AIによる価値創出を加速するために、サイバーセキュリティはどう進化すべきか？

セキュアクリエイターが実践している、特に注⽬すべき効果的で適応性に優れたサイバーセキュリティ対策の1つは、サイバーセキュリティ機能へのAIの活用です。セキュアクリエイターの62％がAIや機械学習（ML）を使⽤しているか、または導⼊の最終段階にある⼀⽅で、他の組織では45％にとどまります。

サイバーセキュリティにおけるAIの活⽤は特に⽬新しいものではなく、1980年代までさかのぼることができます。EYの分析では、2015年以降、AI関連のサイバーセキュリティ研究、特許、投資が急増しています。AIに関連する割合は現在、全サイバーセキュリティ特許の59％を占め、2017年以降サイバーセキュリティ研究で最も取り上げられた技術となっています。

現在、セキュアクリエイターは新しい⽅法でAIをセキュリティインシデント・脆弱性の検知、対応、復旧プロセスへ組み込むことにより、規制や使⽤ポリシーに縛られずにAIを駆使し攻撃をしかける敵に対して先⼿を打つことができています。

企業内データを迅速に分析することで、AIはさまざまな攻撃パターンや新しい攻撃⼿法を⾃動的に検出することができます。適切なアーキテクチャを備えることで、ITおよびOTシステム全体の既存のサイバーセキュリティ対策にAIを組み込むことが可能になり、⼈間よりも迅速にインシデントを検知することができます。

ディープラーニング（深層学習）とニューラルネットワークの進歩により、従来以上の⼤規模で異種混合のデータセットをリアルタイムで解析できるようになりました。⾃⼰学習能⼒の向上により⾃動化が加速し、サイバーセキュリティ部門はネットワークやアプリケーションを継続的に監視し、ほぼリアルタイムで脅威を検知・予測し、インシデントに対し迅速に対応できるようになりました。ディープラーニングにより、サイバーセキュリティ対策の精度と効率も向上します。69の調査研究のメタ分析によると、スパム、マルウェア、ネットワーク侵⼊の検出精度は平均92%以上でした²。

Australia and New Zealand Banking Group Limited（ANZ銀⾏）のセキュリティオペレーション、インテリジェンス、インフルエンス部⾨のグローバル責任者であるGajan Ananthapavan⽒は、同部門で対応しているインシデントレスポンスの約30％が⾃動化されており、これは主にMLとAIによるものだと述べました。 「私たちは、当行の環境全体における潜在的なセキュリティイベントやインシデントの監視、検出、対応の⼀環として、毎⽇100億以上のデータイベントを取り込んでいます」とAnanthapavan⽒は⾔います。

「MLとAIなくして、これほど大量の処理は不可能でしょう」北⽶の⼤⼿資産管理会社のあるCISOは、同社が平均的な検出までにかかった時間およびレスポンスタイムを少なくとも従来比50％削減できたと述べています。2023年の調査データによると、セキュアクリエイターは、データ侵害の検出および対応にかかった日数にして平均150⽇以上の早期化ができました。

AIは、従来と同じかそれより少ないリソースでサイバーセキュリティ部門が業務効率を上げられるよう⽀援します。こうした少ないリソースでより多くの作業をこなせることは、財務担当者（CFO）も満⾜させることができます。 EYの初期の分析によれば、サイバー防御におけるAIによる効率性の向上は、15％から40％に達するとされています。「⾃動化や⽣成AIの恩恵を受けるには、まず技術的対策の変⾰が必要です。壊れたプロセスを⾃動化しようとしても意味がありません。」とBupa社のグループCISOが指摘しているように、業務効率を最⼤化するためには、CISO はまず複雑さを軽減し、既存のサイバーセキュリティインフラを統合することが必要です。

