ただの読み物（レポート）は役に立たない──本当に機能する脅威インテリジェンスを組織へ実装せよ

世界中の経営者たちが「想像上の怪物」に怯えている

　レスリー氏をはじめRecorded Futureの専門家たちは、こうした話を世界中の経営者やCISO（最高情報セキュリティ責任者）に対し提言して回っている。しかし現在、どこの国でも皆フロンティアAIやゼロデイ脆弱性といった未知の脅威にばかり関心がいきがちで、いわばブギーマン（想像上の怪物）に過剰な恐怖を抱いているような様子だという。

　Recorded Futureが毎年発表している『State of Security Report（セキュリティ状況報告書）』で示されているのは、そうした防御側が想定する脅威と、実被害の実態が大きく異なるという事実だ。たとえば2025年の報告では、全体の侵入被害のうち、実に92％はフィッシングやソーシャルエンジニアリング、漏洩した認証情報の悪用といった「アイデンティティの悪用」によるものだった。 そして、フロンティアAIの進化にともない恐れられている「脆弱性の悪用」による侵入は、まだわずか5％程度とされている。

　なお、よく「日本企業は欧米企業よりもセキュリティにおいて大きく遅れている」という声を耳にするが、レスリー氏が言うには、米国企業のエグゼクティブやワシントンD.C.の政策決定者の間でも、知識やリテラシーのレベルは様々のようだ。なかには「インターネット上に恐ろしい超兵器が放たれたから、それを一刻も早く規制・監視・コントロールしなければならない」という誇大広告の罠に陥っている人もいると話す。

　フィールドCISOのダン・エリオット（Dan Elliott）氏は、オーストラリアからインド、日本に至るまで、APAC（アジア太平洋地域）全域のCISOと日常的に対話しているが、興味深いことに、すべての国のCISOが「他の国・地域では自分たちよりも早くAIを導入して先行しているのではないか」という焦りを抱いているという。

　しかし実際には、国家間の差というよりも、金融・製造・小売などといった産業セクターによる成熟度の差のほうが遥かに大きいようだ。また、AIの導入を急ぐあまり、2つの大きな課題に直面している組織が増えていると同氏。第一に、十分に検証しないまま開発やセキュリティにAIを導入した結果、欠陥のあるコードやシャドーAIが大量に生成され、かえって自社のアタックサーフェスを広げてしまっている現象。そして第二に、組織の財務機能にAIのトークンコストを管理するノウハウがないため、AIの投資対効果（ROI）を測定できていない問題だ。

　Mythosのような脅威に対する認識も同じで、「何か新しく特別な対策が必要なのでは」と漠としたイメージばかりが先行しているとエリオット氏。しかし冷静に考えれば、どれほど高度な脅威アクターであっても、まずは「もっとも侵入しやすい簡単な入口を探す」という本質に変わりはない。それがもっとも合理的かつ効率的だからだ。

　そのため、新しい技術にばかり目移りするのではなく、従来から大切にされてきた基礎的なアイデンティティ保護や脆弱性管理をまずは徹底すべきである。それができていなければ、いくら最新のAIツールを導入しても無意味だ。基本の防御を強固にすることは、攻撃者にとっては侵入コスト（手間と時間）が引き上げられるというデメリットがある。すると、彼らは別の標的へと移動するか、少なくとも防御側が脅威を検知するまでの時間を稼ぐことができる。