CRESTが新たなAI基準を策定、AI活用型ペネトレーションテストの認定制度を開始

サイバーセキュリティ業界団体のCRESTは、AIを活用したペネトレーションテストサービスを認定するための新たな基準を追加しました。

7月28日に発表された「AI-Enabled Penetration Testing」要件は、サイバーセキュリティサービスプロバイダーが自社の事業運営およびサービス提供の両面で責任あるAI利用を実証できるよう設けられた、任意の追加要件です。

今回のAI活用型ペネトレーションテスト認定は、CRESTが既存のPenetration Testing Accreditation Standard(ペネトレーションテスト認定基準)に組み込んだ、新たな任意モジュールとなります。

新たなAI基準により、日常業務にAIを積極的に取り入れている認定プロバイダーは、独立した第三者評価を受けることが可能になり、責任あるAIガバナンスを確立していることを顧客や規制当局に対して正式に示せるようになります。

CRESTの広報担当者はInfosecurityに対し、「標準会員資格には影響しませんが、AIを利用するプロバイダーが自らの取り組みを検証し、信頼性を裏付ける追加のお墨付きを得る手段になります」と語りました。

現在、既存のCREST会員および認定ペネトレーションテストサービスにおけるAI活用について追加の認定を希望するサイバーセキュリティサービスプロバイダーを対象に、申請の受付が始まっています。

業界全体でのAI導入拡大を受けて策定されたCRESTのAIペネトレーションテスト基準

今回の新モジュールの発表は、3月に公開されたCRESTの「AI in Penetration Testing」レポートに続くものです。

同レポートによれば、過去1年間でAI利用を拡大させたサイバーセキュリティプロバイダーは4分の3以上（76%）にのぼり、69%がすでに日常のサービス提供にAIを組み込んでいることが明らかになりました。

このレポートを受け、CRESTは3月に「AI Principles」を、6月には「AI Charter」を公表しており、AI Charterには100を超えるサイバーセキュリティ組織が署名しています。

AI PrinciplesおよびAI Charterと同様に、今回の追加AI基準もCRESTのAI Working Groupによって策定されたもので、同グループは今後もこの基準を発展させていく方針です。

この任意のAI-Enabled Penetration Testing要件は、CRESTのPenetration Testing Accreditation Standardの一部として組み込まれ、責任あるAI利用に関する独立した保証を提供します。

最初の認定取得は1カ月以内に

CRESTのCEOであるNick Benson氏は、これらの取り組みはAI導入がガバナンスの整備を上回るスピードで進んでいるという課題を是正するために設計されたものだと述べています。

「AI活用型サービスに対して独立した保証を求める購入者側のニーズが高まっていることを認識しています。今回の基準への追加により、市場からの信頼を取り戻すための実用的かつ強制力のある枠組みを提供できると考えています」

Infosecurityの取材に対しBenson氏は、発表時点で新たなAI-Enabled Penetration Testingモジュールによる認定を取得した組織はまだないものの、業界団体として今後1カ月以内に最初の認定組織が現れると見込んでいると述べました。

「できるだけ早く発表したいと考えていました。一部の会員が認定を取得するまでにあと数カ月かかるとしても、それはそれで大きな意味を持つことになりません」と同氏は付け加えました。

「任意の合意事項とは異なり、この正式な認定制度はCREST既存の苦情処理・懲戒プロセスに直接組み込まれています。これにより、CRESTはエコシステム全体にわたって是正措置を講じ、順守を徹底することが可能になります」

米国拠点のCREST会員であるLRQA CybersecurityでSVP of assurance services for the Americasを務めるChris Oakley氏は、CRESTの新たなAI基準はサイバー業界のリーダーたちが積み重ねてきた経験に基づくものであり、「サイバーセキュリティにおけるAIガバナンスに対して一貫した答えを提供するもの」だと述べました。

ドバイ拠点のCREST会員であるClosed Door SecurityのCEO、William Wright氏は、組織がAIへの依存を強めつつある今、今回の新基準はまさに重要な局面で登場したと指摘しています。

「高度なAIシステムは着実に重要インフラの一部となりつつあり、それを取り巻くセキュリティに対して組織が確信を持てることが不可欠です。AIがセキュリティ運用の支援や脆弱性の特定・修復のために導入されつつある今、責任ある利用のための枠組み型アプローチが求められており、今回の新基準はまさにそれを提供するものです」と同氏は説明しました。