CISOの取るべき行動：

• 自動化の範囲を拡大する: サイバーセキュリティ部門が自動化できるタスクについて詳細を精査し、説明責任と適切な閾値に注意を払いつつ、人のインサイトに最も頼るべき領域を検討します。ベンダー製品の自動化能力を評価し、対象ベンダーが連携するパートナーのソフトウエア製品機能の実装を、自動化機能を自社でカスタマイズすることよりも優先すべきです。
• 企業全体の視点でサイバーセキュリティとAIを評価する： これには、企業環境、工場、現場レベルの資産が含まれます。
• 脅威の検知・復旧におけるAIの新たな適用方法について常に最新情報を入手する： EYのトピッククラスター分析によると、確固とした傾向がまだ明らかではないものの、脅威の検知・復旧へのAI適用に関する研究や問い合わせが活発化されています。復旧計画、インシデントレポートの分析、ゼロデイ攻撃の防止などでのAI適用について、今後注視すべきです。
• データを追う：サイバーデータが密集している領域では、最も大きなAIとMLへの投資効果が期待できます。ID管理、脅威と脆弱性、セキュリティ・オペレーションなど、大規模データの管理が困難な領域に重点を置きましょう。
• 再利用を前提として構築する： 一定の機能をサイバーセキュリティ部門内および組織全体で幅広く適用できます。導入プロセスや開発作業を一元管理することで、開発と保守の重複を避けることができます。例えば、イベント、インシデント、脅威、リスク、脆弱性、その他あらゆる復旧活動の重要性・緊急性を文脈に基づいて優先順位付けする手順を標準化し、一度構築すれば、その後何度でも再利用できます。
• 攻撃・脅威を自動検出してブロック（キャッチ・アンド・ブロック）し、人がレビューして解除（レビュー・アンド・リリース）する： 煩わしくエラーが発生しやすい攻撃・脅威を「検出して、ブロックする」大量のタスクをAIで自動化し、次にサイバーセキュリティ専門家の判断と承認によりブロックされたアイテムを「レビューして、問題がなければ解除する」ためのイベントを選別・編集するモデルを導入すべきです。
  

企業が全ビジネス部⾨にわたってAIを導⼊する中で、サイバーセキュリティ部⾨が、各部⾨のAIソリューションを活用することで新たな価値を創造する取り組みを⽀援することは、信頼されるパートナーとして地位を高めるチャンスです。

AIの急速な導⼊は、各部門が新たなサイバー攻撃やコンプライアンスリスクに直面する危険性をはらんでいます。AIが担う機能やAIの実証実験が急増する中で、これらを適切に管理するためには、サイバーセキュリティ部門は戦略的な視点を持ち、より積極的で、一貫性のある役割を果たすべきです。

AI導⼊拡⼤に伴うサイバー脅威への対処方法

攻撃者はすでにAIシステムの脆弱性をターゲットにしています。セキュリティ研究者たちはプロンプトインジェクション（システムを欺き、フィルターやガードレールを回避するように作成されたエンジニアリングプロンプト）を使って、BardやOpenAIのような会話型ボットへの攻撃を試みています⁴。ある研究者たちはホワイトハッカーとしてデータポイズニング（悪意のあるデータをアルゴリズムに送り込み、その出⼒を操作すること）が、最⼩限の技術的スキルかつ低コストで⼀般的なデータセットに対して実⾏可能であることを実証しています⁵。 別のプロジェクトでは、⾃動運転⾞を誤認させるために停⽌標識に「時速45 マイル」のステッカーが貼られていました⁶。 また別の研究者たちは、AIの⾳声アシスタントに悪意のある⾳声コマンドを注⼊できる、人が聞き取れることのできない不可聴攻撃について報告しています⁷。

悪意ある攻撃者からの攻撃だけでなく、自社の従業員がAIを使⽤する際、コンプライアンスや規制違反を回避させることも必要です。違反行為には、機密データ、知的財産、制限された資料をAIモデルに⼊⼒し、クエリやタスクを実⾏することが含まれます。「世の中には多くのツールがあり、それぞれ異なる⽅法で動作し、異なるリスクがあります。こうしたツールにサインアップして使うことは⾮常に簡単です」とある製造業のCISOは⾔います。

