SCS評価制度でセキュリティ投資「増額予定」が8割／大企業と中小企業のAI導入格差は2.7倍／情シスの3人に2人が「シャドーAI増加」実感、ほか

2026年06月01日 08時00分更新

　本連載「ざっくり知っておきたいIT業界データ」では、過去1週間に調査会社などから発表されたIT市場予測やユーザー動向などのデータを、それぞれ3行にまとめてお伝えします。

　今回（2026年5月23日～5月29日）は、SCS評価制度の開始を前にした企業セキュリティの現状、情報システム担当者が感じる「シャドーAI」、大企業と中小企業の間に生まれたAI導入格差、数万円で購入できる攻撃手法で数億円もの被害を生むランサムウェア攻撃の実態、エージェント型コーディングの普及で生じる開発現場の変化予測についてのデータを紹介します。

[セキュリティ] SCS評価制度の開始を控え、8割以上の企業が「セキュリティ投資を増額予定」（SmartHR、5月28日）
・85％の企業が取引先から「セキュリティ対策の証明／報告」を求められた経験
・利用するSaaS／ITツールを「すべて把握できている」企業は2割未満
・「SCS評価制度」の認知層では、8割超がセキュリティ投資を増額予定

　従業員100名以上の企業を対象にIT資産／セキュリティ対策について調査した。サプライチェーン全体でのセキュリティ対策強化が求められる中で、「取引先からセキュリティ対策の証明／報告を求められた」経験を持つ企業は85.1％に上った。自社が利用するSaaSやITツール、それらのアカウントやユーザーを「一元的に把握できている」企業は19.4％にとどまり、退職者アカウントの削除対応についても、39.2％は「即時完了できていない／運用ルールが未整備」の状態にあるという。対策不足の理由は、やはり「予算不足」（49.2％）と「専任人材の不足」（47.6％）が上位。

　⇒ 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の運用開始は今年末の予定ですが、企業間ではそれに先んじて取引先にセキュリティ対策の証明を求める動きが出ています。同制度の運用開始で“共通のものさし”での対策証明が進むことが期待できます。また、同制度の認知層では81.3％が「セキュリティ投資を増やす予定」と回答しており、制度の開始が投資の後押しになっていることもうかがえます。

SCS評価制度の開始前にもかかわらず、85.1％の企業がセキュリティ対策状況の証明／報告を「求められたことがある」と回答（出典：SmartHR）

自社で利用しているSaaSやITツールの棚卸しや状況把握が確実にできている企業は19.4％にとどまる（出典：SmartHR）

自社のセキュリティ対策不足の理由。「予算」「人材不足」「何から着手すべきかわからない」がトップ3（出典：SmartHR）

[セキュリティ][AI] 情シス担当者の3人に2人が「シャドーAIの増加を実感」、リスクはシャドーITより大きい（freee、5月28日）
・情シス担当者の3人に2人（66％）が、自社で「シャドーAIが増加」と回答
・担当者の約半数が「シャドーITよりもリスクが高い」と感じている
・「シャドーAIへの対策ができている」は42.3％、まだ半数未満

　全国の情報システム（情シス）担当者を対象に、会社が公式に承認／管理していないITツールとAIツールの業務利用（シャドーIT、シャドーAI）の実態を調査した。1年前と比較して、従業員のシャドーAI利用が「増えている」と感じている担当者は66.0％。また、シャドーITよりもシャドーAIにリスクを感じる担当者は47.2％に達したが、一方で4人に1人（25.3％）は「わからない」と回答しており、シャドーAIのリスクの全容が測りかねている実態も明らかに。シャドーAIの利用状況が「可視化できている」（完全に＋ある程度）とする回答者は42.5％で、シャドーITの可視化状況とほぼ変わらない。シャドーAIへの対策実施状況についても、可視化状況とほぼ変わらなかった。

　⇒ シャドーAIが増加した背景については、「スマートフォンでAI活用する従業員の増加」「AI活用ツールの増加」「拡張機能などで無意識にAI活用する機会の増加」という回答がトップ3でした。社員が「意図せず」業務利用してしまうケースは、シャドーITよりもシャドーAIのほうが多そうです。