AIリスクをめぐりCISOたちに募るプレッシャー

AI技術の無秩序な導入とそれに伴うサイバー攻撃対象領域の拡大により、多くのトップクラスのサイバーセキュリティ幹部が職務上のストレスを増大させており、中には業界からの離職を検討する人も出てきています。

実際、セキュリティ幹部の4分の1(26%)が過去12カ月間に離職を検討したことが、最近のコラムで明らかになりました。このコラムはSplunkのフィールド最高情報セキュリティ責任者(CISO)であるカーシー・ペイン氏によって執筆されたものです。Splunkが実施した2つの調査から得られたデータによると、法的責任への懸念と、AIの急速な導入によって増す複雑さへの懸念が入り混じり、大きな混乱と不安を引き起こしていることが分かりました。Splunkの「The CISO Report: From Risk to Resilience in the AI Era」によれば、ほぼすべてのCISO(96%)がAIガバナンスとリスク管理の責任を負うようになっており、CISOの実に78%が自社に影響を及ぼすサイバーセキュリティインシデントに起因しうる個人的な責任について懸念を抱いています。

「もともと個人の法的責任について懸念を抱いていたCISOにとって、その不安はAIと拡大する攻撃対象領域によってさらに増しているとみられます。スキルの低い攻撃者でさえ、大きな被害をもたらせる新たなツールを突如手にできるようになったからです」と、SplunkのCISOであるマイケル・ファニング氏はDark Readingに語ります。「企業が社内でAIを導入するにつれ、それも新たな潜在的リスクをもたらしています」

6月に実施された調査では、セキュリティ専門家の3分の2が、2年前と比べて現在の仕事がより複雑になったと感じていることが分かりました。膨大な業務量に加え、AIなどの新技術への対応、そして従業員が持ち込むシャドーAIへの対処が求められているためです。しかし残念ながら、CISOが当面の間、この重圧から解放される見込みは薄いようです。トップクラスのセキュリティ幹部たちは、AIガバナンスに対するより大きな責任を課され、インシデント開示に関するより厳格な要件を課され、さらに自律型エージェントをめぐる監視体制やベストプラクティスの欠如にも対処しなければならない状況にある、とファニング氏は述べています。

「成功するためには、CISOはエージェントがどのようにツールを呼び出すか、どのように認証を行うか、そして何に接続するのかを理解する必要があります」と同氏は言います。「これらはいずれも、私たちがキャリアを通じて取り組んできた概念ですが、AIは導入速度の加速という新たな側面を加え、この課題をさらに難しくしています」

経営陣にAIセキュリティを教育する

残念なことに、AIはウイルスのようにあらゆる場所に広がっており、多くの従業員がバイブコーディングを使ってアプリケーションを構築し、AIを大規模に事業へ組み込もうとしています。AIセキュリティ企業Guardrail TechnologiesのCEOであるTJ・マーリン氏によると、その中にはAIを使用していることを申告せず、シャドーAIの露出を生み出しているケースすらあるといいます。

「以前は裏口から侵入されることを懸念していましたが、今では自らAIに玄関を開け放っており、組織側の備えは追いついていません」とマーリン氏は述べ、経営陣のAIへの取り組み方と技術チームのそれとの間には大きな隔たりがあると指摘します。過去の多くの技術革新と同様、企業はできる限り早くAIを実際の業務に投入しようと躍起になっており、セキュリティは進歩を妨げるものと見なされがちです。

SplunkがCISOのアンケート調査で明らかにしたように、経営幹部の大多数がそもそもサイバーセキュリティ上の考慮事項を理解していないという事実が、AIセキュリティの問題をさらに悪化させています。CISOの8人中7人近く(85%)が、経営幹部層のサイバーセキュリティに対する知識不足を最大の障壁として挙げている、とSplunkのファニング氏は言います。

「前進するための道筋は、共通言語を持つことです。データとビジネス上の文脈を活用し、技術的な言葉を経営陣全体が行動に移せる言葉へと翻訳する必要があります」と同氏は述べています。

AIはセキュリティにとって諸刃の剣

専門家によれば、AIによるコスト超過や、AIが社内で生み出す情報量の多さそのものに、企業側が二の足を踏むケースも見られる一方で、サイバーセキュリティチームにとってはより慎重な姿勢を取ることが利点にもなり得るといいます。AIはサイバーセキュリティガバナンスに新たな頭痛の種と混乱をもたらしている一方で、CISOとそのセキュリティチームがますます複雑化するセキュリティ業務に対処する上でも、この技術は助けとなっています。

前者について言えば、ある調査ではセキュリティ専門家の87%が、AIによって自分たちのチームの業務負荷が大幅に増加していると回答しています。実際、データ漏えい、シャドーAI、そしてAIエージェントの動作に対する可視性の欠如は、いずれも懸念を強めている要因であり、AIをどのように、そしていつ導入するかについてCISOが発言権を持つことが重要だ、とファニング氏は指摘します。

「企業が社内でAI技術の展開を進めようとする際には、私たちもそのプロセスに関与し、安全なベストプラクティスを提唱し構築していく必要があります」と同氏は述べています。

明るい材料としては、CISOの大多数が、AIによってより多くのセキュリティイベントをレビューできるようになった(92%)、また複数のデータストリームを相関させて分析する能力が向上した(89%)と認めていることが、Splunkのレポートで示されています。また別の調査では、SOCアナリストの10人中9人が、AIは自分たちの業務負荷に「良い影響を与えた」と回答しています。

AIは今後も混乱をもたらし続けるとみられますが、CISOは健全なセキュリティおよびリスク管理の原則に基づいたサイバーセキュリティプログラムを取締役会とともに構築することに注力すべきだ、と、マネージド検知・対応(MDR)企業Expelの共同創業者兼最高戦略責任者であるジャスティン・バイコ氏は述べています。

「CISOにできる最善のことは、在任期間の最後に精査されても揺るがないような形で、セキュリティプログラムを構築し運用することです」と同氏は言います。「その精査が、規制当局によるものであれ、法執行機関によるものであれ、あるいは将来の雇用主候補によるものであれ、です」