説明責任、監督、そしてAI:マイクロソフトのセキュリティ変革の内側

過去10年間に相次いだ大規模なサイバー攻撃を経て、マイクロソフトはセキュリティ文化を立て直す新たな取り組みが成果を上げつつあると述べています。

これほどの規模の企業であれば防げたはずだという期待が裏切られる形となった一連のつまずきは、同社をサイバーセキュリティ業界の格好の標的にしてきました。2022年には、10代の若者らで構成されるサイバー犯罪集団LAPSUS$が同社のシステムに侵入しました。2023年には、ロシアと中国双方の工作員が別々の事案でマイクロソフトをハッキングし、それぞれの事案で国務省をはじめとする顧客から貴重な情報を盗み出しました。中国によるハッキングを受け、連邦のレビュー委員会はマイクロソフトの緩いセキュリティ対策を厳しく批判しました。2020年に発生したロシアによるSolarWindsのスパイ活動キャンペーンでさえ、マイクロソフトの価格設定の在り方をめぐって反発を招きました。専門家や議員らは、まもなく政府がマイクロソフトに依存していることが重大なセキュリティリスクをもたらしているという、数十年前から指摘されてきた警告を改めて持ち出すようになりました。

こうした被害の拡大を食い止めるため、マイクロソフトは2023年11月に「Secure Future Initiative」を立ち上げ、ソフトウェアの開発方法とセキュリティ確保の在り方を全面的に見直すと誓いました。それ以降、同社は企業文化と技術面での変化を記録した進捗報告書を公表しており、これによって再び大規模な失敗が起きるリスクを減らせるとしています。

マイクロソフトは、従業員のサイバーセキュリティへの向き合い方を根本的に変革できたと考えています。先週、ワシントン州レドモンドにあるマイクロソフト本社で行われたインタビューで、同社の幹部らはCybersecurity Diveの取材に対し、SFIによって、マイクロソフトが経験した最も屈辱的な侵害の原因となっていた社内の軋轢の多くが解消されたと語りました。

「私たちの事業運営や製品は安全でなければなりません。それこそが顧客からの信頼を得る方法だからです」と、同イニシアチブのディレクターを務めるハマド・ラジューブ氏は述べています。「製品や機能、能力を出荷するためにやるべきことはやらなければなりませんが、その観点からすると、セキュリティはほぼ交渉の余地がないものになっています」

サイバーセキュリティ文化と説明責任

サイバーセキュリティの向上には全社的な合意が必要ですが、マイクロソフトほど大規模な組織になると、セキュリティ最優先という新たな考え方がもたらす具体的な変化に賛同しないエンジニアやマネージャーが一定数出てくるのは避けられません。

「核心にある緊張関係は、スピードと保証のせめぎ合いです」と、The Futurum Groupでサイバーセキュリティおよびレジリエンスの実務部門を率いるバイスプレジデント、フェルナンド・モンテネグロ氏は述べています。「出荷日程や市場からの圧力、そして今ではAI機能を出荷するための競争までもが、セキュリティのために歩みを緩めることに逆行する方向に働いています」

こうした圧力に対抗するため、SFIを率いるチームはマイクロソフトの企業文化を変えることに力を注いできました。

「これは何よりもまず、説明責任をめぐる対話です」とラジューブ氏は語ります。「私たちには依然として、こうした困難な課題に取り組む人間がいて、その仕事を動かす動機や課題があります。だからこそ、文化というものが非常に、非常に、非常に大きな部分を占めているのです」

ラジューブ氏をはじめとするマイクロソフトの関係者は、サティア・ナデラCEOが発した、常にセキュリティを優先する側に倒すべきだという指示を真っ先に引き合いに出します。

あるマイクロソフトの経営幹部合宿では、コーポレートバイスプレジデントの一人が、より優れたセキュリティにリソースを割くことと、顧客が待ち望んでいる機能の展開にリソースを割くこととの間のトレードオフについて、ナデラ氏に不満を漏らしたことがありました。

