セキュリティ運用を強化するAI活用法7選

AIの活用範囲はほぼ無限といえますが、その中でも企業セキュリティを強化する能力ほど重要なものはないかもしれません。

AIは、AIの自律性とイノベーションが融合し、人・プロセス・技術の関わり方を再定義する、ビジネス変革の新時代を意味するとNTT DATAでグローバルサイバーセキュリティ責任者を務めるSheetal Mehta氏は述べています。「学習し、的確な判断を下し、自律的に行動し、さらには目標達成のために推論そのものを適応させることさえできるシステム——エージェンティックAIの発展は、私たちをサイバーセキュリティの新たな革命へと導くでしょう」。

あなたの組織は、AIが持つ強力なセキュリティ能力を最大限に活用できているでしょうか。ここでは、企業の攻撃耐性を高めるためにAIを活用する7つの方法を紹介します。

1. ネットワークとユーザーの監視強化

サイバーセキュリティ専門家による非営利団体Global Cyber AllianceのCTO、Leslie Daigle氏によると、AIはネットワークやユーザーの活動を継続的に監視しながら、定型的なセキュリティ業務を自動化できるといいます。「行動分析、機械学習モデル、あるいは新しい生成AIの機能を通じて、AIは不審なパターンを識別し、最も重大な脅威にフラグを立てることができます。これにより、セキュリティチームは本当に重要なインシデントに集中できるのです」と同氏は説明します。

AIは独立したツールとして扱うのではなく、既存のセキュリティプログラムに統合してこそ最大限の効果を発揮するとDaigle氏は言います。「精度が高く、信頼性があり、組織固有の脅威モデルやリスク許容度に合致したモデルを実現するには、サイバーセキュリティ、IT、AIの各チームが緊密に連携する必要があります」と同氏は指摘します。

ただし、その連携は一度整えれば終わりというものではありません。「モデルは訓練データの範囲外にある新しい攻撃パターンを見逃したり、ドリフト(経時的な精度劣化)を起こしたり、敵対的な入力によって操作されたりする可能性があるため、継続的な検証が必要です」とDaigle氏は述べています。

2. セキュリティ態勢へのより深い可視性の提供

多くのセキュリティチームは、数十種類ものツールが収集する膨大なデータに埋もれながらも、自分たちのプログラムがどれほど効果を上げているのかを把握できずにいると、Yeshiva大学Katz校の教授でありサイバーセキュリティプラットフォーム企業Onyxia CyberのCEOでもあるSivan Tehila氏は指摘します。

「AIエージェントを使えば、『MFAを設定せずに登録されているユーザーは誰か』といった平易な言葉での質問を投げかけるだけで、1週間かかる手作業の代わりに、優先順位付けされた回答を即座に得られます」と同氏は言います。

AIは真のボトルネックである分析にかかる時間そのものを取り除くとTehila氏は述べます。「同時に、セキュリティ態勢の考え方も『問題がないことを証明する』から『プログラムが改善し続けていることを証明する』へとシフトします」。

3. SOCの効率化

企業セキュリティにおいて最も効果的な活用法の一つが、グラフィックアートデザイン包装企業EskoでグローバルデジタルトラストのディレクターをつとめるMarc Vael氏によれば、セキュリティオペレーションセンター(SOC)の業務、特に脅威検知、アラートトリアージ、調査、対応にAIを適用することだといいます。

毎日何百万件ものセキュリティイベントが生成されており、企業が正常な業務活動に関する適切なインサイトを持たずに、これらを手作業で、あるいは自動化されたシステムであっても処理するのは事実上不可能だとVael氏は述べています。幸いなことに、AIはシグナルの相関分析、不審なパターンの識別、リスクの高いイベントの優先順位付けを行い、従来のルールベースのソリューションよりもはるかに速くセキュリティアナリストにインサイトを提供できます。

「AIは、アカウント侵害の可能性、内部脅威、データ持ち出しの試み、そして既知の攻撃シグネチャに一致しないような新たな攻撃手法も迅速に検知できます」と同氏は言います。

このアプローチの効果は、AIが膨大な量のデータを高速に処理・相関分析できる能力に由来するとVael氏は言います。セキュリティチームやITチームは、日常的に大量の誤検知に圧倒され、しばしばアラート疲れに陥っています。

「AIは、本物のサイバー脅威である可能性が最も高いイベントを識別することで、ノイズを減らす助けになります」と同氏は言います。「また、証拠の収集、調査結果の要約、対応策の提案を自動的に行うことで、セキュリティイベントの調査にかかる時間を短縮することもできます」。

