検出も解析もAIに任せろ それでも「一生任せられない」最後の判断

攻撃の量と速度が人の手の限界を超えつつある今、守る側にもAIの活用が欠かせない。検出や解析の自動化が進めば、セキュリティ担当者の仕事はなくなるのか。それとも、AIがどれほど進化しても残る仕事があるのか。前編に続き、セキュリティを手掛ける企業の経営者に聞いた。

[松林沙来，ITmedia]

　「もう人の力を超えている。しかも彼らは寝ない」。攻撃者のAI活用について、Webアプリケーション脆弱（ぜいじゃく）性診断ツールを手掛けるエーアイセキュリティラボの青木歩氏（代表取締役社長）は前編でそう語った。生成AIが攻撃メールの「日本語の壁」を崩し、AIが脆弱性を見つけ出す件数は爆発的に増えた。

　守る側の景色も変わりつつある。AIモデルは数カ月単位で進化し、脆弱性の検出やログの解析、監視といった定型的な仕事で、AIに任せられる範囲が広がっている。年1回だけ外部に委託して診断すれば安心、という時代ではなくなったと青木氏は見る。

　しかし同氏は、AIがどれほど進化しても「一生任せられない」仕事が人間に残ると話す。

AIに任せられない「最後の判断」とは

　青木氏が挙げるのは、判明したリスクにコストをかけて対処するのか、それとも事業リスクとして受容するのかを決める、経営の判断だ。

――診断や監視をAIに任せたとき、人間の担当者に残る「最後の判断」は何でしょうか。

青木氏：　技術的な要素には、もう答えがあります。そこはAIに任せてしまえばいいと思うのです。ただ、それを実行するのかしないのか、コストがかかるのであればそこまでやるのか諦めるのか。AIが言ったからといって、やらなければいけないわけではありません。

　セキュリティをやっていると、考え方が二極化しがちです。売り上げ1000万円の会社に「5000万円払って対策しろ」という何でもやれ派と、「身の丈があるのだから、最後は諦めるしかない」という派です。リスクには怖い面もあればチャンスもあるので、そこを見極めていくのですが、これが簡単ではありません。

　システムを作るにしてもユーザー部門がいて、事業部門がいて、システム部門とセキュリティ部門がいる。そもそも利害が違います。この意思統一と調整、コンセンサスを取った上での判断は、AIには一生任せられません。

　仮に将来、AIが「これを放置すると5億円の被害が出ます」と数字で明確に示してくれたとしても、その5億円の損害にイエスと言うのかノーと言うのか。対策で5億円が3億円に下がるからやるのか、1億円まで下がるならやるのか。そこはもうAIでは無理です。その調整と判断、リスクをどこまで許容するのかしないのかが、とても大事になります。

年1回の委託診断で「やった」ことにしていないか

――生成AIは、守る側の在り方をどう変えましたか。

青木氏：　違った意味で、われわれが創業から言っていた時代が来たと思っています。細大漏らさず脆弱性を見つけて潰し込む。リリースのたびに少し反映して「やった」ことにするのではなく、全部をやるべきです。しかも委託するだけでは無理なので、自分たちで責任を持ってやり切る「内製セキュリティ」のチームを作りましょう、と。それがわれわれの脆弱性診断ツール「AeyeScan」に込めた思いでもあります。

　ただ、先ほど言ったように攻撃側が人間を少し超え始めています。本当にやられたとき、「全部の項目をやり切れていますか」という意味では、まだまだレベルを上げなければいけない部分が大いにあります。AeyeScanの強化には、ここ最近もずっと大事なテーマとして取り組んでいます。

予算は「俺としてはこんなものだ」の一言でいい

――企業は何から手を付けるべきでしょうか。AIセキュリティの時代になって、経営層への予算の説明は変わりますか。

青木氏：　ほぼ変わっていないと思います。やることは変わらず、今までやりなさいと言われてきたことをやっていきましょう。身の丈でいいのです。身の丈以上のものをやる必要はないと思っています。

　ただ、いくらが適切なのかは経営が線を引かなければいけません。例えば売り上げ50億円でコストが40億円、利益が10億円ほど出る会社なら、セキュリティ対策のコストを2億円にするのか5億円にするのか。それも会社の判断です。その総予算は経営者がしっかり持っておくべきで、そのとき細かい説明なんてできなくてもいい。「俺としてはこんなものだ」の一言でいいと思うのです。それを今後言語化していく作業が、セキュリティの成熟度を上げることにつながります。まず「全体でいくらにしよう」と決める。そうでないと、相場を取ってみて多いか少ないかという話になります。それは経営が判断していないということではないでしょうか。

　AIに技術的なことを全部任せたら、残るのは人間の判断です。その判断を巡る対話を、経営とセキュリティ担当者がいかにできるようになるか。これがセキュリティの人たちに課せられた大事な仕事だと思います。経営とセキュリティ担当者の間にあったすれ違いを解消するチャンスが、逆に来たのかなとも思います。

3年後、セキュリティの仕事はどうなるか

――青木さんは2000年からこの業界にいます。変化を追い続ける面白さはどこにあるのでしょうか。

青木氏：　2001〜2002年はウイルスが猛威を振るった技術の問題、2005年ごろは個人情報保護法の施行で法制度の問題、2007〜2009年ごろはJ-SOX（日本版SOX法）で企業ガバナンスの問題と、技術だけでも法律だけでもない、総合格闘技のような領域なのです。昨日の正解が今日の不正解になるし、昨日やってはいけなかったことが今日からやってよくなる。常に追いかけ続けないといけないところが好きです。

――その変化のスピードを踏まえて、3〜5年後のセキュリティの仕事はどうなっているでしょうか。

青木氏：　半年前と比べても、できることのレベルが全く違う。3〜5年たてば、定型的な仕事は多分全部できるようになっていて、全く違う世界になっているでしょうね。

　それでも、人対人の仕事は残ると思います。センターに24時間張り付いて解析や監視をするような仕事はAIで自動化されます。それが好きな方はそこを突き詰めた仕事ができるし、仕方なくそこにいる方は、判断する側なり別の仕事なりを見つけるチャンスがあるのではないでしょうか。

――最後に、ITmedia エンタープライズの読者へメッセージをお願いします。

青木氏：　セキュリティは「難しい」「面倒くさい」「大変だ」と言われますが、割と本気で、そんなことはないと思っています。こんなにクリエイティブで、動きがあって、楽しい世界はありません。ただ「できる限りやりたくない」という方々にとっても、とてもいい時代が来ていると思うのです。

　AIの時代には新たな脅威も生まれていますが、逆に言えば、便利に使えば守れる。面倒くささを代替してくれるものです。セキュリティ対策にうまくAIを使うことで、皆さんが「楽だ、ハッピーだ」と思えるプロダクトをわれわれは出し続けたいし、われわれ自身もAIを活用して価値を届けたいと思っています。