2024年サイバーセキュリティ ステータスレポート |

先進的なAIはサイバーセキュリティチームの力となる可能性を秘めていますが、それが攻撃者よって悪用された場合には、チームの武装を解除する可能性もあります。

先ず、ポジティブな点です。 サイバーAIは、次のように組織を保護します。 

• 脅威を検出し、攻撃に迅速かつ正確に対応します。 
• パターンと傾向を特定して、攻撃が現実化する前にプロアクティブに予測します。 
• さまざまな情報源からの知識を統合して、脅威の状況をより全体的に理解し、次の行動に優先順位を付けます。 
• 感染したデバイスの隔離、堅牢なコードの作成、パッチ適用サイクルのスケジュール設定など、速度と精度を高めるためのタスクの自動化します。

しかし、サイバー AI は組織をより大きなリスクにさらす可能性もあります。たとえば、多くの組織は AI と自動化を使用して、機械的で反復的なタスクを引き継ぎ、作業負荷を削減しています。しかし、十分な考慮が払われていないと、これらの変化は、誤った安全意識や監視の低下によって、社内の満足感につながる可能性があります。

そして、悪意を持った者がAIの力を利用して、さらに深刻な結果を招きかねません。

• 自動化を導入して脆弱性を迅速に特定し、ネットワークをスキャンして攻撃を開始します。
• AIを活用したソーシャルエンジニアリングを使用して、より説得力のあるパーソナライズされたフィッシングメールを作成します。
• 通常のネットワーク動作を模倣することで検出を逃れるマルウェアを構築します。
• AI学習によるハッキングの民主化 (つまり、比較的経験が浅くスキルの低いハッカーでも強力なアルゴリズムを手に入れることができます。)
• 敵対的買収によるAIシステムのハッキング - 基本的に、AIが本来働いているはずの組織に敵対することになります。

こうしたリスクにもかかわらず、IT およびセキュリティの専門家は、AI がセキュリティに与える影響についてはおおむね楽観的です。ほぼ半数 (46%) が、それが正味プラスであると信じており、さらに 44% が、その影響は「中立」 (プラスでもマイナスでもない) であると信じています。

楽観的な見方はさておき、私たちが知りたかったのは、IT およびセキュリティの専門家が最大の脅威となると考えている AI を活用した攻撃の種類は何でしょうか? 最も危険なものの中には、敵対的生成ネットワーク、スプーフィング、および改ざんがあると専門家は言います。 

サードパーティベンダーも、AIを活用した攻撃の高リスクな侵入リポイントとなっており、調査対象の組織の半分以上（53％）が、生成AIに関連したリスクに関してサードパーティベンダーを監査していないことが示されています。

脅威が増大しているにもかかわらず、ほぼ3人に1人は、AIの生成リスクに対処するための文書化された戦略を策定していません。

AIを活用した脅威に対する唯一の答えはありません。これまでトレーニングがフィッシング攻撃に対する防御の第一線であったにもかかわらず、ディープフェイクなどの AIを活用したソーシャル エンジニアリング攻撃から身を守るためにトレーニングが「非常に効果的」であると考えていると答えた人はわずか32%でした。 (従業員を対象とした当社の調査では、54%が高度なAIがどんな人の声でも真似できるというとを認識していなかったことがわかりました。）  

次世代AIがセキュリティ環境を急速に再構築させるということは、重要な部分をヒトの検出に依存する方法は常に不十分であることを意味します。

組織は、今いる従業員への教育やトレーニングを、AIを活用したセキュリティツールの高度な警戒と組み合わせる必要があります。マンパワーグループのチーフ・イノベーションオフィサーであるトマス・シャモッロ－プレムジック氏は、ハーバード・ビジネス・レビュー誌上で同様のアドバイスをしています。:「ビジネスを攻撃から守るためにヒトかAIのどちらを信用すべきかということを問題にしているのではなく、他社よりも脆弱でないように技術革新とヒトの専門性の両方を活かすためのマネージメントを考える企業風土が必要です。」  

AIを活用した脅威に対する多層階アプローチで、組織はオペレーションの改善とテクノロジー主導の防御戦術の両方を最適化する必要があります。これらには以下が含まれます。 

サイバーAIのガバナンスと監視

• AIの専門家の雇用
• ベンダーのリスクとコンプライアンスの評価 
• 生成AIの利用に関する戦略とガイドラインの採用
• データガバナンスの実践の確立および/または改良

