AI時代の神経系「ネットワーク」、それを守る「セキュリティ」──2つの融合が企業生存の必須条件になる

「サプライチェーンをすべて守れる」ベンダーは本当に存在するのか？

　現在がセキュリティの転換期であることは言うまでもない。Mythosを発端とするフロンティアAIモデルの進化、量子コンピューティング時代の到来といった技術のパラダイムシフトに加え、日本における安全保障政策の面でも、政府の主導で能動的サイバー防御やセキュリティ・クリアランスの環境整備が進められている。そして産業界では、経済産業省が主導するサプライチェーンのセキュリティ対策評価制度（以下、SCS評価制度）がいよいよ施行される予定だ。

　特に、企業の経営者やIT部門・セキュリティチームの方は、SCS制度への対応で頭を悩ませていることだろう。サプライチェーン全体の可視化・保護が必須要件となれば、自社だけでなく関連会社、取引先、その他大勢のサプライヤーも見なければならなくなる。大企業であれば、本体一社がいかに最新のセキュリティ製品を導入していようが、グループ内の中小企業や取引先で対策が疎かな時点でサプライチェーンセキュリティが担保されているとは言えなくなる。

　そんなタイミングで、フォーティネットは冒頭に紹介したスローガン「サプライチェーン全体を守る・価値を高めるセキュリティ」を2026年度の事業方針に掲げた。これは、既に強固な地盤を築いている中堅・中小企業（以下、SMB）での圧倒的なシェア数とノウハウを土台に、エンタープライズへとさらに市場を開拓していくアプローチを意味する。多くのセキュリティベンダーは、これまでエンタープライズへのアプローチを主としていた。現在はSMBの開拓に苦労しているフェーズだろう。しかしフォーティネットは、その逆である。これにより、サプライチェーンの“弱い部分”を起点として、上流から下流まで真にカバーできるというのが同社の戦略だ。

AI時代のスピードに追従すべく、3つの運用アプローチを組織に実装せよ

　転換期に適応し、新たな時代でも生き残るべく、竹内氏はサイバーリスクマネジメントの3つのポイントを参加者へ送った。

　第一に、従来のセキュリティ対策と「アジャイル・ガバナンス」の融合──いついかなる時でも脅威にさらされる可能性があるAI時代には、中央集権的でトップの判断を待たねばならない従来のガバナンス体制ではなく、現場で自律的に判断を下して即応し、説明責任を果たすガバナンス体制が必要ということだ。

　「現場レベルで継続的かつ能動的に改善を繰り返し、その場で脅威を抑え込むことで大事故への発展を防ぐ、『賢いガバナンス』を機能させるのです」（竹内氏）

　第二に、先制的なサイバーセキュリティ──これは、先手を打って弱点を可視化し、制御するアプローチだ。システムの脆弱性をゼロにするのは不可能である。Mythosのような、どんなシステムでも脆弱性を発見してしまう技術が出現したとなればなおさらだ。となれば、自分たちの弱点を先に発見し、外部にさらさない環境構築が必要である。また、弱点が攻撃されてしまった場合に、どう対応・制御するのかを事前に準備しておくことも、その後の復旧速度を劇的に速めることにつながる。

　そのためには、まず組織全体のセキュリティ意識を高めること、そして現状の自社が恐れるリスクを把握することは当然必要だ。次に、敵を知ること。他社はどんな被害に遭っているのか、世界ではどのような脅威アクターが活発化しているのか。また、サイバー空間での攻撃増加を招くような紛争、政治的緊張といったインテリジェンスも収集するとよいだろう。その際に重要なのは、“攻撃者の目線”で分析することだ。どんなIT資産や重要情報が露出してしまっているのか、あるいは闇市場に出回っているのか、攻撃者が普段見ている景色を知ることで、先手を打つことが可能となる。予兆にもすぐに気付ける。

　そして第三に、サイバーレジリエンスの強化だ。何年も前から言われていることではあるが、いよいよ本腰を入れなければ手遅れになる可能性が高い。事前対策による保護から、復旧などの事後対策まで一連の対策を講じることで、「止まらないシステム・事業」「すぐに復旧するシステム・事業」を築き上げよう。

　実は、準備しておいたバックアップやリカバリー施策が、いざ有事の際に機能しなかったり、復旧後の脆弱性改善が放置され再被害に遭ったりするケースが非常に多いことがわかっている。攻撃されない（≒失敗しない）ことももちろん大切だが、AI時代にそれはほぼ不可能と言ってよいだろう。攻撃はどんな組織でも受けてしまうというのが、新たな常識だ。となれば、失敗と反省を蓄積し、改善へとつなげる運用のサイクルを構築しなければ、「説明責任を果たせるレジリエンス施策を講じていた」と胸を張ることはできない。それこそ、改善のサイクルにAIを活用することも有効だ。現在のセキュリティ用AIは、脆弱性を迅速に発見し、対策をレコメンドし、パッチを自動生成してくれる。

　ここまで述べたようなセキュリティ運用は、フォーティネットの製品群を導入すればすべて実践できる。一気にすべての製品を導入する必要はない。まずはネットワークの制御から始めてみる、あるいは部分的なゼロトラストへの移行にチャレンジしてみる。もしくは、脅威の検知・分析といった煩雑な業務をAIに置き換えてみるといった、様々な入口を検討してみるとよいだろう。