イノベーションをブロックするとシャドーITが生まれる。適切に管理すれば、最強のセキュリティ管理策になる。
セキュリティリーダーの役割は変わった。かつてはリスク低減と基本機能の維持で十分だったが、今はAI導入の推進、ネットワークへのデバイス接続、クラウドの高速モダン化、そして明確な露出低減が求められている。予算拡大の余地がないことがほとんどだ。
そのような環境では、イノベーションは「あると良い」ものではなく、セキュリティ管理策なのだ。適切に統治されたイノベーションはリスクを低減し、レジリエンスを向上させ、従業員を保護し、ビジネス成果を加速させる。管理されないイノベーションはシャドーIT、ツールの乱立、インシデント時の被害範囲を拡大する脆弱なアーキテクチャになってしまう。
解決策はツール、プロセス、会議をただ増やすことではない。イノベーションに規律をもたらし、実験が安全で反復可能、かつ結果志向になるようにすることだ。CSO編集後記でマルコ・トゥーリオ・モラエスが最近述べたように、『規律はサイバーセキュリティリーダーシップにおける新たなパワームーブだ』と同時に、本当のパワームーブはしばしば不要なものを削除し、ただ管理策を追加するのではなく、実際にリスクを低減するものに焦点を当てることなのだ。
以下は、イノベーションを露出なく活かすための実践的フレームワークである。CISOが既に責任を負っている4つの成果に基づいている：運用能力、セキュリティ優位性、リスク封じ込め、ビジネススピード。
イノベーションでバーンアウトを減らす。余分な仕事を増やさない。
バーンアウトはウェルネスの脚注ではない。運用上のリスクなのだ。疲弊したアナリストはコンテキストを見落とす。やる気をなくしたエンジニアはイテレーションを止める。過労のインシデント対応者は受動的で壊れやすくなる。時間とともに、検出品質は低下し、平均復旧時間は増加し、人員流出が増加する。失われるのは人材だけではなく、組織的記憶と一貫性なのだ。2025年ISC2サイバーセキュリティ人材調査では、回答者の約半数（48%）が最新の脅威と新興技術の動向を把握しようとしていることに疲れを感じており、47%は期待されるワークロードに圧倒されることが多いと感じていることが判明した。
イノベーションはCISOがこれに対抗するための最も効果的なツールの1つだが、それは面倒な作業の排除を目的とした場合のみだ。
1つのぶっきらぼうな質問から始めよう：どこで判断が無駄になっているのか？
チームがエビデンスをチケットにコピーしたり、アセットオーナーを追跡したり、アラートを手動で強化したり、同じトリアージステップを繰り返したり、レポートを手作業で作成することに相当な時間を費やしている場合、最初のイノベーションバックログが見つかったということだ。日常業務を自動化し、反復可能な作業を標準化し、推論を必要とするタスクに人間の注意を予約しよう。
次にイノベーションを能力アクセラレータにし、気を散らす要因ではなくしよう。
自分たちの領域内にあり、運用上の終点を持つ意味のある改善の所有権を人々に与えよう。例を挙げると：
- 検出エンジニアが「検出即ちコード」パターンとテストハーネスを所有する
- 脅威ハンターがテレメトリー品質の向上とクエリの最適化を所有する
- インシデント対応者がテーブルトップイテレーションとランブック強化を所有する
- クラウドセキュリティリードがガードレール付きランディングゾーン強化を所有する
重要な制約はこれだ：すべての実験には終了計画が必要だ。サポートされた機能になるか、きれいに廃止されるかのどちらかである。サポートされないパイロットが「イノベーション債」と隠れたサポート負担に変わるほど、チームを迅速に消耗させるものはない。
AI時代には、慎重にイノベーションしないことの方がリスクになった
AIは攻撃のエコノミクスをシフトさせた。攻撃者は偵察のスケール化、ソーシャルエンジニアリングのカスタマイズ、亜種の生成、機能開発の加速を以前よりはるかに少ない労力で行うことができるようになった。変化がゆっくりだった時代に機能した防御態勢は通用しなくなる。公開情報は既にこのシフトを強調しており、ユーロポルのChatGPT – 大言語モデルが法執行に及ぼす影響を含み、LLMsがいかに詐欺、なりすまし、ソーシャルエンジニアリングを大規模で加速させるかを概説している。
正解は『どこにでもAI』ではなく、『新しい盲点を作らずにリスク方程式を変える場所にAI』だ。
うまく使えば、AI対応イノベーションは判断までの時間を短縮し、防御的なイテレーション速度を向上させることができる：
- コンテキストを要約し、シグナルを相関させ、次の調査ステップを提案することでより迅速なトリアージ
- クエリを生成し、ログフォーマットを解析し、テストケースを作成することで検出エンジニアリングを加速させる
- 紫色のチーミング用に現実的な攻撃者エミュレーション亜種を生成することで準備をさせる
