「自社都合」のセキュリティ対策になっていないか 相次ぐ情報漏えい、安否を分ける3つの対策（3/3 ページ）

AIの活用によって、サイバー攻撃は高速化・巧妙化している。企業は何を優先して守るべきなのか。KDDIグループのセキュリティ事業を手掛けるラックでCTOを務める倉持浩明氏は、守る側の都合で対策の優先順位を決める危険性を指摘する。

[米倉志保，ITmedia]

企業が取り組むべき、3つのセキュリティ対策

　では、企業は具体的に何に取り組めばよいのか。倉持氏は3つのポイントを挙げる。

1．セキュリティ対策は後から足すのではなく、最初から組み込む

　1つ目は、システムやソフトウェアを企画・設計する段階から、セキュリティ対策を組み込むことだ。システムを開発した後に問題を見つけて修正するのではなく、企画や要件定義、設計、開発の各段階で対策を講じ、脆弱性が生まれるリスクそのものを減らす。

2．システムの安全な状態を把握し、維持する

　2つ目は、稼働中のシステムが安全な状態かを継続的に確認することだ。

　システムは一度作れば終わりではない。事業の変化に応じて設計や設定、利用者の権限などが変更されるほか、新たな脆弱性が見つかることもある。こうした変化によって、当初は安全だったシステムに新たなリスクが生じる可能性がある。

3．検知・修正・確認を素早く繰り返す

　3つ目は、セキュリティ上の問題を見つけるだけでなく、迅速に修正し、安全な状態に戻ったことを確認する仕組みを整えることだ。脆弱性の検知・修正・確認のサイクルを素早く繰り返すことが大切だという。

　また、セキュリティ対策を専門部門だけの仕事にしてはならない。人材が不足する中、開発部門や運用部門のメンバーも、セキュリティの知識を身に付ける必要がある。

人の知見も重要だ

　AIによってサイバー攻撃の速度が増す中、脅威を知るだけでなく、自社への影響を素早く判断し、対策につなげる仕組みが求められる。その過程にAIを活用することは有効だが、最終的な判断と実行の責任は人間にある。倉持氏は「AI時代だからこそ、基本を当たり前に実行していく。それが非常に重要だ」と話した。