データ漏洩やプライバシー侵害の懸念は明白ですが、有効な対策を講じることは容易ではありません。
SamsungがApple、Google、MetaなどがひしめくAI搭載スマートグラス市場に参入したことで、CISOやIT責任者は、想定されるデータ漏洩やコンプライアンス上の問題を踏まえ、こうしたデバイスに対する企業内での利用制限を設けるべきかどうかの検討を迫られています。
また、こうした技術系のリーダーたちがそうした方針を導入すべきだと判断したとしても、オフィス外で働く従業員全体に一律に徹底させるための実務的なハードルは、ほぼ乗り越えられないと言えるでしょう。
例えば、デバイスの設定をどうするかは装着者個人の判断に委ねられているため、データの取得や利用に関するIT部門の方針を徹底させることは困難です。さらに厄介なことに、AIデバイスにはガードレールを無視してきた過去の経緯があります。つまり、データの利用方法を制限する設定があっても、必ずしもそれが守られるとは限らないのです。
また、SamsungのスマートグラスもMetaのものと同様、カメラが録画中であることを周囲の人に知らせる警告灯を備えています。しかし、装着者が画面上のファイルを見ているだけの場合、その信号は企業のデータ漏洩防止(DLP)システムには一切検知されません。
実効性のある取り締まりはほぼ不可能
「対面や仮想の職場からスマートグラスを物理的に締め出そうとした企業もありますが、企業の技術管理者にとって残念な現実として、あらゆる種類のデバイスを完全に職場から排除する方法は存在しません」と、独立系テクノロジーアナリストのCarmi Levy氏は述べています。
スマートかどうかを問わず、従業員がどのようなアイウェアを着用するかを止める手立てはない、と同氏は指摘します。「そうした取り締まりを試みれば、視力の問題への配慮として処方箋入りのスマートグラスを必要とする従業員から、障害者差別を理由とする訴訟を起こされ、雇用主側が不利な立場に置かれる可能性すらあります」。
世界的なデバイス動向の調査を担当するIDCのディレクター、Jitesh Ubrani氏は、スマートグラスの利用に関するルールを策定する上で最大の課題は、デバイスによるデータ漏洩問題自体が目新しいものではなく、決してスマートグラスに限った話でもない点だと指摘します。
「AIスマートグラスを一律禁止したくなる気持ちは理解できますが、それは根本的なリスクが新しいものではないという点を見落としています。スマートフォンはこの20年近く、ホワイトボードや画面、会話を録音・録画できてきました」と同氏は語ります。「変わったのは『手間』の部分です。スマートグラスは、目に見える形でスマートフォンを構えたり向けたりする必要がないため、密かな撮影がほぼ手間なく行え、はるかに気づかれにくくなっています。これは悪用のしやすさという点で確かに大きなエスカレーションですが、根本的に新しい能力というより、程度の差にすぎません」。
実際、Ubrani氏の主張によれば、「CISOにとって難しいのは、その取り締まりの部分です。書面上の禁止規定を作るのは簡単ですが、企業のオフィス内で実際にそれを徹底させるのはすでに困難です。Metaの『Ray-Ban』を含め、現行世代のデバイスの多くは見た目上、普通のアイウェアと区別がつかないからです」。
さらに同氏は次のようにも付け加えています。「ハイブリッドワークや在宅勤務の環境でこれを徹底させることは、ほぼ不可能に近いでしょう。誰かが自宅でのZoom通話中に何を着用しているかを、IT部門が実際に確認する手立てはありません。オフィス内での検知手段、例えば既知のメーカーIDに紐づくBluetoothやBLEのアドバタイジング信号をスキャンする方法にしても、再設定されていない、あるいはたまたまその時に信号を発信しているデバイスしか捕捉できません」。
新たに加わるリスク
コネクテッドグラス自体は数十年の歴史を持つ製品ですが、企業がこれを本格的に問題視するようになったのは今年になってからです。
しかし、Moor Insights & StrategyのプリンシパルアナリストであるAnshel Sag氏は、この問題は技術的というより心理的な側面が大きいと分析しています。
「人々が禁止したがるのは、どう対処すればよいか分からないからです。しかし、それはかえって問題を増やすだけです。かなり反射的な恐怖反応にすぎません」とSag氏は述べます。「私たちは、カメラがどこにでもある時代に生きているのです」。
GartnerのシニアプリンシパルアナリストであるMeghan Hollis氏も、スマートグラスばかりに焦点が当たるのは的外れだという見方に同意しています。今や、ヘッドフォンでさえ翻訳や文字起こしのために音声を取得できるからです。Hollis氏によれば、変わったのはデータの取得そのものではなく、そこに動画が加わった点だといいます。
