セキュリティ界の先駆者ニコ・ヴァン・ソメレン氏が語る、新時代に必要な「復旧能力」とセキュリティ統制

AIの魅力が“シャドーIT”の過ちを再び顕在化させる

──「個々のエンドポイントやアプリケーションでセキュリティ統制を図る」と聞いて真っ先に頭の中に浮かんだのは、“シャドーIT”の問題です。

ソメレン氏：これも昔から顕在化していながら、なかなか解決していない課題ですね。従業員が自分のWi-Fiアクセスポイントや安価なIoTデバイスを勝手に企業ネットワークに接続してしまうなど、常にリスクの源でした。

　特に、昨今新たな問題となっているのは「シャドーAI」です。大手クラウドサービスが提供するAIツールが使われ始めたばかりの頃は、質問と回答のラリー程度でしたが、間もなく文書を渡せばキレイに要約してくれるようになりました。そこから一気に個人による業務でのAI活用が加速しましたよね。

　ある程度名が知られていて、適切なライセンス契約を持つ評判の良い商用サービスであれば問題なさそうに思えるかもしれません。しかし、誰がどんなAIツールをどれほど使っているのか把握できていない状況は、ガバナンスの観点では大きな問題です。また、信頼できない海外サーバーで動作しているようなAIサービスに、企業の重要な文書などをアップロードしてしまうことの危険性は、多くの企業が認知しているはずです。

　シャドーITの問題は皆さん以前から知っているはずなのですが、AIがあまりにも魅力的なツールであるために、多くのユーザーがシャドーITで学んだことを忘れてしまい、無料で利用できるAIサービスに企業文書をアップロードしてしまっています。

──それを防ぐために、多くの企業がAIの利用に関するガイドラインやポリシーの策定を急いでいます。しかし、すべての従業員がルールに従うとは限りませんよね。隠れて許可されていないAIツールを使う人がいるかもしれません。何か便利な技術でこれを統制できれば、もっと強制力も増しそうなのですが……。

ソメレン氏：従業員にポリシーとリスクの重要性を啓発することは大前提として、彼ら彼女らが従わなかった場合にそれを検出し、防止するツールも利用すべきだと思います。

　たとえば、Absoluteはセキュアサービスエッジネットワーク（SSE）のソリューションも提供しており、これを利用することでマシンに出入りするトラフィックを監視できます。未承認のAIを使用しているユーザーを検知して報告し、ブロックすることが可能です。

　加えて、単にそういったツールを導入するだけでなく、なぜその対策が重要なのかも従業員に説明して理解してもらうべきでしょう。小さな子供に「ストーブに触らないで」と言っても、なぜか触りますよね。それは、なぜ触ってはいけないのかを十分に説明できていないからです。「やけどしてとても痛い目に遭うから、ストーブに触っちゃダメ」と言えば、触る可能性は低くなります。新しいテクノロジーやルールを導入する際も同様で、単に「やらないで」と言うのではなく、「なぜやってはいけないのか」を施策としてしっかり浸透させなければいけません。

古いマシンやOSに注意、パッチサイクルの遅れが命取りに

──このインタビューの前に、Absoluteの調査データ（※）で企業ユーザーにおけるパッチサイクルの平均時間が悪化しているという情報を耳にしました。

ソメレン氏：業界や企業によって差異はあるでしょうが、2024年から2025年にかけて、Windows 10でパッチ対応が遅くなっている傾向が見られます。

──なぜでしょうか。

ソメレン氏：おそらく、忘れられているマシンが増えているのでしょう。Windows 10を実行している古いマシンはまだたくさんあるかと思いますが、Windows 11が登場してそちらにシフトするうちに、古いマシンにもパッチ対応が必要であることが忘れられているケースが案外多いのです。

──まだ意図的にWindows 11へアップグレードしていないというユーザーも多そうですよね。

ソメレン氏：そうですね、アップグレードによって何か不具合やトラブルが起こるかもしれないという不安は常に付きまといますし、気持ちもわかります。長年動作しているマシンなら尚更でしょう。特に製造業で、機械の動作を制御するような組み込みシステムなどでは、何かあった際にマシンへアクセスすることが物理的に困難です。リモートでアップデートを配信できても、失敗や不具合が発生したら人が道具を持ってハシゴを登り、マシンの場所までたどり着かなければ……なんてことも珍しくありません。

　ただいずれにせよ、どんなOSやマシンであれパッチ適用をこれまで以上に迅速化させなければいけないという点は押さえておくべきです。パッチ適用の遅れは間違いなく「脆弱性」であり、攻撃者が脆弱性を悪用するスピードはかつてないほどに高速化しているということを、改めて申し上げておきます。