ストレスに慣れているはずのセキュリティ幹部たちも、最先端AIの能力が新たな試練の到来を告げていると認識しています。責任の所在、権限、そして体制の整合性という問題を早急に解決しなければ、サイバーセキュリティのトップの座は務まらない役職になってしまうというのです。
CISOという役職はもともと過酷なものですが、多くのIT security幹部にとって最後の一押しとなりつつあるのが、最先端AIモデルの急速な進化、企業側が求める性急かつ広範なAI実験の推進、そしてそれに伴って積み重なるリスク責任と個人的な法的責任です。
「疲れ切ってしまう日もあります」。ソフトウェア業界の大手企業でCISOを務めるある人物は、匿名を条件にそう語ります。「あまりにも重すぎると感じる日があるんです」
こう感じているのは、この人物だけではありません。
米国と英国のCISO1,001人を対象とした最近の調査によると、Anthropic Mythosや同種のサイバー攻撃能力を持つモデル・ツールの登場をきっかけに、この職を離れることを検討し始めたと回答した人が50%に上りました。一方、この意見に反対したのはわずか25%にとどまっています。
また60%は、AI導入を求める取締役会や経営陣からの圧力が、自社の統治・セキュリティ管理能力を上回るペースで進んでいると答えています。
BlackBerryでチーフ・セキュリティ・アドバイザーを務めるクリスティン・ガズビー氏は、長年サイバーセキュリティの経営幹部を歴任し、昨年9月に現職へ異動するまで同社のCISOを務めていましたが、CISO時代を懐かしく思うことはないと言います。
「まさに狂気の沙汰です!」と同氏は語ります。「二度とCISOをやらないとまでは言いませんが、今は本当に厳しい時期です」
CISOはもともと他の経営幹部職と比べて在任期間が短い傾向にあると、同氏は指摘します。「以前はバーンアウトが原因でした。responsibility(責任)とやるべきことがあまりに多すぎたのです。そして今、AIの登場によって、一部の課題はもう理解の範疇を超えるレベルになっています」
この職に伴う個人的な責任という側面も、また厳しいと同氏は付け加えます。「間違いなくそうです。業界として私たちは、あらゆる責任を一手に引き受ける形でCISOという役職を作り上げてきました。それなのに今になって、人々がこの職から離れたがることに驚いている――そんな状況なのです」
今年発表されたある調査によると、CISOの78%がセキュリティインシデントに対する自身の責任について懸念を抱いており、これは1年前の56%から上昇しています。さらにCISOの89%が、技術進化の猛烈なスピードを課題として挙げています。
「AIの進化のスピードに関しては、今のところ攻撃者側に分があります」とガズビー氏は語ります。「攻撃者は脆弱性を発見するそばから、時には修正パッチが公開されるより早く、次々と武器化しているのです」
積み重なる問題
こうした要因の積み重ねにより、経験豊富なCISOたちは引退したり、よりストレスの少ないセキュリティ関連の職に異動したり、コンサルティングやセールスサポートの職に転じたり、あるいは業界そのものから完全に去ったりしています。その結果、企業は経験の浅い人材を採用せざるを得なくなり、そうした人材はさらにバーンアウトに陥りやすいという悪循環が生まれています。
「この役職に対する準備が整っていないと感じたり、特に今の状況下で権限を十分に与えられていないと感じたりすると、『もう辞めよう。他のことをやろう』という気持ちになるものです」とガズビー氏は語ります。
さらに、企業のIT環境はそれぞれ異なるため、新任のCISOが業務を軌道に乗せるまでには時間がかかります。しかし現在の変化と攻撃のスピードを考えると、その間にセキュリティリスクが一層高まり、結果としてCISOへのストレスがさらに増すことになります。
「あの仕事をやりたいと思うには、特別な人間でなければなりません」とガズビー氏は語り、この役職を消防士に例えます。
「時々ニュースで何かを目にして、『ああ、今夜は友人たちが誰も眠れないだろうな』と思うことがあります。夜中の2時に起きてこの問題を解決しようとしなくて済むのは、正直ありがたいと思います。それでも時々、人の役に立つこと、消防士のような存在でいることが恋しくなります」と同氏は語ります。「この役職の本質は、人々を守りたいという気持ちにあるのです」
責任問題への対処
では、この職業に活路はあるのでしょうか。
「CISOにとって、簡単な解決策はありません」とIDCのアナリスト、クリス・キッセル氏は語ります。同氏によると、CISOの平均在任期間は現在18か月まで短縮しており、サイバーセキュリティインシデントに対する個人的な責任問題や新たなAIモデルの登場は、状況を悪化させる一因になっているといいます。「CISOを取り巻く新しい世界は、非常に恐ろしいものです」
