Gartnerジャパン（以下、Gartner）はこのほど、AIがセキュリティ施策の機会と混乱の両方を広げる中、CISO（最高情報セキュリティ責任者）の在り方について見解を発表した。セキュリティやアイデンティティー、イノベーションの各領域でリーダーシップを再考し、競争優位を保つために注力すべき優先事項として、3つのポイントを挙げた。
AIによる混乱を「改善点」に変えるための3つのポイント
Gartnerのオスカー・イサカ（Oscar Isaka）氏（シニア ディレクター アナリスト）によると、これらの優先事項は、サイバーセキュリティ製品に関するニュースが日々絶え間なく発表される中でCISOが方向性を見失わないために役立つ。巧妙化した脅威アクターの手にかかれば、現在のテクノロジーでも十分な脅威になる。AIを活用することで、AIによる脅威を、さらなる改善点に転換できると同氏はみている。
1. アイデンティティー、アクセス管理（IAM）を近代化するためにAIに投資
Gartnerは企業のAI投資がIAMの抜本的な見直しを促していると指摘する。AIエージェントや自動化ワークロード、マシン同士のインタラクションが急増している。こうした中、クラウドやDevOpsの複雑さによって既にひっ迫していたIAMプログラムが限界に達している。アイデンティティーは背景的な制御機能から、中核的なデジタルインフラに変化しており、人間のユーザーと静的的な役割を前提とした従来のモデルは現実に合わなくなっている。
AIは、委任や自律性、コンテキストに応じて権限を動的に管理する新しいアーキテクチャーを持ち込む。従来のロールベースのアクセス制御やオンボーディングプロセスは、数千〜数万のマシンアイデンティティーが常時稼働する環境にはスケールしない。エージェントベースのシステムが拡大する中、マシンアイデンティティー管理の不備やコンテキスト認識ポリシーの欠如が主要なリスク要因になっているとGartnerは説明する。
Gartnerは、2028年までにエージェントベースのアタックサーフェス（攻撃対象領域）を通じた侵害の25%が、マシンアイデンティティーの不備とコンテキスト認識ポリシーの欠如に起因するものになると予測する。
イサカ氏は「この余力は戦略的な機会でもある」と述べる。脆弱（ぜいじゃく）なシステムに新しいツールを追加するのではなく、AI投資を生かしてIAMを近代化させられるといった見立てだ。取引先やパートナー、従業員とのやり取りがマシンを介して行われるようになる中、アイデンティティーと信頼の制御は必要条件から差別化要因へと進化する。マシンワークロードを迅速かつ安全にオンボーディングしてガバナンスできる企業は、スピードや統合、信頼性で優位性を得られると同氏は説明する。
2. 勝利条件の再定義
現代では、サイバー攻撃は常態化している。Gartnerによると、市場や規制当局、取引先はインシデントを必然的なものだと捉える傾向が強まっており、必ずしも過失の証拠とは見なされなくなっている。AIによる攻撃が速度と規模の両面で拡大する中、「攻撃を完全に防ぐこと」を目指す考え方は非現実的で、証明も難しくなりつつあるという。
イサカ氏は、組織が本当に目指すべきは攻撃を防ぐことではなく、被害を最小限に抑えて回復する力（レジリエンス）だと述べる。影響の最小化や重要業務の維持、迅速な復旧に目標を移せば、対策もビジネスにとって意味のある成果になる。レジリエンスは実際に試し、学習し、改善できるため現実的だという。
この転換を実現するには、ミッションクリティカルなバリューチェーンにひも付いた明確なインパクトのしきい値を定義する必要がある。これによって、どの程度の被害であれば許容できるか、どの業務が特に重要かが明確になる。「サイバーセキュリティ部門と事業部門の間で責任の共有体制が敷かれる」とGartnerは説明する。
3. イノベーターとしての自覚
サイバーセキュリティのイノベーションは、多忙なチームにとって「追加作業」だと捉えられがちだとGartnerは指摘する。実際にはセキュリティやIT、エンジニアリングの現場で日々イノベーションが起きている。インシデント対応時の迅速な対応やツールの統合、回避策やワークフローの改善は、いずれもイノベーションだという。問題は創意性や努力の不足ではなく、こうした取り組みがイノベーションとして認識されず、測定も保護もされていないことにあるとGartnerはみる。
Gartnerは2028年までにAIを効果的に導入するセキュリティオペレーションセンター（SOC）では人手によるインシデント対応が30%減り、アナリストの役割が「対応者」から「監督者」に移行し始めると予測する。
イサカ氏は、テスト環境の構築や攻撃シミュレーションといった業務には、大規模な専門チームや長期の計画サイクルが必要ではなくなっていると述べる。検知ロジックの生成や復旧シナリオの学習も同様だ。これらの活動は、AI支援型ソフトウェアエンジニアリングや自動化を使って通常業務に組み込める。リスクが低く、実際のシステムや成果に結び付いた経験を重ねることで、チームは実践的な経験を積みながら、組織で再利用できる成果物も生み出せると同氏はいう。
