AIが露呈させる、過去の脅威向けに作られたセキュリティ体制

企業各社はかつてないほどセキュリティへの投資を強化していますが、それでも根本的な問題に苦しんでいるところが少なくありません。明日訪れる危機に対し、昨日までの発想のまま備えようとしているのです。

何十年もの間、企業はセキュリティをきれいなカテゴリーに分けて組織してきました。サイバーセキュリティはネットワークを守り、物理セキュリティは施設と人員を守り、人事部門は人材の問題を管理し、法務部門はコンプライアンスを担当する——というように。それぞれの脅威がおおむね自分の領域内にとどまっていたからこそ、このモデルは機能していました。

しかし、もはやそうではありません。今日では、AIを利用したなりすまし、ディープフェイク、自動化されたソーシャルエンジニアリングが、デジタル・物理・運用の各環境をまたいで急速に広がるリスクを生み出しています。ディープフェイクによる電話が金融詐欺を可能にすることもあれば、経営幹部に対するオンライン上の脅威が物理的なセキュリティ上の懸念に発展することもあります。

最近実施されたEYの調査データによると、企業幹部および役員250名のうち、標的型の物理攻撃を検知する準備が最も整っていると感じている組織はわずか12%にとどまりました。このギャップを埋めるには、検知、抑止、予防、準備、対応、緩和、調査、復旧というあらゆる段階にわたって、事態がエスカレートするずっと前から統合的なアプローチを取ることが求められます。

脅威の変化は組織の対応より速い

AI主導の脅威についてよくある誤解の一つは、それらがまったく新しい種類のリスクであるという見方です。実際には、根底にある動機はおなじみのものです。詐欺師は依然として金銭を狙い、攻撃者は依然として機密情報を狙っています。変わったのは、その実行手法です。

私はフォレンジック会計と法執行の分野でキャリアを積んできましたが、その中で、犯罪の手口が単純な詐欺から複雑な国際的活動へと進化していく様子を目にしてきました。今日の実行手法は驚くほど巧妙化しており、特にリモート採用の分野で顕著です。国境を越えて活動する脅威グループは今や、ディープフェイクや盗まれたIDを駆使して、仮想的な人事採用プロセスを突破しています。

コンプライアンスや身元調査の部門がIT側のプロビジョニングと連携せずに個別に動いていると、セキュリティ確保済みの企業用ハードウェアを物理的に発送し、ネットワークアクセスをそのまま窃盗犯——あるいはそれ以上に、敵対的な国家勢力に手渡してしまう結果になりかねません。組織はこれに対抗するため、初日の段階から人事、サイバー面のプロビジョニング、物理資産のロジスティクスを橋渡しする、統一された機能横断的な検証パイプラインを構築することができます。

セキュリティチームは依然としてサイロ化している

脅威が相互に絡み合うようになっている一方で、多くのセキュリティプログラムは依然として分断されたままです。サイバーセキュリティ、物理セキュリティ、人事、法務といった各部門はそれぞれの役割を効果的に果たしているかもしれませんが、情報が部門間でシームレスに共有されていないとき、そこにリスクが生じます。

最近、私はある大企業の経営陣に対し、物理セキュリティチームとサイバーセキュリティチームの関係を規定する正式なプロセスは何かと尋ねてみました。

その答えは示唆に富むものでした。両チームは「良好な関係」を築いており「定期的にコミュニケーションを取っている」ものの、文書化されたプロセスや共有のエスカレーション手順、危機時における明確な役割分担は存在していなかったのです。

人間関係は重要ですが、それはセキュリティプログラムの代わりにはなりません。組織が主にインフォーマルなコミュニケーションに依存していると、対応の成否がその時々の個人の性格や都合に左右されてしまいます。企業オフィス付近での不穏なデモへの対応であれ、施設内での銃撃事件であれ、あるいは地政学的な紛争地域から500人の従業員、技術、知的財産を移動させるロジスティクス計画の策定であれ、状況は同じです。各部門が統合されたポリシーや共有ツールではなく、その場しのぎのやり取りに頼っていると、脅威の軽減に必要な貴重な時間と対応の柔軟性を失いかねません。

セキュリティの次なる進化は統合にある

この十年間、取締役会や経営陣はサイバーセキュリティに多額の投資を行ってきました。企業各社はセキュリティオペレーションセンターを構築し、ガバナンス体制を整え、インシデント対応計画を策定してきました。

この同じアプローチを、セキュリティおよび危機管理の機能全体にもっと広く適用すべきです。それには、サイバー脅威インテリジェンスと物理的脅威モニタリングの統合、CISO(最高情報セキュリティ責任者)とCSO(最高セキュリティ責任者)の間の連携強化、そして危機管理計画がより広範なリスクを考慮したものになっているかの確認が含まれます。

さらに、自動化された防御の中心には、依然として人間の専門知識を据えておくべきです。AIはデータの集約に極めて優れており、たとえばカメラ映像にツールセットを重ねて物理的な脅威を特定したり、解雇された従業員に関するソーシャルメディア上の急増を追跡したりすることができます。しかし、AIは幻覚(ハルシネーション)を起こします。重大な運用上の判断を下す前に、そのインテリジェンスをリアルタイムで評価できる、有能で資格を備えた人材が必要なのです。

最も大きな進歩を遂げている企業は、インシデント発生を待つ「イベント駆動型」の発想から、常に新たなリスクを評価し、事態がエスカレートする前に運用上の判断を下す「脅威駆動型」の発想へと移行しています。

セキュリティは中核的な業務責任

サイバーと物理の脅威が収束しつつあることを受け、組織はセキュリティ機能の在り方を見直すよう迫られています。組織のサイバーネットワークが侵害されれば、それは事業の存続に関わる問題です。しかし、物理セキュリティが破られた場合、その結果は取り返しのつかない悲劇になりかねません。

組織が将来に備えるために水晶玉は必要ありません。必要なのは、より強固な連携、より優れたコミュニケーション、そして今日の脅威が単一のカテゴリーにきれいに収まることはめったにないという明確な認識です。最も早く適応する企業は、シンプルな現実を認識しています。攻撃者はすでにデジタルと物理の両環境をまたいで活動しているのだから、セキュリティチームもそれに合わせて動く必要がある、ということです。

それはつまり、サイロを取り払い、より迅速で連携の取れた対応を可能にすることを意味します。そこでは知見がリアルタイムで共有され、遅滞なく判断が下されます。こうした環境において、スピードは単なる強みではなく、レジリエンスを確保するための中核的な要件なのです。