この新たな機能が企業環境に持ち込まれることで、「企業の知的財産が漏洩する潜在的なリスク」が生まれ、追加のリスクが発生している、とHollis氏は述べています。
もう一つ、見落とされがちな問題がデータ主権です。仮にスマートグラスのメーカーが特定の国でのみデータを保管すると約束したとしても、その方針を容易に変更したり、単純にサードパーティのベンダーを切り替えたりする可能性があります。
「輸出管理上の問題が生じ、情報の伝送において規制上のコントロールに抵触する可能性もあります」とHollis氏は指摘します。
とはいえ、許可されていないデバイスの使用が発覚した従業員を処罰すると脅すことは「あくまで最後の防衛線」であり、最初に取るべき最善のアプローチは取り締まりではなく教育であるべきだ、とHollis氏は述べています。
「エンドユーザーに対して、繰り返し継続的に教育を行う必要があります。『こういうことをすれば、会社や顧客・取引先にこのような損害を与えることになる』と伝えるのです。それに加えて、『そして、こうした行為をすれば処分の対象になる』ということも伝える必要があります」。
段階的な方針の必要性
Hollis氏は、リスクは従業員が最初に不適切な録画・録音をしてしまうことにとどまらないと指摘します。例えば、ある技術的な会議で、ある従業員が他の出席者に議論を録音してよいか許可を求めたとします。全員が同意し、彼は録音を開始します。
会議が終わると、彼は自分のオフィスに戻ろうとします。オフィスに着いたら録音機能を止めるつもりでいました。しかし、その途中の廊下で、上級副社長(SVP)と偶然すれ違い、何の前触れもなくこう告げられます。「参考までに言っておくと、取締役会がSmith Corpの敵対的買収にゴーサインを出したところだ。明日午前10時に詳細を詰める。君のチームも同席させてくれ」。この幹部はそのまま立ち去ります。
録音はまだ続いており、この極めて機密性の高い情報は、そのままクラウドへと送信されてしまいます。
IDCのUbrani氏は、こうした状況こそがスマートグラスのガバナンスをより困難にしていると指摘します。「企業のITおよびセキュリティ責任者は、『禁止か許可か』という発想をやめ、実際にリスクが存在する場所を基準にした段階的な方針を構築する必要があります」と同氏は述べます。「役員会議室、研究開発ラボ、そして企業秘密や規制対象データが目に見えたり、口頭で議論されたりする空間では、そうした部屋ですでに実施されている携帯電話の禁止措置と同じように、ウェアラブルデバイスの一切の持ち込みを禁止する厳格なルールを適用すべきです」。
オープンフロアプランや一般的なオフィススペースでは、そこまでの制限は恐らく必要ないだろうと同氏は述べつつ、会議の方針としては、一部の企業がすでに個人用録音機器の取り扱いを機密性の高いブリーフィングで実施しているのと同様に、録画・録音が可能なデバイスがその場にある場合には開示を義務づけるべきだとしています。
「あらゆる環境に一律のルールを一つだけ作ろうとする企業は、そのルールが実効性を持たないか、あるいは厳しすぎてアクセシビリティを損なうかのどちらかに陥るでしょう。一部の従業員はこうしたデバイスを支援技術として頼りにしているからです」と同氏は述べています。
一方で、Info-Tech Research GroupのプリンシパルリサーチディレクターであるBrian Jackson氏は、企業のCISOやITディレクターははるかに厳格な立場を取る必要があると主張します。
「組織は、個人所有のテクノロジーに関する利用許諾方針を早急に見直すべきです」と同氏は述べます。「約15年前、スマートフォンが個人の生活から職場へと浸透していった経緯を振り返ってみてください。私たちは今、BYOD(私物端末の業務利用)の定義が改めて見直される局面の入り口にいるのかもしれません。ただし、まずはAIウェアラブルおよび類似デバイスの使用に対して、極めて厳格な方針から始める必要があります」。
さらに同氏はこう付け加えています。「組織は、職場での個人的な録画・録音を行わせないという一線を守り、コンプライアンス基準だけでなく、職場文化そのものを維持していく必要があります。ただし、この制限を全面禁止にまで踏み込ませることはできません。Walt Disney Worldが、ある従業員にMetaのスマートグラスの使用を禁止したことで訴訟に発展した事例を見れば分かります。とはいえ、この例外は限定的な範囲にとどめることができますし、他の従業員に対しては、自分が録画・録音されていることを知らされるべきだという点も明確にすべきです」。