状況を改善するには、リーダーシップに基づく行動が必要になると同氏は指摘します。例えば、責任ある行動のための最低限の要件を義務付ける統治機関の設立などが挙げられます。
「こうした措置を講じれば、CISOを法的な補償責任から解放できます」と同氏は語ります。「CISOを免責にする仕組みを作らなければなりません」
サイバーセキュリティ分野に特化したエグゼクティブサーチ会社Aspiron Searchの共同創業者でサイバーセキュリティ採用コンサルタントのオリバー・レッグ氏は、CISO候補者と話す中で、こうした責任問題への懸念を実感していると語ります。
「2年前、CISO候補者たちが尋ねてきたのは予算や人員配置についてでした」と同氏は語ります。「しかし今、真っ先に出てくる質問は補償や役員賠償責任保険(D&O保険)についてです」
D&O保険(役員賠償責任保険)とは、経営幹部を個人的な金銭的損失から守る賠償責任保険です。
高まるAIへの不安への対処
では、増大するAI関連の脅威にはどう対処すればよいのでしょうか。
これについても、対処は可能です。責任を持って運用する限り、AI自体をセキュリティ運用の強化に活用することもできます。
カーネギーメロン大学のCISO・CAIOプログラムで教鞭を執り、Databricksでグローバル・フィールドCISOを務めるオマール・カワジャ氏は次のように語ります。「Mythosは、私たちがやるべきことの本質そのものを変えるわけではありません。変わるのは、それをどれだけうまく、どれだけ速く、どれだけの規模でこなす必要があるかという点です。だからこそ、これまでの2倍、3倍、あるいは10倍もの規模を実現できるよう、私たちが用いるアプローチやフレームワークを変えていく必要があります」
つまり、適切な予防措置を講じた上で、セキュリティプログラムは今よりもはるかにエージェント主導型のものへと進化していく必要がある、と同氏は語ります。
また、自社のAIが暴走するのではないかという懸念については、やや誇張されている面があると同氏は付け加えます。
「そうした事例のほぼすべては、まだ公開されていない、そして企業側も公開する予定はないと明言しているモデルを使って実験していたケースです」と同氏は語ります。「ですから、本番環境でエージェント型の運用に移行するのであれば、実験段階のAIは使わないことです。よく知られた実績のあるAIを使うのであれば、安全に管理することは十分に可能です」
また、AI導入が初めてで、まだ十分な経験やガードレールを備えていない組織は、リスクの低いユースケースから着手し、そこでリスク軽減の方法を学びながら、段階的に発展させていくべきだといいます。
「セキュリティ分野であれば、まずは異常検知や既存の調査案件のトリアージにAIを活用することをお勧めします」と同氏は語ります。「対応の自動化にAIを使うところから始めることは、おそらくしません。しかし段階的にステップを踏んでいけば、そこにたどり着くことは可能です」
新たな好機
Mythosの影響は誇張されている、と元CISOでReturn on Securityの創業者兼サイバーセキュリティ・エコノミストのマイク・プリヴェット氏も認めます。こうした最先端モデルは、以前から存在していた問題に世間の注目を集める役割を果たしたに過ぎないというのです。
「一方で、最先端モデルが脅威の状況のスピードと複雑さを変えつつある中、多くのCISOはむしろこれまで以上にこの役職に就いていることにワクワクしています」と同氏は語ります。「多くの人にとって、今はこの分野で働く上で最もエキサイティングな時期の一つなのです」
特にそう感じやすいのは、AI導入に積極的な企業でCISOを務め、経営陣からの支援や適切な予算、そして自由に実験できる裁量が与えられている場合だと同氏は語ります。
「CISOとしての在任期間の途中で、他の役職に就く機会がありました」と、匿名を条件に取材に応じたあの大手ソフトウェア企業の幹部は語ります。「そうした他の役職は、はるかに楽でした。90%の出来であっても評価してもらえます。しかしCISOの場合、99%の出来だったとしても、たった1台のサーバーが原因で攻撃者の侵入を許してしまえば、残り99%をきちんと対処していたことなど誰も気にかけてくれません。完璧に及ばない仕事は、決して十分とはみなされないのです」
それでも、心が躍るような日もあると、この幹部は付け加えます。「もっとも、その二つの間にはごく紙一重の境界線しかありませんが」
そして、企業とその顧客の安全を守ることは、この上なくやりがいのある挑戦でもあります。
「私たちのプラットフォームは、何千もの企業に利用されています」とこの幹部は語ります。「私は自分自身にも、そしてチームにも、それこそが本質なのだと常に言い聞かせています。私たち自身のためだけにやっているのではありません。これがどれほどやりがいのある挑戦であるかを意識すればするほど、この使命と目標が、より素晴らしいものに感じられるのです」
