「AIは実戦では役立たず」 セキュリティリーダーたちが語る“ホンネ”：Cybersecurity Dive

セキュリティリーダーたちはランサムウェアを含むマルウェアの脅威より、AIに関連するリスクをより懸念しているという。特にAIを活用したソリューションへの関心は高い一方で、実際の価値については疑問を感じているようだ。

[Eric Geller，Cybersecurity Dive]

　サイバーセキュリティ事業を営むArctic Wolfの新たな報告書によると（注1）、サイバーセキュリティを担当する幹部の約30％が、AIに関連するプライバシーやセキュリティの問題を最も大きな懸念事項として挙げており、ランサムウェアやその他のマルウェアによる脅威を上回っているという。

「AIは実戦では役立たず」？　セキュリティリーダーたちのホンネ

　この報告書は、15カ国にわたる1200人以上のリーダーを対象とした調査に基づくもので、ランサムウェアの交渉担当者による支払い額の減少、侵害の広範な発生状況、サイバーセキュリティ分野に対する企業の投資に対するリターンの認識に関する傾向などがまとめられている。

　もう一つ興味深いデータがある。セキュリティリーダーの約85％が次世代型エンドポイントセキュリティソフトを導入していると回答した一方で、それらのツールによってネットワーク全体を完全に可視化できていると答えたのはわずか40％にとどまった。

　Arctic Wolfの報告書は、AIの能力の進化や攻撃の収益性の変化に攻撃者が適応しつつあるこの転換期において、セキュリティの専門家たちがどのように考えているかを捉えたものだ。報告書によると、企業の86％は何らかの形でAIの利用方針を策定しており、AIの活用を進めようとしている。しかし、AIを活用したセキュリティソリューションは、依然として投資対効果の面で課題を抱える。回答者の18％は、企業のセキュリティ対策において、これらの技術を「最も価値を生んでいないツール」の筆頭に挙げた。

　Arctic Wolfの報告書では次のような指摘がなされた。

　「AIを搭載したデバイスはデモンストレーションで優れた成果を示すものの、現実の環境では期待に沿う性能を発揮しない傾向がある。このギャップは、非現実的に高い誤検知率を原因としている可能性が高い。こうした機器に対する信頼性が十分に高まるまでには、まだかなりの時間がかかるだろう」

　一方、AIは企業のサイバーセキュリティ計画を推進する大きな原動力にもなっている（注2）。

　「データ変革と安全なAI導入」は、回答者の戦略的意思決定を推進する要因として最も多く挙げられ、全体の45％が言及した。次いで、プライバシーとデータ保護、リスク管理が挙げられた。Arctic Wolfは、こうした戦略的な動機と現実の脅威との間にギャップがあることに警鐘を鳴らしており、AIによる攻撃は、一般的な脆弱性を突いた侵害に比べれば取るに足らないものであると指摘している。

　報告書には次のような記載もある。

　「スタッフに対して、フィッシングの誘導やMFA爆弾（多要素認証を悪用した攻撃）、その他の一般的かつ厄介な手口を見分ける訓練を実施することは、組織の耐性を高める上で費用対効果の高い方法だ。しかし『セキュリティ意識を根付かせる文化の構築』を戦略的な推進要因として選んだ回答者は、わずか31％にとどまった」

　サイバーセキュリティ事業を営むPalo Alto Networksでプロダクトマネジメントを担当するリッチ・カンパーニャ氏（シニアバイスプレジデント）は「AI分野が複雑で急速に進化していることを考えれば、企業がAIの脅威に強い関心を持つのは当然のことだ」と述べた。しかし、同氏は続けて「AIのような将来的な脅威を過度に重視すると、攻撃者が日常的に悪用している、一般的で非常に効果的な攻撃手法への防御に抜け穴が生まれかねない」と警告した。

　ランサムウェアは大きな注目を集めているものの、ビジネスメール詐欺（BEC）も同様に重大な脅威であり続けている（注3）。回答者の23％が、2024年にランサムウェアまたはデータ流出につながる攻撃を受けたと答えた一方で、35％がBEC攻撃を経験したと回答している。また、別の35％は「重大なマルウェア感染」を経験したと答えた。全体の70％が、何らかの重大なサイバー攻撃を受けたと報告しており、そのうち64％の攻撃では、生産性の低下が少なくとも3カ月間にわたって続いたという。

（注1）Trends Report（ARCTIC WOLF）
（注2）Enterprises beef up cybersecurity plans to mitigate AI risks（Cybersecurity Dive）
（注3）BEC scams, investment fraud accounted for biggest cybercrime losses in 2024（Cybersecurity Dive）

原文へのリンク