洗練されているとは言えない。むしろ、洗練さが欠けていると言えるだろう。

誰も監視していなかった。ログはオフになっていた。アラートは未使用の受信トレイに送信されていた。

検出が遅い原因のほとんどは、技術的な問題ではなく、注意力の問題である。

最も安価な改善策

お使いのツールに既に搭載されているログ機能を有効にしてください。

アラートは、人間が実際に目にする場所に送信してください。

発砲時にどう対処すべきかを知っている人がいることを確認してください。

どれも高額ではありません。ほとんどは既に支払い済みです。

🧯 最も安価で、最も効果的なコントロール

セキュリティに関するアドバイスは、しばしば多額の予算を前提としているが、実際にはほとんどの場合、それほどの予算は必要ない。

これら5つは費用がかからず、研究で実際に判明した内容に対応しています。

制御	料金	この発見が答え
あらゆる場所で多要素認証によるサインイン	通常無料	盗まれたパスワード
使用中のAIツールの一覧	ある午後	92％の発見
使用期限を過ぎたデータは削除する	スタッフの時間	失うレコードが少なくなる
ログをオンにして読みます	既に支払い済み	258日間の検出ギャップ
1ページ完結型のインシデント対応計画	朝	72時間通知時計

それらのどれも、新しいソフトウェアを必要としません。

ほとんどの組織における不足点は、予算ではなく、注意力である。

多要素認証が依然として最上位にランクされる理由

盗まれた認証情報は、依然として最も一般的な侵入方法の一つです。

多要素認証は、盗まれたパスワードだけではセキュリティを確保できないようにします。

それは既にほとんどすべてのビジネスツールに組み込まれています。

多くの企業はそれを利用できる状態にしておきながら、オフにしている。

誰も書かないインシデント計画

1ページ。3つの質問。

誰が決定するのか？誰が弁護士に連絡するのか？誰が顧客に伝えるのか？

情報漏洩が発生している最中にこのような決定を下すと、貴重な時間を無駄にすることになります。

事前に決めておくには午前中いっぱいかかる。

💰 自分のリスクを推定する方法

世界平均はあなたの数値ではありません。しかし、おおよその数値を算出することはできます。

情報漏洩コストの調査は、多くの場合、記録単位に基づいて行われます。

あなたも同じようなことを10分ほどでできますよ。

大まかな4段階の見積もり

顧客記録をいくつ保有しているか数えてください。古い記録については正直に報告してください。

あなたの国では、そのデータにどのような規制が適用されるのかを確認してください。

情報漏洩が公になった場合、顧客のうちどれくらいの割合が離脱する可能性があるかを推定する。

その割合をあなたの年間収益で掛け合わせてください。

その最後の数字は、通常、技術的なコストをはるかに上回る額となる。

なぜこの運動をする価値があるのか

漠然とした不安を、行動に移せる具体的な数値に変換する。

数字があれば、予算の必要性を主張することが可能となる。

また、理由もなくどれだけの古いデータを保存しているかも明らかになる傾向があります。

複数の企業が、データの削除が最も安価なリスク軽減策であると認識している。

🚫 これらの数字が教えてくれないこと

特にセキュリティデータに関しては、制限事項を明確にしておくことが重要です。

彼らはあなたのリスクを教えてくれません。 平均値は集団の特性を表す。

これらは、AIが情報漏洩を引き起こすことを証明するものではない。 AI関連の侵害はより高額な損失につながる。これは相関関係である。

それらの企業は、全く気づかなかった企業は対象としていない。 未検出の違反はカウントできない。

それらは大きい方に偏っている。 この種の調査では、中小企業は十分に代表されていない。

これらは自己申告によるものです。 各組織は自らのコストを見積もった。

相関関係がここで大きな役割を果たしている

AIの発見はその最も分かりやすい例だ。

AI関連の侵害を受けた企業は、AI対策が不十分だった。しかし、それは対策不足が侵害の原因だったという証拠にはならない。

AIガバナンスのない組織は、他のあらゆる面でも成熟度が低い可能性がある。

こうした管理体制は、安全性の原因というよりも、むしろ優れた経営の表れである可能性がある。

だからといって、その発見が無意味になるわけではない。それはあくまでもシグナルであって、公式ではないということだ。

未検出の侵害問題

これは、あらゆる侵害研究における最も深い限界点である。

どの調査も、誰かが発見した違反事例のみをカウントしている。

誰も気づかなかった侵害は、データ上では見えない。

実際の割合は、公表されているどの数字よりも確実に高い。

🏁 短縮版

情報漏洩による平均損失額は499万ドルで、12%増加し過去最高を記録した（IBM、2026年）。

AIを利用した攻撃は56％増加し、関与した場合の被害額は約100万ドル増加する。

AI関連の被害者の92%は、AIへのアクセス制御を全く行っていなかった。

サプライチェーンへの攻撃は、封じ込めに258日かかり、最も大きな損失をもたらす。

ランサムウェアは、データのロックから、データの公開を脅迫する行為へと変化している。

共通するテーマはスピードだ。ここでの発見はすべて、結局のところ時間に関するものだ。