2023年の調査によると、自社の非IT部⾨の従業員によるサイバーセキュリティのベストプラクティスの実践状況に満⾜しているのは、調査対象のCISOのうち36%に過ぎませんでした。AIサイバーセキュリティのトレーニング・教育の必要性は、トピッククラスタリング分析から明らかになった最近の学術研究の傾向でも証明されています。企業や組織のサイバーセキュリティ管理に関する⽂献の50％近くがトレーニング・教育に関するもので、この分野で最⼤のトピックでした。さらに、その文献の23％はAIトレーニング・教育に関するもので、従業員がこの分野でより詳細なガイダンスを求めていることがうかがえます。また、今後発表予定のEYの調査によると、調査対象の⽶国の労働者のうち、雇⽤主が従業員に対して責任あるAIの使⽤についての教育を優先していると答えたのは62％に過ぎませんでした。

Asahi Beverages社のCartwright⽒も、顧客インサイトのようなアウトプットを⽣成するAIツールは、同意やデータの再利⽤プロトコルの観点から適切に管理される必要があると主張しています。「開発環境、特にデータサイエンスの開発環境については、強⼒なコントロールにより、⼗分に保護されていることを確認する必要があります」と同⽒は⾔います。インタビュー調査に回答した複数のCISOからは、説明責任を確⽴することの重要性も指摘されました。例えば、信⽤限度額の決定が、参照するデータ、不正確な推論、または誤解を招くプロキシデータに関する差別禁⽌規制に違反していないか確認するなどです。

CISOがAI実装を改善できる機会と領域：

経営層からの見え方

有能なCISOは、強⼒なサイバーセキュリティ態勢を築くことの意義について、社内組織の垂直⽅向にも⽔平⽅向にも、そして社外にも伝えることができます。経営層と取締役会のAIリスクに対する認識が高まれば、AIセキュリティの取り組みをさらに拡充する機会につながるでしょう。2023年の調査が示すように、CISOはすでに自身の影響⼒が拡⼤し始めていると感じており、取締役会との交流が増え、経営層直属のCISOの割合も増えています。取締役会や経営層との信頼関係を構築するうえで、透明性が重要です。

「⾮常に重要となっているのは、透明性を保ってビジネス部⾨と関わる能⼒です。そうすることで、ビジネス部⾨の⼈々が気軽に直接話をすることに抵抗を感じなくなります。セキュリティが裏⽅の時代は終わりました」とAsahi Beverages社のCartwright ⽒は⾔います。同⽒は、取締役会との透明性の高い対話を心がけ、サイバーセキュリティが関係する意思決定の場面で責任を明確にすることで、CISOが組織全体にわたってより戦略的な役割を果たす道が開けると考えています。

経営層は、⾃社のサイバーセキュリティ対策の効果を過⼤評価する傾向があります（CISOの満⾜度36％に対し48％）。セキュアクリエイターはこのギャップが⼩さいことから、AIの実装が進む中、CISOと他部門のリーダー陣との透明性の⾼いコミュニケーションや、リスクに対する共通理解があることの重要性が⽰唆されています。

同時に、組織内で使⽤される未承認の「シャドウAI」を検出する方法を検討しなくてはなりません。クラウドの黎明期と同様に、⾮本番環境での善意のAIの実証実験が原因で、機密データの漏えい、モデルの盗難、無秩序な実装による予期せぬ⾼額なソリューションコストといった被害が発⽣しています。こうした思わぬ落とし穴から、企業の事業価値やリスク態勢の双⽅に疑問が生じる事態に発展しかねません。

全社のAIの取り組みを360度⾒渡す視点

社外に配慮できるCISOは、サイバーセキュリティを調整の枠組みとして扱うことで、AI導⼊を組織全体に促進することができます。⼀部の企業では、AIアドバイザリー機関を設⽴してAIプロジェクトの調整役を果たしています。これによりシャドウAIの問題に対処し、社内で試行中のAIの取り組みを可視化させることができます。あるアセットマネージャーは、サイバー部⾨を含むビジネスグループの代表者で構成される組織を設⽴し、グループ内でAIを活⽤する全ての関係者に対して、共有可能なデータや、データを組織外へ送信する際に適用する制限ルールを定めています。