ラジューブ氏によれば、「サティアは一切ためらうことなく、『何よりもまずセキュリティを優先しろ』と言いました」とのことです。

「あなたのCEOが、これが最優先事項だと言い、それを繰り返し何度も伝え続けるとき」とラジューブ氏は付け加えます。「それが行動の変化を促すのです」

業界を外から見るアナリストたちも、その違いを感じ取っています。モンテネグロ氏は「SFIの取り組みは実際に成果を上げているように見える」と述べています。

マイクロソフト社内では、Windows、Azure、Microsoft 365といった主要事業ラインごとの副CISOで構成されるサイバーセキュリティ・ガバナンス評議会が定期的に会合を開き、セキュリティを重視するために必要なトレードオフを管理する最善の方法について協議しています。

「『どの機能を出荷するのか、優先順位付けはどうなっているのか』について活発にレビューし議論する場があります」とラジューブ氏は述べています。

組織図をさらに下った現場レベルでは、従業員はこのバランスをどう取っているかによって評価されます。

「自分が下す判断について責任を問われますし、セキュリティは最優先事項です」とラジューブ氏は語ります。「『おい、Yを修正しなければならないからXは出荷できない』という活発な議論につながるのか。もちろんです。しょっちゅう起きています」

セキュリティ推進に抵抗する頑固な従業員が出てくる可能性を減らすため、マイクロソフトはこれを年次評価の一部に組み込み、ナデラ氏の指示への準拠度合いを昇進や昇給といった結果に結びつけました。現在では、あらゆる人事評価面談に、その従業員がマイクロソフトおよびその顧客のセキュリティにどう貢献したかについての議論が含まれています。

「マーケティング、エンジニアリング、インシデント対応、営業のどこに所属していようと関係ありません」とラジューブ氏は述べています。「問われる内容は同じです……全員が、セキュリティを優先することを確実にするインセンティブを与えられています。なぜなら、評価面談になれば『あなたはセキュリティを前進させるために何をしましたか』と必ず聞かれるからです」

マイクロソフトのエンジニアたちも、これに前向きに反応しています。同社の2026年7月のSFI進捗報告書によれば、サイバーセキュリティ推進に関する従業員の平均満足度スコアは88%に達しています。

「開発者たちの満足度が上向いているのが見て取れます」とラジューブ氏は述べています。「彼らは何よりもセキュリティを可能にし優先することに前向きな気持ちを抱いています。なぜなら、その結果として……顧客にとってより良い成果につながることを実感しているからです」

Forresterでセキュリティおよびリスク分野のバイスプレジデント兼リサーチディレクターを務めるメリット・マキシム氏は、SFIの進捗報告書に記録されている、アイデンティティ検証からデバイス管理に至るまでの変化は「マイクロソフトのエコシステム全体でセキュリティを向上させている」と述べています。ただし同氏は、マイクロソフトが「特にAIをめぐる緊急性によって、注目が薄れた途端にひそかに[セキュリティの]規律が損なわれる」リスクに備える必要があるとも付け加えています。

Forresterでプリンシパルセキュリティ・リスクアナリストを務めるアリー・メレン氏も、同様の警鐘を鳴らしています。

「これまでに行われた変更には価値があり、マイクロソフト製品の安全性向上に役立つでしょう」と同氏は述べています。「しかし、真に長期的なインパクトを持つには、こうした変更が今後も定着し、時間とともに改善され続ける必要があります」

「左方向へのシフト」

Windowsは間違いなくマイクロソフトの看板製品であり、ハッカーが最も標的にする製品でもあります。このオペレーティングシステムをより良く保護するため、マイクロソフトはセキュリティ専門家による開発監督の方法を全面的に見直しました。

Windows Security担当コーポレートバイスプレジデントのダナ・ファン氏は、「設計段階でセキュリティエンジニアの承認を必ず得なければならない重要な領域については、左方向へシフトを進めています」とし、「セキュリティエンジニアを非常に早い段階から本当の意味で関与させています」と述べています。