気づく時間、封じ込める時間、新たなリスクが制御されるまでの時間。

期間を短縮する企業は支払う金額が少なくなる。それが教訓の全てだ。🔐

❓ よくある質問

2026年におけるデータ侵害の平均コストはいくらですか？

世界全体で499万ドルとなり、過去最高を記録し、前年比12%増となった（IBM、2026年）。この調査は16か国の602の組織を対象に行われた。

なぜ情報漏洩によるコストが増加したのか？

IBMは、インシデント発生後の検出およびエスカレーションコストの増加に加え、ビジネス損失の拡大を指摘している。

AI関連の情報漏洩は、どれくらいの損失につながるのか？

平均を約100万ドル上回る。AIを駆使した攻撃も1年間で56％増加した。

AIアクセス制御とは何ですか？

従業員がどのAIツールを使用しているかを把握し、どのようなデータがツールに入力されるかを決定し、アクセス権を取り消すことができること。AIによる情報漏洩被害を受けた企業の92%は、これらの対策を一切講じていなかった。

サプライチェーンの侵害はなぜこれほど高額な損失につながるのか？

特定と封じ込めに258日かかり、世界平均を22万7250ドル上回る費用がかかった。

バックアップは現代のランサムウェアから身を守るのに役立つのか？

部分的にしか効果がない。現在、攻撃の41％​​は盗まれたデータの公開を脅迫している。バックアップによってシステムは復元されるが、盗まれた情報を元に戻すことはできない。

「今すぐ収穫して、後で解読する」とはどういう意味ですか？

量子コンピューティングが成熟した際に復号化するために、今日暗号化されたデータを盗み出す。しかし、そのための計画を立て始めている企業はわずか26%に過ぎない。

これは中小企業にも当てはまりますか？

金額はそうではないが、パターンはそうである。AI、サプライヤー、および検出結果は直接的に規模縮小される。

最初に修理すべき最も安価な箇所は何ですか？

すべてのアカウントに多要素認証を設定しましょう。通常は無料で、既にツールに組み込まれており、最も一般的な侵入経路を遮断します。

情報漏洩は通常、どのくらいの期間気づかれないまま放置されるのか？

人々が予想するよりもはるかに長い期間を要する。サプライチェーンの侵害は、特定と封じ込めに平均258日かかる（IBM、2026年）。

身代金を支払うべきだろうか？

法執行機関は一般的に、このような行為を推奨していません。金銭を支払うことは犯罪者から約束を買うようなものであり、攻撃の41％​​が情報公開を脅迫する内容であるため、結局は情報漏洩を阻止できない可能性があるからです。

自分のリスクをどのように見積もればよいですか？

顧客記録を数え、適用される規制を確認し、顧客のうちどれくらいの割合が離脱するかを推定し、それを収益で掛け合わせます。最後の数字は通常、技術コストをはるかに上回ります。

古いデータを削除することは、本当にセキュリティ対策と言えるのだろうか？

はい、そしてこれは過小評価されている点です。あなたがもはや保有していない記録は、盗まれたり、通知されたり、罰金を科されたりすることはありません。

元の報告書を読むことはできますか？

はい。IBMが無料で公開しています。下記の参考文献にリンクがあります。

📚 参考文献

IBM。（2026年） データ侵害報告書の費用（2026年）2026年8月8日に取得。 https://www.ibm.com/reports/data-breach

インフォセキュリティマガジン。（2026年） データ侵害の平均コストは500万ドルに上昇する2026年8月8日に取得。 https://www.infosecurity-magazine.com/news/cost-of-a-data-breach-5m-ibm/

ノースドア。（2026年） データ侵害のコスト（2026年）：世界の主要数字2026年8月8日に取得。 https://www.northdoor.co.uk/insight/blog/cost-of-a-data-breach-2026-global-findings/

スタンフォード大学人間中心型人工知能研究所。（2026年） 2026年AIインデックスレポート2026年8月8日に取得。 https://hai.stanford.edu/ai-index/2026-ai-index-report

国際エネルギー機関（2026年）。 エネルギーとAI：概要2026年8月8日に取得。 https://www.iea.org/reports/energy-and-ai/executive-summary

このサイトに関連する記事

ガバナンスを考慮したAIツールの選択については、こちらをご覧ください。 AIツールまとめ. 中小企業向けソフトウェアガイド より広いスタックをカバーし、分析すると AIの電力需要 同じ好景気の別のコストを見てみよう。

この分析について

すべての数値はIBMのデータに基づいています。 データ侵害のコストに関する報告書（2026年版）本報告書は、ポネモン研究所が独自に調査したものです。セキュリティ製品を販売する企業が発行しており、その旨は隠されることなく本文中に明記されています。数値は2026年8月8日に発表された元の報告書と照合されました。