サイバーセキュリティは、他部門の業務現場における意思決定時の重要な要素になりつつあります。例えば、ヨーロッパに拠点を置くある⼩売メーカーはこの流れの好例です。同社のCISOは、「調達部⾨は新しいプロジェクトを開始する際、今や私たちサイバーセキュリティ部門に連絡するのものだと認識し、調達部⾨が使⽤したいと思う新しいサプライヤーやアプリケーションに関して、当部門の要件を伝えています」と述べています。

強⼒なAIサイバーセキュリティ対策があれば、安全に自信を持って各チームがAIの実証実験に取り組むことができ、企業が実⽤的な⽤途を特定し、投資対効果を明確に定義する助けとなります。あるCISOは、サイバーセキュリティ部門が⾃社専用のChatGPTのインスタンスの⽴ち上げをサポートし、各ビジネス部⾨が4つのバーチャルな壁の範囲内でそれぞれ作業できるようにしたと話していました。

サイバーセキュリティの共通⾔語の発⾒

サイバーセキュリティに対する障壁を取り除くには、まず同じトピックの概要の理解を深めることから始めるべきです。Asahi Beverages社は、定期的なサイバー関連のランチセッションを開催することで、ビジネス部⾨がサイバーセキュリティについて考えるきっかけになったと評価しています。Cartwright⽒は、必ずしもフィッシングのような⼤きなサイバー脅威に関するテーマである必要はなく、サイバーセキュリティの話題を誰もが⾝近に感じられるようにすることに重点を置いていると述べました。

Bupa社もまたその⼀例で、CISOはサイバー指標を報告指標に含めるようにすることで、ビジネス部門とのギャップを埋めようとしています。「全てのビジネスパフォーマンス委員会にサイバーセキュリティの指標を組み込み、サイバーパフォーマンスの観点による指標を経営に取り入れようと試みています。完璧ではありませんし、まだ道半ばですが、サイバーセキュリティをビジネス指標の⼀部にしようとしています」とBupa 社のグループCISOは⾔います。

CISOが取るべき⾏動：

• AIのユースケースの特定、導⼊、ガバナンスのプロセスにサイバーセキュリティ専⾨家を参画させる︓この初期段階での参画により、データの機密性とビジネス機能に⾒合ったサイバーセキュリティ対策をAIの活用現場に統合させることができます。
• ビジネス部⾨全体で適切なAIの使⽤基準を規定し、管理する︓ビジネス部⾨とサポート技術者が協働し、 AIソリューションを設計・構築する際の方針とガイドを規定すべきです。⽶国国⽴標準技術研究所（NIST）のAIリスク管理フレームワークやEUのAI規制法といった新たなAI業界の標準フレームワークに沿った、⼀連の技術的サイバーセキュリティ管理手法を採⽤すべきです。
• AI特有のリスクを軽減する︓複雑性、敵対的攻撃、解釈可能性の⽋如、継続的学習、倫理的配慮など、AIシステムに関連する特有の性質と課題を考慮すべきです。
  

セキュアクリエイターは、経営層と協働して、組織全体でイノベーションと価値創造を推進するための戦略の構想を支えています。

AIの台頭は、サイバーセキュリティ部⾨が自組織の存在価値を全社に訴求する流れを作り出しています。サイバーセキュリティ部門がAIを活用することで、より高い付加価値につながる⽬標に集中する時間を確保し、他部⾨が⾃信を持ってAIから新たな価値を⽣み出すための⽀援ができるようになります。

CISOは、サイバーセキュリティ部門がAIツールを活⽤して、価値創造の可能性を最⼤限に引き出せるよう⽀援することで、社内で信頼されるパートナーとなる道が開けるでしょう。また、ビジネス部門が⾃信を持ってAIを活⽤できるようサポートすることで、サイバーセキュリティ部⾨に対する社内の認識を、対応を滞らせる存在から、加速度的なペースで確実な技術導⼊を可能にする推進役へと変えることができるでしょう。さらに、早い段階でサイバーセキュリティ対策が組み込まれたプロセスを構築することで、予算の問題や遅れを最⼩限に抑え、他部⾨が効率化を図ることができます。