- チームがプレッシャー下でより明確なインシデント通信と意思決定ログを作成するのを支援することでレジリエンスを向上させる
明らかな警告も本当である。AIは間違うことができる。操作されることができる。データ境界が弱い場合、機密情報を漏らすことができる。AIはその他の高影響度コンポーネントと同様に扱うべきである：スコープ、テスト、管理。
ここでのセキュア・バイ・デザイン原則はシンプルだ：
- デフォルトでは、モデルに提供するデータを最小化する
- ユーザーを監視されていない代替手段に追いやるブランケット制限ではなく、モデルに提供するデータに対して文脈認識的で均衡の取れたコントロールを適用する（これは現在シャドーAIの台頭で展開している動的）
- 安全性と反復可能性を証明するまで、高影響度アクション用に人間をループに保つ
- プロンプト、入力、意思決定の根拠を含む出力を監査可能にする
- 敵対的AI使用法リスクを一流の脅威として扱う。プロンプトインジェクションとデータ漏洩経路を含む（OWASP LLM Top 10でキャプチャ）
- 可能な敵対的AI手法を自分のコントロールとテストにマッピングするために共有分類法を使用する（例：MITRE ATLAS）
- サードパーティプラットフォームを使用する場合、モデルの由来、リテンション、コントロールに関するサプライヤーの透明性を要求する
スタートポイントが必要な場合、NISTのAIリスク管理フレームワーク（AI RMF 1.0）とそのコンパニオンである生成型AIプロフィールは、AIリスクを管理、マッピング、測定、管理するための実践的な構造を提供する。
言い換えれば、リスクは『AIを使う』ことではない。設計規律なしにAIを使うことがリスクなのだ。露出なくイノベーションするとは、現代的なツーリングに適用されたその規律そのものなのだ。
実験のための安全な滑走路を構築し、AI、IoT、クラウドに対してセキュア・バイ・デザインにしよう
ほとんどの組織はイノベーションに2つの方法で失敗する。それをブロックするため、ビジネスはセキュリティを回避する。または、それを拡大させ、管理されないパイロットとベンダー増殖により露出を生み出す。第3の道がある：設計によって有効にし、速度を保つのに十分な不可視性を持つが、データが流出するのを防ぐのに十分インテリジェントなコントロール。
代替案は安全な滑走路だ：実験を簡単にしながら新しい露出を難しくする反復可能な運用モデル。
ここでセキュア・バイ・デザインが実践的になり、哲学的ではなくなる。標準的で事前承認され、チームの構築方法に組み込まれたガードレールを定義することを意味する。
AIの場合、あなたの滑走路はガバナンスと境界だ。
- どのデータクラスがどのAIユースケースに許可されているか
- 使用する前に何が編集または要約される必要があるか
- 何がログされ、保持され、どこに保持されるか
- セキュリティテストとレッドチームシナリオを含むモデルをどのように評価するか
- AIが助言できる場所対AIが行動できる場所
- あなたが許可したツールだけでなく、あなたの人々が実際に使用するAIツールへの可視性。アプリケーションの一握りをブロックすることは、長いテールシャドーAI使用を防ぐことはできないから
IoTの場合、あなたの滑走路はライフサイクル管理とセグメンテーションだ。デバイス機能に対する「セキュア・バイ・デザイン」要件をアンカーするための有用なベースラインはNISTIR 8259A（IoTデバイスサイバーセキュリティ機能コアベースライン）だ。
- エンハンスメントではなくベースラインとしてのデバイスアイデンティティと認証
- 安全なアップデートメカニズム、ファームウェア整合性、信頼を取り消す能力
- 侵害が不可避だと想定するネットワークセグメンテーション
- 現在を保つしモニタリングに給仕するアセットインベントリ
- 管理されないデバイスが永久的な負債になるため、ライフエンド計画
クラウドの場合、あなたの滑走路はガードレール付きアーキテクチャだ。それらのガードレールを認識されたコントロールにマッピングするための実践的な参照ポイントはCloud Security Alliance Cloud Controls Matrix（CCM）v4.1だ。
- アイデンティティ、ロギング、ネットワーク境界を強制する標準ランディングゾーン
- ドリフトを防ぎ、スピードで誤構成を防ぐポリシー・アズ・コードゲート
- 機密情報、キー、危険な構成が配送されるのを防ぐセキュアなCI/CDパスウェイ
- チームが分離して新しいパターンを発明するのではなくコピーできる「ゴールデンパス」テンプレート
これらのガードレールが存在する場合、ガバナンスはビジネスが必要とするスピードで進む。もはやすべてのプロジェクトで基本を交渉することはない。『このユースケースは私たちの滑走路の範囲内にあるのか、スケール化を安全にするコントロールを持っているのか？』と尋ねているのだ。
