2026年、サイバー空間の戦場は、散発的な侵入から、産業化され、機械の速度で展開される攻撃キャンペーンへと移行した。この1年で企業、インフラ、組織に対するサイバー攻撃が増加し、データ漏洩がもたらす影響をめぐって、不確実性と、場合によってはパニックに近い空気が生まれている。そうした恐怖を増幅させている大きな地殻変動が2つある。複数段階の作戦を自律的に計画し実行する「エージェンティックAI（自律型AI）」の台頭と、今日の暗号化されたアーカイブの長期的な安全性を脅かす量子時代の暗号解読が現実味を増していることだ。
自律的な攻撃キャンペーンから日和見的な犯罪へ
過去10年の大半において、防御側はサプライチェーンへの侵入、ランサムウェアの発生、フィッシングの急増といった個別のインシデントを用いてリスクを定量化してきた。こうした事案は多くの場合、人間が引き起こし、防御側が気づいて対応できる程度の速度で進行していた。
その計算を覆すのがエージェンティックAIである。これらのシステムは、自律的に標的を特定し、エクスプロイト（脆弱性攻撃）を連鎖させ、ラテラルムーブメント（横展開）を行い、データを持ち出すことができる。さらに、ブロックされた場合には、即座に戦略を変更する。その結果、単に攻撃が高速化するだけでなく、防御側の反応から学習し、人間による継続的な指示なしに自ら組織を再編できる適応型のキャンペーンが展開されることになる。
防御側に与えられる時間が圧縮されることは、AI・量子時代の帰結である。かつては数日かかっていた事象が、今や数時間、あるいは数分で完了する可能性がある。シグネチャや静的なセキュリティ侵害インジケーター（IoC）に依存する防御は、もはや十分ではない。企業は、自動化された封じ込め、振る舞い中心の検知、そして攻撃者が自律的に行動することを前提とした継続的な検証へと投資を行う必要がある。
耐量子計算機暗号（PQC）においては、暗号アジリティ（俊敏性）が不可欠である。
理論上、量子コンピュータはかねてより公開鍵暗号にとっての脅威と見なされてきた。2026年には、ハードウェアとアルゴリズムの進歩により、実用的な暗号解読のタイムラインが短縮された。完全に耐障害性を持つ量子マシンが普及する前であっても、敵対者は「今収集し、後で復号する（harvest now, decrypt later）」キャンペーンを展開している。量子処理能力が成熟した段階で復号することを明確な意図として、現在暗号化されている通信やアーカイブを収集しているのだ。
このリスクは仮説ではない。最も脆弱な長期保存の機密情報は、知的財産、法務およびM&A（合併・買収）関連のアーカイブ、医療記録、そして戦略的な交渉に関する情報である。こうした資産に求められる秘匿期間は、量子復号の到来が予想される時期よりもはるかに長い。こうした要因から、耐量子計算機暗号（PQC）への迅速な移行と、暗号アジリティが極めて重要となる。
暗号解読と自律性が共存するとき
これら2つの進展が融合することこそが、真の脅威である。エージェンティックAIは、サプライチェーン全体における大量のデータ収集を統制し、価値の高い暗号化されたリポジトリの特定と優先順位付けを自動化し、慎重に選別された暗号文を量子復号パイプラインへと送り込むことができる。偵察の高速化、収集範囲の拡大、そしてアーカイブされたデータが復号可能になった際の漏洩期間の長期化は、すべてリスクを増幅させる要因となる。
取締役会は今、CEOや経営陣に対し、この認識を予算計画、タイムライン、そして定量化可能な成果へと変換するよう要求しなければならない。企業のサイバーセキュリティと経営幹部（Cスイート）は、受動的な姿勢から能動的なマインドセットへとシフトする必要がある。この移行を実現するために必要な3つの緊急のコミットメントは、PQC移行プログラムへの資金提供、エージェンティックな攻撃者を想定したレッドチーム演習の義務化、およびセキュリティ侵害後のフォレンジック（原因究明）を容易にするためのテレメトリー（計測データ）とログ保存期間の刷新である。
官民の政策と行動。このシステム的な課題に対処するには、軍民両用（デュアルユース）の自律型システムに対する輸出・ライセンス管理、重要インフラや中小ベンダーにおけるPQC移行への補助金や技術支援、そして攻撃的な自律型サイバー運用の制限に関する国際基準など、連携した政策ソリューションが必要となる。政府は、エージェンティックAIの兆候やPQCへの露出に関するテレメトリーを組み込んだ、脅威情報の共有イニシアチブを拡大すべきである。
取締役会が今要求すべきこと
それは、取締役会と経営陣が認識を予算、スケジュール、および測定可能な成果へと変換することである。経営幹部と企業のサイバーセキュリティは、受動的な態度から「備え」の姿勢へと移行しなければならない。その移行には、経営陣からの即座のコミットメントが求められる。すなわち、PQC移行プログラムへの資金提供、エージェンティックな敵対者を想定したレッドチーム演習の要求、およびセキュリティ侵害後のフォレンジックを支援するためのテレメトリーとログ保存の近代化である。
CISOのための実用的な90日間スプリント
CISOに向けた現実的な90日間のスプリントは以下の通りである。まず、すべての暗号依存関係をリストアップし、機密保持の有効期間に基づいてデータを分類する。重要サービスについては、NIST（米国国立標準技術研究所）が推奨するPQCアルゴリズムをハイブリッドモードで試験運用する。侵害・攻撃シミュレーションとエージェンティックなレッドチームを活用し、マシン速度での検知と封じ込めを評価する。フィッシングに強いMFA、ボールティング（保管庫管理）、および短寿命の資格情報を使用して、アイデンティティと秘密情報を保護する。最後に、主要なサプライヤーやクラウドプロバイダーに対し、PQCへの対応準備状況を証明させる。
CISOの90日間チェックリスト
目標：長期的な量子復号のリスクと、エージェンティックAI攻撃への迅速な露出リスクを軽減すること。
1〜2週目
• すべての暗号化リソース（鍵、証明書、暗号化アーカイブ）をリストアップする。3年以上にわたり秘密である情報にマークを付ける。
• 上位50社のサプライヤーを特定し、PQC対応準備状況の証明を求める。
3〜6週目
• 非本番環境における重要なTLSエンドポイントに対して、ハイブリッドPQC鍵交換を試験運用する。
• 特権アカウントに対する短寿命の資格情報とボールティングを実装する。フィッシングに強いMFAを強制適用する。
7〜10週目
• 検知および封じ込めのSLA（サービス品質保証）を測定する。侵害・攻撃シミュレーションを導入し、エージェンティックなレッドチームのシナリオを実行する。
• 価値の高いテレメトリーの保存期間を延長し、重要レコード用の改ざん耐性のある不変ストレージを提供することで、ロギングを向上させる。
11〜12週目
• 自律型キャンペーンや「今収集し、後で復号する」状況からの回復について、取締役会および経営陣と机上演習を実施する。
• PQC移行ロードマップを策定し、予算とスケジュールを取締役会に提示する。
結論として、麻痺することなく緊急性を持つべきである。エージェンティックAIと量子復号により、2026年は極めて重要な転換点となる年だ。リスクは現実のものだが、強力なリーダーシップと最優先で行われる投資によって管理可能であり、そのためには事後対応型から適応力のある強靭な姿勢への転換が必要とされる。サイバーを戦略的リスクと捉え、適切な技術的取り組みを支援する取締役会は、リスクへの露出を低減させつつ、競争優位性、事業継続性、および信頼を維持できるだろう。
