YubicoとOktaは共同レポート「2026 グローバル認証状況調査」の結果を公表しました。セキュリティリーダーの88%が自社のセキュリティ体制に自信を示しているものの、従業員の知識不足よりも日常的なログインの摩擦や入社時に発行されるパスワードといった「レガシーな習慣」が重大な障害になっている実態が判明しました。

根強く残るレガシーな習慣と運用の摩擦

アイデンティティのセキュリティリスクは従業員の知識不足が原因と捉えられがちですが、データは異なる傾向を示しています。セキュリティの専門家の87%がパスキーに精通し、31%がデバイスバインド型でハードウェア保護されたパスキーを最も安全な資格情報として認識しています。しかし、セキュリティの専門家の43%が依然として仕事へのログインにパスワードを使用しています。

この要因の一つとして、初日の設定が挙げられています。回答者の52%が入社時にユーザー名とパスワードの資格情報を受け取っていました。さらに、76%の組織が異なる内部アプリケーション間で分断された認証方法を使用しており、45%がそれらのシステム全体でユーザー名とパスワードを使用しています。「安全でないデフォルト設定」と「絶え間ないセキュリティ通知」の組み合わせが認証疲労を引き起こしており、トレーニングだけではこうした構造的な問題への対応に限界が生じています。

AIによる脅威とヒューマンファイアウォールの限界

AIの普及により、従来の視覚的なフィッシング対策は通用しにくくなっています。過去1年間で回答者の70%が組織へのフィッシングの増加を指摘し、44%が自社が少なくとも1回のAI主導の攻撃成功被害を受けたと報告しました。また、43%が経営陣や顧客を標的とした不審なビデオ、音声、または電話によるなりすましを経験しています。

セキュリティの専門家を対象に「人間が書いたメッセージ」と「AIが生成したメッセージ」を見分けるテストを実施したところ、人間が書いたメッセージを正しく特定できた割合はわずか36%でした。人間による見極めが困難になっていることから、従業員の警戒心に依存した防御から、デフォルトで認証の安全性を確保する「構造的な強制」への移行が求められています。

AIエージェントの導入拡大とセキュリティ統制

認証アーキテクチャの最新化は、AIエージェントを統制する準備としても重要視されています。セキュリティリーダーの91%がAIエージェントのアイデンティティ検証が不可欠であると答え、57%がそれを「極めて重要」と回答しました。一方で、導入のペースがセキュリティ統制を上回っている現状があります。

現場では日常的なスケジュール管理（35%）や社内コミュニケーションのドラフト作成（35%）などで自律型AIエージェントへのタスク委任が進んでいます。AIエージェントに自分に代わって顧客とやり取りさせることへの許容度は世代間で差が見られ、Z世代の専門家の68%が抵抗がないと回答したのに対し、ベビーブーマー世代では27%にとどまりました。また、回答者の91%が、権限昇格や金融取引の実行といったリスクの大きいアクションを行う前には、「ヒューマンインザループ（人間の介在）」による承認ステップを維持することを強く主張しています。

認証戦略の最新化に向けたフレームワーク

レポートでは、ログイン前・ログイン中・ログイン後の3つの異なるフェーズ全体でアクセスを安全にする、フィッシング耐性認証に基づいた最新のアイデンティティフレームワークが提示されています。教育から「構造的な強制」へと移行することで防御を自動化し、資格情報リスクを排除することができるとしています。

なお、本調査の概要は以下の通りです。

• 調査対象：米国、英国、オーストラリア、インド、日本、シンガポール、フランス、ドイツ、スウェーデンの９カ国の市場において、約2,000人のテクノロジーおよびセキュリティの専門家を対象に定量オンライン調査を実施（※1）
• 調査期間：YubicoとOktaの委託により、2026年7月2日から7月16日にかけて実施（※2）

本記事はYubicoとOktaの発表をもとに作成されました。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。