これがイノベーション段階に埋め込まれたサイバーリーダーシップが実践においてどのように見えるかだ。すべての会議に参加することではない。リスクがロックされる前に組織が使用する設計パターンと意思決定フレームワークを所有することだ。
摩擦を減らすためにイノベーションする。摩擦がシャドーITと長期的な露出を生むから。
エンタープライズ露出の大部分は行動的であり、悪意的ではない。セキュアな選択が遅い、不明確、または利用できない場合、チームはリスクを取る。セキュリティが利用可能な代替案を提供せずに摩擦を生じさせるたびに、ビジネスは回避策を発明する。それはシャドーITが「単なる仕事の進め方」になる方法だ。GenAIは今日最も目に見える例だ：ChatGPTを禁止すると、従業員はあまり知られていないツールや個人アカウントに移動し、コントロールと認識の両方を失う（未認可のAI使用の増加が見られている）。
ビジネス成果に整合したイノベーションは、ユーザビリティによる露出低減だ。
ここでCISOはプラットフォームリーダーのように行動すべきだ：
- キューを削減するセルフサービスセキュリティ機能を構築する。標準化されたシークレット管理、承認されたアイデンティティパターン、再利用可能なロギングパイプラインなど
- デリバリーチーム用のゴールデンパスを公開し、セキュアなルートが最速のルートになるようにする
- ツーリングを合理化する。重複するツールは運用負荷を増加させ、シグナル品質を低下させるから
- 採用を測定する。使用されないコントロールはコントロールではないから
目標はガバナンスを削除することではない。セキュア・バイ・デザインが組織のデフォルト動作になるように、不要な摩擦を削除することが目標だ。
規律のオーバーレイ：イノベーションをポートフォリオのように実行し、何が成果を変えるかを証明する
露出なくイノベーションするには1つの層が必要だ：測定と優先順位付けの規律。これはセキュア・バイ・デザインとセキュア・バイ・デフォルト責任度のための業界全体のプッシュを反映し、CISAのSecure by Designプレッジを含む（CSOシニアライターのジョン・ゴールドが『CISAが68の技術ベンダーにセキュア・バイ・デザイン契約を調印—しかし効果があるか？』で要約）。
イノベーションをリスク低減投資ポートフォリオのように扱う：
- 保護しているビジネス成果を定義する（市場投入までの時間、稼働時間、詐欺損失、顧客信頼、規制態勢）
- シフトしているセキュリティ成果を定義する（攻撃面積低減、検出カバレッジ、対応速度、被害範囲封じ込め）
- 改善している運用成果を定義する（面倒な作業削減、誤検知削減、優先順位付けの向上、オンコール健全性）
その後、何が変わったかを測定する。これらのメトリクスに動きを示すことができない場合、進歩ではなく活動がある。
始めるためのシンプルな90日計画：
1日目から30日目：滑走路を確立する
- セキュリティ運用とエンジニアリングワークフローの面倒な作業とバーンアウト信号を定量化する
- データ境界、アイデンティティ、ロギング、セグメンテーションを含むAI、IoT、クラウドの標準ガードレールを定義する
- チームが再利用できる2つか3つのゴールデンパターンを公開する
- 設計リスクに早期に焦点を当て、遅期の承認ではなく、隔週のイノベーション審査を設定する
31日目から60日目：明確な終了基準を持つ2つのパイロットを実行する
- パイロット1：運用ワークフロー内の面倒な作業を削除し、チームに返された時間を測定する
- パイロット2：新興技術のセキュア・バイ・デザインパイロット。たとえば、厳密なデータ境界を持つAIアシスタント、IoTセグメンテーションモデル、またはクラウドポリシー・アズ・コードゲート
61日目から90日目：運用化、合理化、標準化
- 機能したものをサポートされたプラットフォームパターンと文書化された標準に変える
- 機能しなかったものを廃止し、イノベーション債を回避する
- キュー健全性と対応時間のような運用成果と並んで、ゴールデンパスの採用と例外削減を測定する
結論
イノベーションは既にあなたの組織で起きている。唯一の質問は、それがあなたのガードレール内で、ビジネス成果に整合して起きるのか、それとも露出になる影の中で起きるのかだ。
CISOの場合、リーダーシップの動きは規律のあるイノベーションだ：面倒な作業を削除して人々を保護し、AI対応の攻撃に追いつき、AI、IoT、クラウドに最初からセキュア・バイ・デザイン原則を組み込み、ビジネスがセキュリティを回避しないように摩擦を減らす。それを一貫して行えば、イノベーションはあなたの最大のリスクではなく、最強のコントロールの1つになる。先頭に出ている組織は、GenAIを大規模で安全に使用できるようにした組織であり、次のポリシーレビューサイクルのスピードではなく、従業員のスピードで動くコントロールを持っている。
この記事はFoundry Expert Contributor Networkの一部として公開されています。
参加したいですか？