サイバーAIの防御と障壁

• データのアクセスと可視性の向上 
• コーラボレーションの強化 
• ツールを減らす/ライセンスを増やす

この調査では、サイバーセキュリティ成熟度スケールを作成するために、サイバーセキュリティの分野で働く調査対象者に、組織のサイバーセキュリティへの備えのレベルを基本 (レベル 1) からクラス最高 (レベル 4) まで評価してもらいました。  

そして、調査した最も先進的な組織であるレベル 4 組織の実践と行動について詳しく知るために、これらのコホートを比較しました。(以下参照)

私たちは何を学んだでしょうか？

先進的な組織（例えばレベル４）は、経営幹部から非常に強い賛同を得ています。80％が、組織の経営幹部は非常に協力的であり、サイバーセキュリティのミッションに投資していると回答しています。これは、成熟度の低い組織の2倍以上です。

レベル４の組織の経営陣は、脆弱性管理やゼロトラストなどの複雑なトピックなど、主要なセキュリティ概念を理解しています。実際、彼らはレベル 2 と比較してこれらの用語を理解している可能性が少なくとも 2.5 倍高いです。これは彼らが熱心で、情報を得ており、認識していることを意味します。

先進的な組織におけるCISOは、CIOに対し報告する（40％）よりも直接CEOに報告する（51％）ことが多いようです。このコホート以外では、CISO は CIO に直属することが多くなります。報告構造に対する唯一の答えはありませんが、CISOは経営幹部と過ごす時間があり、組織戦略やリスク許容度に関する会話に加わる可能性が高いからです。

先進的な組織は、ソフトウェア サプライ チェーン全体のリスクを調査し、特定しています。レベル 4 の73%は、サプライチェーン内で最も脆弱な (侵害された場合に組織に最大の影響を与える) サードパーティのシステム/コンポーネントを特定したと回答しています。これは、成熟度の低い組織のほぼ3倍です。 

先進的な組織は、サイバー AIがもたらす脅威に対処する方法と資産として活用する方法の両方について、明確なサイバーAI戦略を持っています。AIの悪影響について他の人よりも懸念しているにもかかわらず、レベル2の28%と比較して、61%はAIがセキュリティにとって正味プラスであると考えています。

レベル4の組織のうちの80％は、生成AIの脆弱性とリスクに対処するために文書化された戦略があると回答しています。（これに比較すると、レベル2では48％）また、レベル4には、エンドポイント管理、検出と対応からモバイル脅威防御、フィッシング対策トレーニングまで、AIを活用した脅威から守るためのより多くの保護層が設けられています。

レベル 4 の組織も含めすべての組織が未だ苦戦していることとは何ですしょうか？

可視化も管理もされていないBYODは、先進的な組織においても問題になります。そうです。レベル4の組織は、調査対象となった他の組織よりもBYODを許可および管理している傾向が高いとはいえ、その数字は例外的です。先進的な組織の5社に1社近くが、BYODは許可してはいないものの、以前として容認していると回答しています。また、25％は現在のところBYODを追跡および管理できていないと回答しています。

セキュリティとIT間のデータサイロ化の問題は、すべての組織において見られます。先進的な組織のうちの71％が、自社内のセキュリティ及びITデータがサイロ化されていると答え、レベル2の組織よりも実際に8ポイント高い数字となっています。レベル4の58％は、これらのサイロ化がセキュリティの応答時間を遅延させていることを認めています。データのサイロ化は、CISOとCIOにとって普遍的な問題であり、AIに対する投資をスピーディに行うにはデータの統合とアクセス性が求められるため、特に厄介な問題です。 

データサイロを修復し、組織のリスク状況を全体的に把握することは、技術的な問題だけではありません。それはリーダーシップの問題でもあります。

当社は、サイバーセキュリティにおける次の段階では、最新のテクノロジーの進歩を活用し、より安全な職場を推進するために、CIOとCISO の間の連携を強化する必要があると考えています。

2025年：CIOとCISOの間の意見相違に橋を渡し、サイバーセキュリティに対しより一貫したアプローチを採用します。つまり...

1. CIO と CISO がセキュリティ義務についてどのように考え、行動するかを調整します。
2. 応答時間を遅らせ、重要な洞察を隠し、AIによって生まれるイノベーションを遅らせるデータサイロ化を解消します。
3. ITとセキュリティ全体で使用するテクノロジーツールの数を削減します。常に、組織のセキュリティ体制をより全体的に把握することを念頭に置いています。
4. CIOとCISOの興味や関心を織り交ぜた、高性能のITインフラ、サービス及びソリューションを導入します。 

この記事を共有する