AIの取り組みとサイバーセキュリティ対策を統合することは、サイバーセキュリティ部⾨が社内全体への影響⼒を拡⼤するチャンスです。先進的なサイバーセキュリティ部門は、買収活動からサプライチェーンのガバナンスに⾄るまで、より良い意思決定に役⽴つ助言をしています。あるCISOは、買収候補企業の評価プロセス全体に深く関与しています。世界のCEOがM&A投資に積極的だった2024年の実績を考えると、このようなCISOの経営判断への関与はますます重要性を増していると⾔えます⁸。先のCISOはまた、自社の情報保護の能⼒について開示し、保証することで、株主から信頼を得ています。同様に、ANZ銀⾏のAnanthapavan⽒が率いるサイバーセキュリティ部門は、ビジネスの意思決定に影響する戦略的な脅威インテリジェンス機能を担っています。

また別のCISOは、サイバーセキュリティ部門が顧客との信頼関係を築くことで、いかに売り上げと利益の増加に貢献できるかを強調しています。「サプライヤーが⼀定レベルの努⼒義務を果たしているかどうか確認するために、認証やアンケート調査に重点を置くようになった顧客が増えています。当社でも私たちが実態を証明することで、既存の顧客を満⾜させ、新しい市場を開拓することができるのです。私たちはこうしたビジネス上の成果を定量的に⽰せるはずです」

AIを使うことでサイバーセキュリティ部⾨は従来より迅速に意思決定や分析を⾏い、プロセスを合理化してコストを削減し、従業員を増員せずに済ませることができます。これは規制要件を満たすためだけでなく、新たな市場機会に迅速に対応するためにも重要です。

CISOが取るべき⾏動：

• AIの原則とガードレール（悪⽤防⽌機能）を確⽴し、安全なAI活⽤の取り組みを⽀援する︓ビジネス部⾨が急速にAI活⽤に取り組み、導⼊が進む中で、CISOが迅速に動いてイノベーションのペースを落とさず、加速させることが不可⽋です。
• ビジネス部門がユースケースを迅速に市場化できるよう支える︓事前にコンフィグレーションと認証されているアーキテクチャ、統合パターン、およびテクノロジースタックのコンポーネントを開発し、ビジネスユースケースをサポートし、設計段階からセキュリティを組み込む「セキュア・バイ・デザイン」を、市場化に向けた最短ルートとして定めるべきです。
• サイバーセキュリティ部門がビジネスを強化・促進する「サイバー・イネーブルメント」を⽬指す︓ 実践的なAIセキュリティとリスクのフレームワークを活⽤し、リスク許容範囲をクリアしながら、ビジネス部門の要望に「イエス」と答えるための⽀援を⾏い、サイバーセキュリティ部⾨が事業スピードを抑制する「ノーと⾔う部⾨」であるという認識を覆すべきです。
• AIのアタックサーフェス（攻撃対象領域）とパートナーエコシステムを可視化する︓CISO の多くは、外部データ侵害に対処するために、取締役会や経営層の前で多大な時間を費やしてきました。EYの調査では、セキュアクリエイターには、アタックサーフェスとエコシステム全体にわたるすべてのサイバーリスクを管理する戦略があります。この戦略範囲に新たなAIアタックサーフェスを包含することで、企業は安⼼してAI導⼊を進められます。
  

サイバーセキュリティにAIを導⼊することに熱⼼な⼤企業であっても、AIを実装してビジネス全体にサイバーセキュリティを導⼊することに関しては、まだ初期段階です。大きな成功をおさめるCISOは、狭義のセキュリティを超えて、AI時代に企業が実現するべきサイバーセキュリティの価値を分かりやすく説明し、ビジネス部⾨が安⼼してAIを導⼊できるよう⾃信を与えることができる⼈物です。

本記事の執筆にあたり、AnnMarie Pino, Associate Director, EY Insights, Ernst & Young LLP; Michael Wheelock, Associate Director, EY Insights, Ernst & Young LLP; Ryan Gavin, Supervising Associate, EY Insights の協力を得ました。