Gartner、CISOがAIによる混乱の中で機会を捉えるために注力すべき戦略的重点領域を発表

ビジネスおよびテクノロジのインサイトを提供するガートナージャパン株式会社 (以下Gartner) は、最高情報セキュリティ責任者 (CISO) は、AIが機会と混乱の両方を加速させる中で、セキュリティ、アイデンティティ、イノベーションの領域におけるリーダーシップのあり方を再考する必要があるとの見解を発表しました。

競争優位を保つために、セキュリティ・リーダーは次の3つの優先事項に注力すべきです。1) アイデンティティ／アクセス管理 (IAM) を近代化するためにAIへ投資する、2) サイバー攻撃を日常の一部と捉え、勝利の条件を再定義する、3) 自らをイノベーターとして自覚する。

シニア ディレクター アナリストのオスカー・イサカ (Oscar Isaka) は次のように述べています。「これらの優先事項は、サイバーセキュリティ製品に関するニュースが日々絶え間なく発表される中で、CISOが方向性を見失わないために役立ちます。熟練した脅威アクターの手にかかれば、現在のテクノロジでも十分に脅威となります。それがマーケティング主導か、画期的なテクノロジかは関係ありません。CISOは、自身のAI活用を加速させることで、これらAIによる脅威を、終わりなき改善の連鎖の中のさらなる改善点へと変えることができます。このテクノロジは攻撃の規模を拡大させますが、私たちも対応能力を同様に高めることができます。CISOにはより多くのリソースがあり勝算はあります」

本日より開催中のガートナー セキュリティ&リスク・マネジメント・サミットでのオープニング基調講演において、イサカは人とマシンのアイデンティティを近代化する機会としてAIに取り組む組織に向けて、3つの重点領域を示しました。

1. アイデンティティ／アクセス管理 (IAM) を近代化するためにAIへ投資する

企業のAI投資は、アイデンティティ／アクセス管理 (IAM) の抜本的な見直しを促しています。AIエージェント、自動化ワークロード、マシン同士のインタラクションの急増により、クラウドやDevOpsの複雑性で既に逼迫していたIAMプログラムが限界に達しています。アイデンティティは背景的な制御機能から、中核となるデジタル・インフラへと変化しており、人間のユーザーと静的な役割を前提とした従来のモデルは現実に合わなくなっています。

AIは、固定的な権限ではなく、委任、自律性、コンテキストに応じて柔軟に権限を管理する新たなアーキテクチャ層を導入します。従来のロール・ベースのアクセス制御やオンボーディング・プロセスは、何千・何百万ものマシン・アイデンティティが常時稼働する環境にはスケールしません。エージェント・ベースのシステムが拡大する中、マシン・アイデンティティ管理の不備やコンテキスト認識ポリシーの欠如が主要なリスク要因となっています。

このため、Gartnerは2028年までに、エージェント・ベースのアタック・サーフェスを通じた侵害の25%が、マシン・アイデンティティの不備とコンテキスト認識ポリシーの欠如に起因すると予測しています。

「この圧力は戦略的な機会でもあります。脆弱なシステムに新たなツールを追加するのではなく、AI投資を活用してIAMの近代化を加速できます。顧客、パートナー、従業員のやりとりがますますマシンを介して行われる中、強固なアイデンティティと信頼のコントロールは必要条件から差別化要因へと進化します。マシン・ワークロードを迅速かつ安全にオンボーディングし、ガバナンスできる企業は、スピード、統合、信頼性で真の優位性を得られます」(イサカ)

2. サイバー攻撃を日常の一部と捉え、勝利の条件を再定義する

サイバー攻撃は、まれにしか発生しない事故ではなく、現代のビジネスでは常態となっています。市場、規制当局、顧客は、インシデントを必然的なものと捉える傾向が強まっており、必ずしも過失の証拠とは見なさなくなっています。AIによる攻撃が速度・規模の両面で拡大する中、「攻撃を完全に防ぐこと」だけを目指す考え方は非現実的で証明も困難になりつつあります。この常態化は、サイバーセキュリティにおける成功の定義や伝え方を見直す重要な機会となります。

「組織が本当に目指すべきは、攻撃を防ぐことではなく、被害を最小限に抑え、回復する力 (レジリエンス) です。目標を影響の最小化や重要業務の維持、迅速な復旧へとシフトすれば、緩和策もビジネスにとって大切な成果になります。レジリエンスは実際に試したり、練習したり、改善したりできるので、現実的です」(イサカ)

この転換を実現するには、組織はミッション・クリティカルなバリューチェーンに紐づいた明確なインパクトのしきい値を定義する必要があります。これにより、「どこまでの被害なら許容できるか」や「どの業務が特に大事か」が明確になり、サイバーセキュリティ部門と事業部門の間で責任の共有体制が築かれます。

3. 自らをイノベーターとして自覚する

サイバーセキュリティにおけるイノベーションは、既に多忙なチームへの追加作業として捉えられがちで、手が届きにくいものと感じられます。しかし実際には、セキュリティやIT、エンジニアリングの現場では、日々イノベーションが起こっています。インシデント対応時の即興的な対応やツール統合、回避策やワークフローの改善などはすべてイノベーションです。問題は、創造性や努力の不足ではなく、これらの取り組みがイノベーションとして認識されず、測定も保護もされていないことです。

この傾向が続く中で、Gartnerは2028年までに、AIを効果的に導入するセキュリティ・オペレーション・センター (SOC) では、人手によるインシデント対応が30%削減し、アナリストの役割が「対応者」から「監督者」へと移行し始めると予測しています。

「テスト環境の構築、攻撃シミュレーション、検知ロジックの生成、復旧シナリオの練習などの業務は、もはや大規模な専門チームや長期の計画サイクルを必要としなくなっています。これらの活動は、AI支援型ソフトウェア・エンジニアリングや自動化を活用して通常業務に組み込むことができます。リスクが低く、実際のシステムや実際の成果に結びついた実験を重ねることで、チームは実践的な経験を積みつつ、組織で再利用できる成果物も生み出せます」(イサカ)

これを持続させるには、リーダー自身が明確に時間を確保し、試行錯誤のための余地を設ける必要があります。イノベーションはスキル構築やレジリエンス強化のための活動として位置付けられるべきであり、単なる個人の裁量に基づく副次的なプロジェクトとして扱うべきではありません。教訓を数値化することで、組織はイノベーションを証明可能なビジネス価値に転換し、継続投資がし易くなります。