従来のソフトウェア開発モデルでは、セキュリティが後回しにされやすい状況でした。開発者はファザーなどの自動化ツールを実行してコードの健全性を確認し、その後、製品発表の1週間前になってからセキュリティチームに電話をかけ、ファン氏の言葉を借りれば「チェックボックスをくれ」と言うのが常でした。しかし時間が経つにつれ、サイバーセキュリティのインシデントやプライバシー問題が明るみに出て、自動化ツールでは検知できなかった問題が浮き彫りになっていきました。

「そこから得られた教訓の一つは、私たちの関与が遅すぎたということです」とファン氏は述べています。「[開発者の間には]『それは問題だとは思わない』という狭い見方があり、そこに私のセキュリティエンジニアが目を通すと[こう言うのです]、『いや、問題がある』と」

現在のWindows開発の規模は、ファン氏の左方向シフトの取り組みをはるかに凌駕しています。ファン氏によれば、Windows部門には7,000人の従業員が在籍し、そのうち5,000人がエンジニアである一方、同氏のセキュリティエンジニアリングチームは「十数人」にすぎません。とはいえ同氏は、Windowsのセキュリティ監督への「投資を増やしている」とも付け加えています。

ファン氏のチームは野心を抑えるべきだと、モンテネグロ氏は主張しています。「十数人で5,000人分の仕事を検証することはできませんし、そもそも試みるべきではありません」と同氏は述べています。「彼らの仕事は、[開発者]チームが引き継ぐ基準やツール、安全なデフォルト設定を構築することです。難しく、かつ継続的な課題は、各チームがその成果を活用する仕組みを作ることであり、セキュリティをそこに丸投げさせないようにする組織的なインセンティブや構造を形作ることです」

ファン氏は、自身のセキュリティ専門家チームがマイクロソフトの事業のうち「3つの主要領域」を適切に監督できると考えており、その最優先事項の一つがエージェント型AI技術です。

「エージェントの基盤レイヤーを構築しているチームには、専任のプリンシパルレベルのセキュリティエンジニアを関与させています」と同氏は述べています。「個々のエージェントすべてを見る必要はありません。しかし、そうしたエージェントはいずれも何らかのプラットフォームの上に構築されることになります」

サイバーセキュリティの観点から見て、エージェント型AIは「私たちが本当に注視している領域です」と同氏は述べています。

Forresterのマキシム氏は、AI分野の専門家が現在不足しているため、マイクロソフトがAIセキュリティを監督することは特に困難だと指摘しています。

「AI関連職種の給与や報酬水準によって、既存スタッフの維持や新規人材の採用が難しくなり得るため、人材の定着は本当に大きな課題になります」とマキシム氏は述べています。「AI特有のスキルを身につける人が増えるにつれて、これは時間とともに改善していくでしょうが、多くの企業が今まさに苦労している課題です」

ファン氏は、マイクロソフトが最近犯した失敗についても認めており、その一つが、ユーザーがコンピューター上で行うあらゆる操作を記録する不評だった「Recall」機能でした。

「大企業では、誰もが何かを成し遂げようとする中で、結果として、うまく整合が取れていなかったり、連携が不十分だったりすることをやってしまう場合があります」と同氏は述べています。「セキュリティの観点からは、そうした[失敗]のいくつかから確かに教訓を得ました」

ファン氏や、他のマイクロソフト製品を監督する同氏の同僚たちは、終わりのないコードの海を精査するという大きな課題に依然として直面しています。Secure Future Initiativeがどれほどの成果を上げていようとも、マイクロソフト製品の複雑さゆえに、研究者たちは絶えず新たな欠陥を発見し続けています。この5カ月だけを見ても、マイクロソフトは公表を行い少なくとも5件の深刻な脆弱性を、コラボレーションプラットフォームであるSharePointにおいて明らかにしています。

朗報としては、セキュリティ最優先の文化を強化するために活用できるインセンティブが存在するということです。例えば、本番環境でバグがどれだけ早く修正されるかを追跡する平均修復時間(MTTR)や、テスト・プレリリース段階と本番ソフトウェアそれぞれで検出される脆弱性の件数を追跡する仕組みなどです。

