今回のHelp Net Security誌のインタビューでは、LevelBlueでComplex Matters担当VPを務めるBrandy Wityak氏に、シャドーAIインシデント発生後の数時間で何が起きるのかを聞きました。
同氏は、ログがいかに素早く上書きされてしまうか、AIプラットフォームへの送信トラフィックを記録したファイアウォールのログが対応担当者の到着前に失われてしまうことが多い理由、そして規制当局が「企業として十分な対策を講じていたか」を判断する際に何を見るのかについて説明しています。また、Wityak氏は、社内Wikiに存在するだけのAIポリシーと、企業が実際に説明責任を果たせる管理体制との間にあるギャップ、そして文書化がプラスに働く場合とマイナスに働く場合についても語っています。
シャドーAIインシデント発生後に企業に入って対応にあたる際、最初に確認を求める記録は何ですか。また、この一つの要求だけで、企業自身が気づいていなかった問題点が浮き彫りになることはどのくらいありますか
最初に確保を求めるべき対象は、ユーザーのエンドポイントを保全することです。ユーザーの操作を示す可能性のあるあらゆるログについても、上書きを防ぐために保存しておく必要があります。
たいていの場合、これがきっかけとなって、組織側が自分たちがどのようなログを保有しているのか、あるいはそれらをどこに保管しているのかすら把握していないという実態が明らかになります。
これまで何度も、ログの提供を依頼したところ、3日後になって「見つからない」、あるいは「保存していると思っていたが実際には保存していなかった」という回答が返ってきたことがあります。中には、記録していると思い込んでいたにもかかわらず、実際には特定のイベントを一切記録していなかったケースもありました。組織が思い描いているログ管理環境の姿と、実際の姿との間にあるこのギャップは、私たちが最も頻繁に目にする問題の一つです。
インシデント発生後、証拠が失われ始めるまでにはどのくらいの時間がかかりますか。また、具体的に最初に消えてしまうものは何ですか
証拠が失われ始めるのは、インシデントが発生した瞬間からです。ログには限られた保持期間しかなく、すぐに上書きが始まります。おそらく最初に失われるのは、api.openai.com、claude.ai、gemini.google.comといったAIプラットフォームへの送信通信を示すファイアウォールログでしょう。こうした通信記録は、どのデータがいつ組織外に持ち出されたのかを示す最も明確な証拠であることが多いのですが、私たちが対応を依頼された時点では、すでに残っていないケースが頻繁にあります。
そもそもデータがエンドポイントの外に出ていない場合、事態はさらに時間との勝負になります。証拠がユーザーのエンドポイント上、それもメモリ内にしか存在しない場合には、この時間的猶予はさらに短くなります。インシデント発生後にユーザーがそのデバイス上で行うあらゆる操作が、データを永久に上書きしてしまうリスクをはらんでいます。こうした状況では、エンドポイントをどれだけ迅速に保全できるかがすべてを左右します。
規制当局が「その組織は運が悪かっただけだ」と結論づける場合と、「怠慢があった」と結論づける場合とでは、何が違うのでしょうか。どのような証拠の有無が、その判断を左右する傾向にありますか
規制当局が「単に運が悪かっただけだ」と結論づけることは、まずないでしょう。インシデントは、当該組織が従うべき規制基準に照らして評価されます。英国およびEUのGDPRの下では、リスクに見合った適切な技術的・組織的措置が講じられていたかどうかが問われることになります。
従業員によるシャドーAIの利用は、規制当局の観点からは決して「運が悪かった」で済まされるものではありません。組織自体が義務を怠ったと判断され、責任を問われる可能性があります。シャドーAIインシデントにおいて核心となる問いは、組織が従業員の行動を制限し、リスクを軽減するために自らの権限の範囲内で講じられる対策を講じていたかどうかです。判断はそこに帰着する傾向にあります。
多くの企業には、社内Wikiに置かれているだけのAI利用ポリシーが存在します。規制当局は、単に「存在するだけのポリシー」と、「実際に機能していると証明できる管理体制」をどのように区別するのでしょうか。また、大半の企業はそのどちら側に位置しているのでしょうか
現状では、大半の企業はAIガバナンスや技術的統制の成熟度において、まだ入り口に立ったばかりだと考えています。問われているのは、単に「特定の管理策(それが文書化されたポリシーであれ、ガバナンス計画であれ、技術的な制限であれ)を持っているかどうか」ではありません。シャドーAIのリスクを軽減するために組織が取った行動が適切だったかどうかが問題なのです。
規制当局は、組織が特定の管理策を導入していなかった理由について証拠を提示できなかった(あるいは提示した証拠が不十分だった)事例を指摘してくるでしょう。自らの判断とその理由、特に導入を見送った理由について、しっかりとした記録を残す実績のある組織は、事後的に説得力のある説明を組み立てるうえで有利な立場に立てます。これは特に、現行のガイダンスに完全には準拠できない可能性のあるレガシーシステムのような問題において重要です。緩和策や代替的な統制策について、徹底した検証を行っておくことが不可欠になります。大半の組織はまだそこまで到達しておらず、それゆえに「ポリシーを持っていること」と「規制当局に対してそれを弁護できること」との間には、依然として大きな溝が残っているのです。
過剰な文書化が、かえって企業に不利に働く場合はあるのでしょうか。つまり、「既知のリスクを認識していながら放置していた」ことを示す記録が残ってしまうケースです。そうした緊張関係について、クライアントにはどのようにアドバイスしていますか
ある組織が「特定の管理策が必要である」と文書化していながら、実際にはそれを導入していなかったという事例を目にしたことがあります。こうしたケースは規制上の結果だけでなく、保険の補償にも影響を及ぼします。私たちが対応するインシデントのほぼすべてにおいて、組織側から「その改善策やパッチはロードマップに載っており、まさに導入しようとしていた矢先だった」という説明を受けます。
この緊張関係への答えは、「文書化を減らすこと」ではなく、「一度書き記した事柄がその後どう扱われるかについて、より良いガバナンスを整えること」にあります。あるリスクへの対応を直ちに行わないと判断した場合は、その理由を書き残しておくべきです。その間にどのような緩和策を講じているか、そしていつその問題を再検討する予定かも記録しておきましょう。筋の通った、熟慮の上での判断であったことを示す記録は、正当性を主張できます。一方、問題が指摘されたにもかかわらず、そのまま放置され忘れ去られたことを示す記録は、正当化のしようがありません。
翻訳元: https://www.helpnetsecurity.com/2026/07/28/brandy-wityak-levelblue-shadow-ai-incident-response/
