Synackの新たな調査によると、エンタープライズ企業のセキュリティチームの大多数が、定期的なテストでは検知できない脆弱性によって不意打ちを受けているといいます。Synackは、企業向けとして初めてAIを活用した継続的ペネトレーションテストを提供するベンダーを自称する企業です。
同社の新しいレポートThe State of Continuous Security Validationは、エンタープライズ企業のセキュリティリーダーおよび実務担当者を対象に調査を実施しました。その結果、過去1年間に予定されたテスト期間の外で高または重大な脆弱性を発見したと回答した割合が95%に上ることが分かりました。そのうち42%は、こうした事態が少なくとも月に1回は発生していると回答しており、エンタープライズ環境の変化スピードと実際のテスト頻度との間に広がるギャップが浮き彫りになっています。
相互に関連する3つのギャップ
Synackの研究者らは、エンタープライズのセキュリティ保証を損なっている3つの関連問題を指摘しています。1つ目はカバレッジのギャップです。回答者の38%が、重要な攻撃対象領域の少なくとも4分の1について、90日以上にわたり独立したテストや検証が行われていないと回答しました。
2つ目は、レポートが「AIトラストギャップ」と呼ぶ問題です。AI支援によるテストへの関心が高まっているにもかかわらず、回答者の79%は、人間による検証を経ないままAIが生成した発見事項に基づいて対応することはないと答えています。
3つ目は成熟度のギャップです。継続的テストは、ある発見事項が実際に悪用可能かどうかを確認する手法として最も多く挙げられた方法(22%が回答)であるにもかかわらず、自社のセキュリティテストおよび検証プログラムを「継続的」と説明した回答者はわずか15%にとどまりました。
この調査に参加したあるCISOは、業務への影響を次のように総括しています。「つまり、私たちは常に死角を抱えた状態で運用しているということです。新しいコードの変更が、最終的に検証されるまで数日から数週間にわたって本番環境で稼働し続けているのです」
AIはカバレッジを拡大するが、悪用可能性の証明には依然として人間が必要
この調査結果からは、企業が偵察活動や潜在的な脆弱性の洗い出し、テストカバレッジの拡大といった領域でAIにより大きな役割を担わせたいと考えている一方で、人間の監督なしにAIを運用させることには依然として消極的な姿勢がうかがえます。回答者は、悪用可能性の検証、深刻度とビジネスリスクの評価、複雑なワークフローのテスト、誤検知の削減、そして関係者へのリスク伝達において、人間の専門知識が今なお不可欠だと述べています。
Synackの最高マーケティング責任者(CMO)であるアンジェラ・ハイントル=ショーバー氏は、次のように述べています。「環境の変化は、スケジュールされたテストが表現できる速度を超えているため、ある時点でのスナップショット的なテストは限界を迎えつつあります。市場の方向性は明確です。AIがカバレッジを拡大し、人間が悪用可能性を証明する。そしてセキュリティ検証は継続的なものになっていきます。課題は認識の欠如ではありません。実行の問題なのです」
同調査では、継続的なセキュリティ検証を阻む主な要因についても指摘しています。コンプライアンス主導のテストサイクル、統合の複雑さ、自動化された発見事項に対する信頼の欠如、誤検知、投資対効果を示すことの難しさ、そしてチーム間での責任所在の不明確さなどが挙げられています。
Synackの共同創業者兼最高技術責任者(CTO)であるマーク・クー氏は、次のように述べています。「自動化はより多くのシグナルを浮かび上がらせることができますが、セキュリティチームが必要としているのは証拠であって、ノイズではありません。弱点を連鎖させ、悪用可能性を確認し、攻撃者が実際に何をなし得るかを示すには、人間の研究者が持つ創造性と文脈理解が不可欠です」
継続的検証のための「人間+AI」モデル
Synackは、今回の調査結果が「人間+AI」を組み合わせたセキュリティ検証アプローチの妥当性を裏付けるものだと主張しています。同社のSara AI Pentestingサービスは、同社が「Synack Autonomous Red Agent」と呼ぶ仕組みを用いて偵察活動とテストを拡張する一方、1,500人を超える審査済みセキュリティ研究者からなるネットワーク「Synack Red Team」を活用し、実世界における悪用可能性の検証、連鎖的な攻撃経路の発見、そして自動化だけでは提供できない文脈情報の提供を行っています。
同社によれば、この2つのアプローチを組み合わせることで、組織が定期的・一時的なセキュリティのスナップショットから脱却し、継続的なセキュリティ検証へと移行できるよう支援することを目指しているといいます。
