未曾有のトレンドが押し寄せる今、ガートナーの専門家が重圧に悩むセキュリティリーダーへ送るアドバイス

耐量子暗号への移行猶予期間はそれほど残っていない

　3つ目のトレンドは、「ポスト量子が理論上のリスクから具体的な行動計画へと移行している」というものだ。そう遠くないうちに、量子コンピューティングが実用段階に入るとされている。ガートナーは、実用化の時期は2030年になるとの見方を示している。なお、既に一部の企業では、量子コンピューティングは単なる興味深い技術ではなく、真剣に検討すべきテクノロジーとして認識され始めている。

　サイバーセキュリティの文脈でリーダーが考慮するべきことは、次世代暗号への移行だ。特にミッションクリティカルなシステムについては、2030年に向けて耐量子暗号へ切り替える準備を着実に進めなければならない。何もしなければ、既存の暗号化方式で保護されているデータは無防備になってしまう。

　残された時間はそれほど多くない。まだチームの中で知識や理解が不足しているとしても、今からレガシー暗号の棚卸しに着手し、どこにどんな暗号化技術が使われているかを明確にすること。そして、耐量子暗号への移行を計画的に進める必要がある。

　優先すべきは、“長期資産の移行”だ。「まずは機密性の高いデータとそれを扱うシステムに焦点を当てて実行するのがよい」とショルツ氏は助言し、手遅れになる前に準備を始める必要性を訴えた。

AIエージェントは「人間同様のID管理」で統制せよ

　4つ目は、「AIエージェントのセキュリティ確保に向けてIAM（Identity & Access Management）を適応させる」というトレンドについて。このトレンドにおいては、AIエージェントもアイデンティティ（ID）とみなし、人間（ヒューマンワーカー）同様に扱う必要があると理解することがポイントだ。

　まず、組織内のどこにどんなAIエージェントが配置されているのかを把握しよう。これがなぜ重要なのか。それは、従来のIAMではマシンアイデンティティのニーズに対応できないからだ。ここで対応を怠れば、アクセス関連のインシデントリスクが一気に高まる。社内で進むAIイノベーションの足を引っ張ることにもなりかねない。

　ショルツ氏は、企業内で運用中のAIエージェントすべてに対し、人間同様にIDを割り当て、それぞれの挙動を説明できる状態にすることを提案した。また、各AIエージェントの役割、どのデータにアクセスするかについても、人間に対してのIAMによる制御をそのまま適用し、アクセスすべきでないデータにはアクセスできないようにしておきたい。これは、いわゆる野良エージェントやシャドーAIと呼ばれるエンティティが、機密性の高いシステムにアクセスすることを避けるためでもある。

各AIエージェントの特性と適切な対策を整理せよ

　5つ目のトレンドは、「エージェント型AIにはプログラムの監督が必要である」とするものだ。エージェントが何をしているか理解することは、リスクの抑制と、不正な自動化への対処につながる。

　まずは、データの「機密性」と「自律性」の2つの軸でリスクを整理してみよう。すると、エージェントと一口に言っても、スタンドアロン型エージェントとマルチエージェントではリスクの様相が異なることがわかってくる。

　実際、AIエージェントが持つ権限はそれぞれで異なる。意思決定力やタスクを実行する能力も違う。そこで、サイバーセキュリティの文脈では、各エージェントが与えられたデータで何をするのか理解すること。そして、本来の設計で意図した通りに振る舞うかどうか、エージェントシステムの種類ごとに適切なサイバーセキュリティ対策を施し、その状態を維持すること。ショルツ氏は、これらが野良エージェント化を防ぐために有効な対策になると述べる。

CISOへの警鐘、見るべき課題が増えても責任の安請け合いは禁物

　6つ目のトレンドは、「AIとサイバーレジリエンスがCISOの職務範囲を再定義する」というものだ。「CISOには、サイバーセキュリティ以上のことに対する責任が求められる場面が増えている」とショルツ氏は指摘する。他の経営層から相談されるテーマも、「プライバシー」「事業継続性」「サイバーフィジカルシステム」など、一般的な情報セキュリティの範囲に納まらないものが増えてきた。

　ただし、ここで新しい職務を引き受けてばかりだと、本分であるサイバーセキュリティ分野での組織貢献が疎かになりかねない。ショルツ氏は「CISOには、このような要求すべてを引き受ける必要はないと言っておきたい」と語る。

　その際、ポイントとなるのは「責任を引き受ける代わりに、影響力を拡大しようと注力することだ」と同氏。あくまでも、サイバーセキュリティ分野で経営に貢献するのがCISOの本分であり、AIガバナンスの範囲が拡大を続けているからといって、自身の役割を見失ってはならない。

自社にとっての最優先トレンドを見極め、変化に適応できる体制を整えよ

　ここまでの各トレンドを踏まえ、セキュリティリーダーに求められるのは「どのトレンド対応を最優先すべきか」を見極めることだ。業界や企業を取り巻くテクノロジー環境、リスク選好度によって、注力すべきトレンドはそれぞれ異なる。その見極めをした上で、ロードマップの見直しを行う。たとえば、耐量子暗号への移行を最優先課題に選んだのであれば、まずはそこから計画の策定とリソースの再配置を行っていく。

　そして今後、セキュリティチームをどう運営していけばよいのか。ショルツ氏は2つのアドバイスを送った。第一に、AIガバナンスの新しいテーマが次々と登場しても、すべてを抱え込もうとしないこと。第二に、環境の変化を注意深くモニタリングし、変化に備えること。AIは常態化する──まずはこの変化を前提に準備を進め、環境が実際に変わる局面で迅速な適応ができるよう、体制を整えておきたい。