シャドーAIと経営層の抵抗が、懸念を抱くCISOのAIガバナンスを困難にしている

Dive Brief:

• Oktaが水曜日に公開したレポートによると、CISOの81%が自社のAIシステムが適切にガバナンスされていないと懸念しており、AIエージェントは依然として企業にとって重大なサイバーセキュリティリスクとなっています。
• Oktaが調査した企業のうち、自社ネットワーク上のAIエージェントをすべて把握していると回答したのはわずか47%、それらのエージェントによる企業データへのアクセスを制御していると回答したのは46%にとどまりました。
• Oktaの調査結果は、企業がエージェント型AIのリスクと利点を適切にバランスさせられていない、複雑で危険な状況を浮き彫りにしています。

Dive Insight:

セキュリティ責任者は、自社によるAI利用のガバナンスにおいて多大な課題に直面しています。Oktaのレポートは、こうした課題のいくつかを整理し、それらがどれほど広範に及んでいるかを示しています。

シャドーAIは最大の課題の一つです。ユーザーは許可を得ることも、セキュリティチームに知らせることさえもせず、便利なツールの導入を急いでいます。その結果生じる可視性のギャップとリスクエクスポージャーの増大により、CISOとそのスタッフはネットワークの防御が一段と難しくなっています。Oktaの調査では、CISOの68%が何らかの形で無許可のAI利用を確認したと回答しています。

許可されたAIツールについても、企業はそれらのツールが実行できる操作やアクセスできる範囲を厳格に管理できているとは言えません。約5分の1の組織が、AIエージェントに共有の認証情報や、権限が過大に付与されたエージェント専用アカウントでネットワークリソースへのアクセスを許可していると回答しました。いずれもエージェントの挙動を制限する境界としては脆弱です。同程度の割合の回答者が、AIエージェントを作成したチームにそのエージェントの管理を任せていると回答しています。専用のアクセス管理フレームワークを通じてAIエージェントを管理していると回答したのは、回答者のわずか4分の1でした。

経営層との足並みの一致も、AIの拡散を管理しようとするセキュリティ責任者が直面する大きな課題です。CEOや取締役会を含む経営層と、AIに関してどの程度のリスクを取るべきかについて「完全に足並みが揃っている」と感じているCISOは、3分の1に満たないとOktaに回答しています。米国では、そう回答したCISOはわずか12%でした。

問題の一因は、多くの経営幹部が依然としてAIツールに対するセキュリティ管理を、企業の健全性を守るものではなく、事業成長の妨げと捉えていることにあります。調査によると、自社の取締役会がAIセキュリティを事業の推進力と考えていると信じているCISOは、半数に満たないという結果でした。

CISOは自社のAIシステムを守ろうとする一方で、AIが攻撃者の攻撃実行をどのように助長しているかについても、依然として深く懸念しています。世界規模の調査では、セキュリティ責任者の半数以上(57%)がAIを悪用した侵害について「非常に」または「かなり」懸念していると回答しました。米国ではこの割合はさらに高く、84%に達しています。AIを活用したフィッシング攻撃、悪意のあるAIエージェント、そして認証を回避するディープフェイクが、セキュリティ幹部が恐れる事項の上位を占めました。

Oktaのレポートは、米国、英国、日本、ドイツ、カナダ、フランスのCISOおよびその他のサイバーセキュリティ幹部306名を対象とした調査に基づいています。