Forresterのマキシム氏は、マイクロソフトがリスク管理をソフトウェア開発の中核部分として位置づけ、後回しにしないようにする必要があると述べています。

同社はまた、エンジニアが脆弱性をどれだけ早く修正するか、そしてリリース前にそのうちどれだけを検出できているかを追跡するといった、セキュリティを後押しするインセンティブも活用できると同氏は付け加えています。

AIスキャンによる後押し

開発者とセキュリティ専門家との間の新たな協議に加え、マイクロソフトはソフトウェアの脆弱性を特定するための新技術の展開も進めています。5月には、MDASHと呼ばれる複数のLLMを組み合わせたエージェント型コードスキャナーの導入を発表し、TCP/IPネットワークスタックといったWindowsコンポーネントの中で、すでに深刻なリモートコード実行の脆弱性を発見済みだとしています。

セキュリティ研究担当バイスプレジデントのテソー・キム氏によれば、このTCP/IPの脆弱性はマイクロソフト社内の開発者たちに衝撃を与えたといいます。同氏は、自身のチームが優勝を果たしたDARPAのAI脆弱性発見コンペティションから間もなく、マイクロソフトに加わりました。

「誰もが[TCP/IPの欠陥が本物だとは]信じていませんでした。『おい、このコードは極めて安定しているし、もう何度も監査済みだ』というわけです」とキム氏は述べています。「しかし私たちはMDASHを使って、こうした脆弱性をすべて発見し、事前に対処しました」

MDASHは現在、「私たちが出荷しているものだけでなく、現に開発を進めているもの」も常時スキャンしているとラジューブ氏は述べ、「セキュリティ基準を満たさない限り、コードを出荷できないようにする強制の仕組みが整っています」と付け加えています。

マイクロソフトはまた、LinuxカーネルやFFmpegを含む、自社製品が利用するオープンソースパッケージのスキャンにもMDASHを活用しています。これらは世界で最も厳しく精査されてきたパッケージの一部であるにもかかわらず、MDASHは依然としてその中に脆弱性を発見しているとキム氏は述べています。

マイクロソフトはさらに、顧客が自社のコードリポジトリをスキャンできるよう、MDASHの顧客向け販売も開始しています。

安全なデフォルト設定の徹底

サイバーセキュリティ推進の一環として、マイクロソフトはこれまで任意だった保護機能の使用を顧客に義務付け始めています。中でも特に注目されるのは、2024年10月に同社がAzureクラウドコンピューティングプラットフォームで多要素認証の義務化を開始したことです。

マイクロソフトの経営陣は、過度な要件が事業に悪影響を及ぼしかねないことを念頭に置きながら、MFA義務化をはじめとするセキュリティのデフォルト設定への移行について慎重に検討を重ねました。

「私たちはその中間点を見つけなければなりません」とラジューブ氏は述べています。

Azure MFA義務化に至るまでの過程では、「顧客のワークフローを壊したくない」という「大きな議論」があり、段階的なアプローチを取るという判断につながったと同氏は述べています。新規アカウントは即座にMFAを使用する必要がある一方、既存アカウントには移行期間が設けられました。

その他のセキュリティ重視の変更には、リスクをもたらしかねない機能をデフォルトでオフにするというものがあります。すべての組織があらゆる機能を必要としているわけではなく、一部の機能は有効化されたまま保護されていない場合にのみ顧客にリスクをもたらすものもあります。時間の経過とともに、マイクロソフトは特定の機能をデフォルトで無効化しつつ、「特定のニーズがあり、十分な保護策を備えている場合には『オン』に切り替えられるようにする」ことが可能だと分かったとファン氏は述べています。

顧客がそうした機能への関心を示した場合、「私たちは顧客と協力し、『こうした危険な機能から離れるか、それとも自分たちが何をしているか分かっていることを示すポリシーやガードレール設定を用意するか』のどちらかを求めます」と同氏は付け加えています。