4. 一見不審に見えない活動の点と点をつなぐ

従来のサイバーセキュリティは不審な活動に着目してきました。「AIを使えば、組織はその活動に本当に筋が通っているかどうかを確認できます」と、金融サービス企業Consolidated AnalyticsのチーフAIオフィサーであるNeil Sahota氏は言います。

Sahota氏は、成功する攻撃の多くはもはや高度なマルウェアに依存していないと述べています。「それらは正常な振る舞いを悪用します——個々に見れば完全に問題ないように見えるイベントの積み重ねなのです」。危険が生じるのは、点と点をつなぐまでは完全に正常に見えるこうしたイベントが、実際に侵害を引き起こす時です。

「残念ながら、人間はIDシステム、ネットワークテレメトリ、金融取引、人事記録、クラウドインフラ、サードパーティインテリジェンスにまたがる何百万もの関連性をリアルタイムで統合的に把握することはできません。しかし、AIならこの作業を難なくこなせます」と同氏は言います。

Sahota氏は、AIに自律的な行動を許す前に、まずは意思決定のパートナーとして展開することを勧めています。「アナリストにAIの推奨内容を観察させ、パフォーマンスを測定し、信頼を築き、確信が得られた段階でよく理解された判断から段階的に自動化していくべきです」と同氏は助言します。「セキュリティAIも、従業員と同じように権限を勝ち取っていくべきなのです」。

5. データ損失の低減と管理保護

信用情報サービスTransUnionでサイバー防御担当シニアバイスプレジデントを務めるSwathi Joshi氏によると、過度な誤検知を生みがちな静的ルールのみに頼るのではなく、ユーザーの役割、データの送信先、活動のタイミングといった文脈を評価することで、AIは日常的な業務活動と本当のリスクを区別する点で人間より優れた立場にあるといいます。

Joshi氏はさらに、AIは時間の経過とともに従業員やサービスアカウントの行動ベースラインを確立し、新たなリスクを示唆する重要な逸脱を識別できるとも述べています。「これにより、ある一時点のみを見る統制ではしばしば見逃されてしまう、緩やかで微妙なパターンを見つけ出すことができます」。

6. セキュリティチームの負担軽減

AIがセキュリティチームにもたらす最大の恩恵は、ログ、アクセスパターン、エンドポイントのアラートといった膨大な情報からシグナルとノイズを、どのアナリストよりも速く仕分けることで、退屈で大量の作業を高速で処理できるようにする点だと、リアルタイムデータ統合とマルチドメインマスターデータ管理を提供するクラウドネイティブSaaSプラットフォーム企業でSAP傘下のReltioでCISOを務めるAndrew Citro氏は言います。「私ならまずここに注力します」。

このアプローチを試す際には、アラートトリアージやフィッシング検知など、現時点でアナリストの工数を最も圧迫している範囲を一つに絞り込み、すべての判断を人間がレビューしながらAIの働きを検証すべきだとCitro氏は提案します。「初日から広範囲に自動化しようとする衝動は抑えるべきです」。

7. シグナルとインテリジェンスの統合

データ分析・技術サービス企業IncedoのCISOであるKuldeep Thakur氏は、企業全体のシグナルを継続的に集約し、その文脈を理解した上で、セキュリティチームがより速く、より的確な意思決定を下せるよう支援する、インテリジェントな調査レイヤーを構築するためにAIを活用すべきだと述べています。

これはAIにとって根本的に異なる役割だとThakur氏は言います。「セキュリティは、単にアラートを生成するだけの存在から、継続的にインサイトを生み出し、行動を起こす存在へと変わるのです」と同氏は説明します。

この10年あまり、セキュリティ関連の投資はセンサー、ダッシュボード、アラートを次々と増やし続けてきた結果、それらすべてを理解しようとする疲弊した人間だけが薄い層として残されてしまったとThakur氏は言います。「今日、多くのアナリストが口にする本当の恐れは、検知できない脅威ではなく、ノイズの中に深く埋もれてしまった本物のインシデントなのです」。

AIは基本的に、アラートを受け取ると、Tier-1のアナリストが行うのと同じ作業——ID、エンドポイント、クラウド、ネットワークの各機能にまたがる文脈を引き出し、シグナルを相関分析し、脅威の全体像を数時間ではなく数分で組み立てる——をこなします。「人間が介入すべきなのは、本当に判断力が必要な場面だけです」とThakur氏は結論づけています。