AIツール導入前に権限レビューを実施していない組織が大半

AIはその基盤となるデータの安全性が確認されるより早いペースで導入が進んでいることが、Syskitの新たな調査で明らかになりました。

9月10日に公開された最新のState of Microsoft 365 Governance Reportによると、セキュリティガバナンス企業Syskitは、英国と米国の組織の4分の3（76%）が、Microsoft 365データ上でCopilotなどのエンタープライズAIツールを導入または試験導入していることを明らかにしました。

これほど広く普及しているにもかかわらず、これらのツールを導入する前に権限とオーバーシェアリング（過剰共有）リスクの徹底的なレビューを完了していたと回答したのは、回答者のわずか43%にとどまりました。残りの回答者は、部分的なレビューしか実施していない、またはまったく実施していないと認めています。

さらに調査では、AIエージェントに対する管理体制が、それに対する自信の高さに大きく後れを取っている実態も明らかになりました。どのエージェントが稼働中で、それらがどこまでアクセスできるかを把握していると自信を持って答えた回答者は91%に上る一方で、AIエージェントがアクセスできる範囲を定めた正式なポリシーを持っていると回答したのはわずか22%でした。また、10人に1人（9%）は、エージェントを導入した人物の権限をそのまま引き継がせていると答えています。

SyskitのCEOであるToni Frankola氏は、AIエージェントの登場により、これまで機密ファイルへの偶発的なアクセスを抑制していた摩擦要因が取り除かれたと述べています。Copilotなどのaiツールは、既存の権限設定に基づいてコンテンツを表示できるため、数年前に広範囲に共有されたまま以降一度も見直されていないファイルやサイトまでも表示対象になり得るといいます。

「このデータで際立っているのは、AIを稼働させる前に、それが実際に何にアクセスできるのかを確認できている組織がいかに少ないか、そしてそれを調べるために予算を割く計画を持つ組織はさらに少ないという点です。権限のレビューは地味な作業ですが、それこそがAI導入の安全性を左右する決定的な要因になっています」と同氏は付け加えています。

Microsoft 365の権限管理に残る組織の脆弱性

その他の調査結果からも、Microsoft 365全体における設定ミスや権限管理の不備が、依然として多くの組織で蔓延している実態が浮かび上がりました。

このリスクは権限モデルそのものに組み込まれており、41%の組織がSharePointサイトを制限なく全従業員がアクセスできる状態にしているほか、35%の回答者が退職した従業員のファイルが現役の従業員から引き続きアクセス可能な状態にあると認め、33%が「全員」に共有されたファイルがあると回答しています。

ガバナンス上の最大の課題は、責任を持つ所有者が存在しないコンテンツです。約半数（47%）が、所有者不明のチーム、グループ、サイトを主要な懸念事項として挙げています。所有者が積極的に管理していないコンテンツはレビューや削除、保護が行われにくい一方で、AIツールは他のコンテンツと同じ権限でそれらにアクセスできてしまいます。

また、組織は自社のアクセス制御について、実際に証明できる能力以上の自信を抱いている傾向も見られます。83%が、機密データに誰がいつアクセスできるかを正確に把握していると回答した一方で、外部監査人向けに1時間以内に完全なアクセスレポートを作成できると答えたのはわずか4%でした。過半数（55%）は、1日以上を要すると回答しています。

全体として、組織の9割（90%）が、過去2年間に設定ミスや過剰な権限付与に起因するセキュリティインシデントを経験した、またはその疑いがあると回答しており、39%はそれを実際に確認したと答えています。