若き“日本発”セキュリティ企業の創業者に訊く、変化する防御の定石とセキュリティ業界のトレンド

AIのためのセキュリティは、従来環境の防御と何が違う？

伊東氏：とはいえ、AIにどんなリスクがあるのか具体的にキャッチアップできている方はそれほど多くないでしょう。なんとなくリスクもあるというのは皆さんご存じかとは思うのですが……。文献や事例がまだまだ少ないため、社会全体で情報の体系化も進めなければなりません。日本でも国や公的機関が中心となって環境づくりが進められています。

　これまでのITに比べると、AIって不確定要素が多いんですよね。従来のシステムでは、テスト項目をしっかり作って全部のテストをクリアして、想定通りに動くと保証できるものを納品するのが一般的です。挙動がすべて想定内なんです。しかしエージェントのようなAIの場合は自律的に動くため、「どこまで振る舞いが想定とブレるのを許容してシステムに組み込むのか」という視点が必要になります。

　守り方も、これまでのネットワークやインフラなどのセキュリティとは異なる観点で考えなければなりません。端的に言えば、考慮すべきことが多いんです。今は「AIを安全に、便利に活用しましょう」くらいの温度感でもなんとかなっているフェーズですが、いずれは「どうやって安全面のリスクを克服していくか」をコストをかけて具体的に整備していくフェーズに移行していくのではと思います。その先に真の社会実装が望めるのではないかと。

伊東氏：そうですね。リスクの把握と管理は絶えずアップデートする必要がありますし、BCPもAIのリスクを考慮したものに刷新していくことになります。どれだけスピード感をもって取り組めるかが課題になりますね。

伊東氏：おっしゃるとおり、ログがとんでもない量になるという問題は私も感じていて、何かあった時にもはや人手では調査しきれなくなっていくだろうなと。ですから、そこも不正検知や調査に特化したAIで自動化・効率化するとか、そういう方向性になっていきそうですね。

「被害の多様化」が進む時代、すぐにでも実践できる対策

伊東氏：これまではシステムやネットワークなど、被害が及ぶ領域はある程度の絞りこみや優先順位付けが簡単にできたのですが、DXの進展とともにあらゆる情報がデジタルのデータになって、社内で稼働するSaaSのようなITも増えてきて、となると、被害の経路や影響範囲、最終的な結果も様々になってきます。これが被害の多様化です。

　「オンプレミスで独立して動作する出退勤システムが停止した」、これはまだわかりやすいですね。しかし、たとえば「様々なサービスと連動している労務システムが停止した」としましょう。すると、最初は関連する人事系のシステムに支障が発生して、次はそれと紐づいているバックオフィスの様々なシステムやデータに異常が起こって、さらには各部署での日常業務を支えるシステムに影響が及んで……と、もはやどこをどう復旧すればよいのか把握しきれなくなるんです。

　昔は一つのオンプレミスでシンプルに一元管理という環境が多かったので比較的わかりやすいのですが、様々な環境が混在するようになったことで事情が変わりました。悪く言えば、DXにより顕在化した新たな弊害ですね。

伊東氏：SaaSの利活用は間違いなく企業にスピード感と利便性・柔軟性をもたらしますが、同時にリスクも増えているというのは意識していただきたいですね。オンプレミスなら電源を切ればそれで終わりですが、たとえば大手のクラウドサービスを利用する場合、ほとんどの方が様々な他社のプラットフォームやソフトウェアを連携させていますよね。その一つひとつがアタックサーフェスになり得るし、障害発生の起点にもなり得ます。

伊東氏：やはり、まずはリスクを把握することです。そして、自社にとってコストをかけるべき部分と、ある程度後回しでも大丈夫そうな部分を整理しましょう。ChillStackも提供していますが、外部のペネトレーションテストを受けてみるのもよいと思います。定期的に受けている企業の中にも、その頻度を増やすところが増えてきました。

　あとは被害抑制のための簡単な施策として、連携するシステムや権限の設定は必要最小限にとどめる意識が大切です。権限や連携の数が多いほど、当然ですが被害の多様化は激しくなります。もちろん必要な場合はやむなしですが。

　経営層とIT部門での共通理解の醸成や、全社的な体制の見直しはもちろん大切ですし、ゆくゆくはすべての企業がやるべきことではありますが、時間も労力もかかります。その前に、こうした基本的な対策はすぐにでも始めるべきでしょう。

伊東氏：そうですね。今は大企業から中堅規模くらいの企業までを中心に、業種を問わず技術やサービスを提供しています。国や公共のお客さまもいらっしゃいます。

　それから、従業員ももっと積極的に採用していきたいです。セキュリティではない他分野のIT企業にいた人や、リサーチャーだった人、それから私は元々はホワイトハッカーとしても活動していましたが、様々なバックグラウンドを持つメンバーが在籍している会社です。引き続き、多様な人材を募集していく考えです。