サイバーセキュリティ業界は常に変化しています。2024年もすでに国際情勢の緊迫化、コンプライアンス要件の強化、そしてもちろん生成AIの急速な普及が業界に激変をもたらしています。
このたびSplunkが公開した『2024年セキュリティの現状：競争が激化するAIの活用』では、1,650人のセキュリティリーダーを対象に行った調査からセキュリティに関する最新の動向を考察しています。Enterprise Strategy Groupと共同で実施したこの調査では、9カ国、16業界のセキュリティリーダーが考える今後の展望、期待、現在の課題が明らかになりました。また、セキュリティチームが最も懸念する攻撃タイプや脅威ベクトルについても調査したところ、セキュリティ関係者は、AIを悪用した攻撃のような未知の脅威を恐れがちである一方、実際の脅威の多くは人間が主な要因となっていることがわかりました。
プラスの面に目を向けると、環境が複雑化しているにもかかわらず、セキュリティリーダーの間では楽観的なムードが広がっています。サイバーセキュリティ要件への対応が楽になったと回答した組織の割合は41%にのぼり、前年比で7ポイント増加、2022年と比べると24ポイント増加しました。私は楽観的なCISOとしてこの流れを歓迎しています。セキュリティチームは、エンジニアリングチームやIT運用チームなどの他部門とコラボレーションを強化し始めています。MTTD (平均検出時間)も大幅に向上し、ビジネスの中断につながるインシデントの検出時間が平均で14日以内と回答した割合が55%にのぼり、前年の28%から大きく増加しました。非常に先進的なセキュリティプログラムを推進している組織ではこの傾向が顕著で、その他の組織と比べて、ビジネスの中断につながるインシデントのMTTDが60%以上短いこともわかりました。
とはいえ、まだ完全な勝利とは言えません。攻撃の勢いは続いています。特にデータ侵害とランサムウェアは、Splunkが2021年にこのセキュリティ調査を開始して以来、着実に増加しています。また、生成AIがサイバーセキュリティ対策の主軸となりつつあり、これに適応できない組織は取り残されることになります。
生成AIのリスクとメリット
私は、サイバーセキュリティ分野での20年の経験の中で、AIほどこの業界にインパクトを与えたものはないと感じています。今回のレポートでは、AIへの期待、不透明な将来に対する不安、現状、今後の予測を明らかにしています。公開されている生成AIツールをすでに使用している組織は93%にのぼります。また、サイバーセキュリティに関して重視する取り組みとして、今年はAIを挙げた組織が急増し、クラウドセキュリティを上回りました。
多くの組織が生成AIのメリットをいち早く得ようと競い合う中で、その導入によってもたらされるリスクに対処する責任を担うのはセキュリティチームです。リスクにはさまざまなものがあります。たとえば、77%の回答者が生成AIの利用拡大に伴ってデータ漏えいのリスクが高まると懸念しています。また、法にも倫理にも縛られない攻撃者による生成AIを悪用した脅威も大きな懸念材料です。
2024年に入った時点で生成AIはまだ「未開の地」状態であり、ポリシーやガードレールによる制限はそれほど厳しくありません。この自由度は魅力的である一方で、リスクを伴います。特に憂慮されるのは、調査で65%のセキュリティリーダーが認めたように、生成AIとその影響に関する教育不足です。さらに、34%の組織が生成AIに関するポリシーを策定しておらず、その導入率の高さを考えるとこちらも懸念されます。
生成AIが最終的に防御側と攻撃側のどちらにメリットをもたらすかについて回答者の意見は割れましたが、ひとつ確かなのは、防御側が主導権を握るには、生成AIがもたらすリスクとメリットについて、セキュリティリーダー自身とセキュリティチームがよく理解しておく必要があるということです。
コンプライアンス強化の波及効果
セキュリティリーダーが重圧を感じているのは生成AIだけではありません。米国の証券取引委員会(SEC)が定めた新しい規則やEUのNIS2指令の下では、2024年以降、コンプライアンス違反に対してセキュリティチームの幹部が個人的に違反に対する責任を負うことになります。調査では、62%が重大なインシデントの開示に関する義務の変化の影響をすでに受けていると回答しています。
このような新しい規制では、インシデントの迅速な報告が求められます。このことは、想定内の結果だけでなく予期せぬ結果も招くでしょう。プラスの面としては、コンプライアンスチーム、法務部門、セキュリティチームのコラボレーションが活発になり、連携が強化されることになるでしょう。一方で、セキュリティ部門の幹部にとっては、仕事のミスで刑務所行きになる可能性があるという現実的な不安が付きまといます。実際、調査では、76%の回答者がこうしたリスクによりサイバーセキュリティの仕事の魅力が低下していると考えています。
そのリスクを緩和するには、CISOが取締役会に状況を的確に伝え、サイバーセキュリティリスクがビジネスリスクであると認識してもらうことがこれまで以上に重要です。非常に明るい話題としては、調査対象となったほぼすべての組織(96%)が、今後2年間でサイバーセキュリティ予算が大幅に増額されると見込んでいます。これは、セキュリティリーダーの危機感が取締役会に伝わっていることの証でしょう。
レポート全文では、詳しい調査結果、取り組みが先進的な組織の特徴、AIの時代にイノベーションを加速させレジリエンスを強化する方法についてのSplunkエキスパートからの提言をご紹介しています。ぜひご覧ください。
このブログはこちらの英語ブログの翻訳、大久保 かがりによるレビューです。
