特集 ── 2026-10-26

EY：AI脆弱性発見でSOC報告は5分野で変わる

EYは、AIの脆弱性発見でSOC報告に深い証拠が要ると説く

何が変わるか

サービス提供企業は、脆弱性管理の有無だけでは信頼を示せなくなります。AI時代の脅威にどう対応したかを、証拠付きで説明する必要が出ます。

EYは、顧客や監査人からの追加質問や追加テストが増えるとみています。SOC報告とは、サービス提供企業の内部統制を監査人が検証して示す報告です。

取締役会や監査委員会も、委託先がAIによる脆弱性の悪用にどう備えるかを問い始めているとEYは述べています。

なぜ重要か

EYによると、最新のAIはソフトウェアを横断して推論します。重大度の低い・中程度の指摘を組み合わせ、数分から数時間で侵害に至る経路を作れます。

従来の脆弱性管理は、弱点の特定、リスクによる優先順位付け、修正、報告という流れでした。EYは、その速さが主に人の要因で決まっていたと説明しています。AIがこの前提を変えたというのがEYの見方です。

そのため、従来のSOC報告があり大きな事故がないことは、十分な安全の根拠にならない可能性があるとEYは指摘しています。

報告の中身

EYは、AIが脆弱性の発見と組み合わせを速め、従来のリスク管理と報告の方法を揺さぶっていると主張しています。顧客や監査人は、より深い証拠を求めるようになるといいます。

注目される分野として、EYは5つを挙げています。脆弱性管理、パッチ管理、安全なソフトウェア開発、ベンダーリスク管理、侵入テストです。

パッチ管理では、重大な脆弱性への対応を週や月単位から日単位へ縮めるべきだとしています。侵入テストでは、年1回の外部テストだけでなく、継続的な自動検証や、人による詳細な診断などを重ねる方式を勧めています。

EYは今後のSOC報告が、継続的な統制の検証と、より細かなテストを反映すると予測しています。

誰が・どの範囲を

この報告はEYが公表した解説記事です。執筆者はEYのCathy CobeyとJaime Kipnesです。

対象は、ソフトウェアを構築・運用してサービスを提供する企業です。EYはこれをサービス提供組織と呼んでいます。特定の国や業界に限った調査ではありません。

関連記事には、EYの調査で組織の資産の36%がサイバー脅威に対して脆弱だったとの紹介があります。ただし調査対象の企業数や地域は、記事に書かれていません。

なぜこの報告か

この記事は、EYのサイバー調査「Cybersecurity resilience for frontier AI vulnerabilities」を受けて書かれました。同調査は、先端AIが脆弱性の状況をどう変えるかを扱っています。

本記事の問いは、サービス提供企業が統制の変化をSOC報告でどう示すかです。EYは、顧客・規制当局・監査人の期待が変わっていると述べています。

どう調べたか

記事に調査の方法の記述はありません。サンプル数や調査時期も示されていません。

内容は、EYの専門家による分析と提言です。基準設定に関する論評が、より細かな手続きと深いテストを示していると、EYは引用しています。

要点

EYは、AIが低・中程度の指摘を組み合わせ、数分から数時間で侵害に至ると述べています。
EYは、脆弱性管理など5分野で統制への監視が強まるとみています。
EYは、評価の見直し、証拠の強化、説明の統一の3点を勧めています。

結語

EYは、AIが脆弱性の発見と組み合わせを速めたと主張しています。その結果、SOC報告にはより細かな統制と継続的な検証が求められるといいます。統制の有効性を証拠で示し、リスクを明確に伝える企業が信頼を保ちやすいというのがEYの見方です。

引用と出典

“The latest generation of AI systems can reason across software, combining multiple low- and medium-severity findings into credible end-to-end compromises in minutes or hours.”（和訳）最新世代のAIシステムは、ソフトウェア全体にわたって推論でき、重大度が低〜中程度の複数の指摘を組み合わせて、数分から数時間で現実的なエンドツーエンドの侵害に仕立てられる。
── EY, 2026-10-23

“Patching cycles measured in weeks or months for critical exposures may no longer be acceptable; service organizations should be working toward cycles measured in days, with clear governance for exceptions when patching is unfeasible.”（和訳）重大なリスクへのパッチ適用が週や月単位であることは、もはや許容されない可能性がある。サービス提供組織は日単位のサイクルを目指し、パッチ適用が困難な場合の例外には明確な統制を設けるべきだ。
── EY, 2026-10-23

“Future SOC reports will increasingly reflect continuous control validation, more granular testing and clearer articulation of how vulnerabilities are identified, prioritized and remediated.”（和訳）今後のSOC報告は、統制の継続的な検証、より細かなテスト、そして脆弱性がどのように特定・優先順位付け・修正されるかのより明確な説明を、ますます反映するようになる。
── EY, 2026-10-23

材料にした記事

EY 23 Oct 2026

この特集は AI（Claude）が報告とその報道から書き、Jev（TypeSafe の判定モデル）と Gemini の裏取り、引用の逐語の照合を通したものです。