編集部
2024年、サイバーセキュリティの世界は大きな変革を迎えています。生成AIの台頭は、セキュリティの概念を根本から変えつつあり、CISOたちは新たな技術の可能性とリスクのバランスを模索しています。この記事では、Gartnerの予測を踏まえ、生成AI、アイデンティティアクセス管理（IAM）、文化ベースのプログラムがいかにして2024年のサイバーセキュリティを形作るかを探ります。セキュリティの未来を左右するこれらの要素について、深く掘り下げていきましょう。
生成AIの台頭：サイバーセキュリティの新たな地平
2024年、サイバーセキュリティ業界は生成AI（Generative AI）の台頭により、大きな転換点を迎えています。この技術は、従来のセキュリティ対策を根底から変える可能性を秘めており、業界全体がその影響を注視しています。生成AIは、複雑なデータ分析やリスク評価を高速で行うことができ、これまで人間が行っていた時間のかかる作業を効率化します。特に、脆弱性の管理や脅威情報の収集・対応といった分野での活用が期待されています。
しかし、この新技術はまだ初期段階にあり、その実用性やROI（投資対効果）を測る「ベストプラクティス」が確立されていません。多くの企業やセキュリティ専門家は、新しい実践方法を模索しており、その成果が具体的に見えるまでには時間がかかると予想されています。そのため、現段階では、生成AIの導入にあたり、慎重なアプローチが求められています。
生成AIの最大の利点は、その革新的な能力にあります。従来のセキュリティシステムでは対応が難しかった新種のサイバー攻撃に迅速に対応できるようになることが期待されています。また、セキュリティチームの運用効率を高めることで、グローバルなサイバーセキュリティ人材不足の問題にも一定の解決をもたらす可能性があります。
CISOのジレンマ：生成AIの可能性と懸念
CISO（最高情報セキュリティ責任者）は、生成AIの導入にあたり、大きな期待と同時に懸念を抱えています。一方で、この新技術が企業のセキュリティ対策を大きく前進させる可能性があることを理解しています。しかし、他方で、未知のリスクや倫理的な問題、さらには従業員の適応能力に関する懸念も存在します。特に、生成AIが提供する情報の正確性や信頼性、そしてその情報を基にした意思決定の影響については、慎重な評価が必要です。
CISOたちは、生成AIを安全かつ倫理的に導入し、組織の戦略的目標の達成を加速する方法を模索しています。これには、従業員の教育と意識向上が不可欠です。また、生成AIの導入は、従業員にとって新たな挑戦となる可能性があり、プロンプト疲労や生産性の低下を引き起こすリスクも考慮する必要があります。そのため、組織は実験を奨励し、セキュリティ部門内外の期待管理を適切に行うことが重要です。
最終的には、多くの組織が初期の懐疑的な見方から、技術の長期的な可能性に対する確固たる希望へと移行しています。生成AIは、セキュリティチームがより効果的に防御能力を高める手段として、今後数年間でその価値を証明することが期待されています。
文化がキーとなる：セキュリティ行動と文化プログラムの重要性
サイバーセキュリティの成功には、技術だけでなく文化も重要な役割を果たします。Gartnerの予測によると、2027年までに大企業の50%のCISOが、人間中心のセキュリティ慣行を採用するとされています。セキュリティ行動と文化プログラム（SBCP）は、組織全体にわたる安全な行動と作業慣行を促進し、組み込むことを目指しています。これは、単にエンドユーザー従業員の行動に焦点を当てるのではなく、企業のすべての役割と機能に対して包括的な視点を取るアプローチです。
Gartnerは、SBCPのためのPIPE（慣行、影響、プラットフォーム、促進要因）フレームワークを開発しました。これは、セキュリティ意識プログラムで従来使用されていなかった慣行、例えば組織変更管理、人間中心設計慣行、マーケティングとPR、セキュリティコーチングなどをガイドします。PIPEはまた、従業員の人口統計、企業予算、経営陣のリスク文化、デジタルおよびサイバーリテラシーをサイバーセキュリティプログラムに組み込むことを奨励します。
SBCPを通じて、組織はデータを深く分析し、特定のセキュリティインシデントを引き起こした従業員の行動を特定することができます。例えば、資格情報の妥協、安全でないリンクのクリック、メールの誤用などです。これにより、組織は今後の対応策をよりバランス良く進めることができます。
サードパーティリスク管理：不可避な課題への対応
ソフトウェアサプライチェーンは絶えず攻撃の対象となっており、サードパーティがいずれサイバーセキュリティインシデントに遭遇するのは避けられない状況です。そのため、CISOは「前もってのデューデリジェンス」から「レジリエンス指向の投資」へと焦点を移しています。これには、高いサイバーセキュリティリスクを持つサードパーティ関与に対する強固な緊急対応計画の策定が含まれます。また、サードパーティ特有のインシデント対応プレイブックの作成、テーブルトップ演習の実施、明確なオフボーディング戦略（適時なアクセス削除やデータ破壊など）の定義も重要です。
デジタル機能の堅牢でレジリエントなサプライチェーンの確立は、組織全体のレジリエンスにとって不可欠です。サードパーティリスク管理は、単にリスクを特定し軽減するだけでなく、サプライチェーン全体のセキュリティを強化し、将来的なインシデントに対して組織をより強固にするための戦略的なアプローチが求められています。
サイバーセキュリティのスキル再構築：新たな時代の要請
サイバーセキュリティ業界は、技術の進化と脅威の拡大に伴い、新たなスキルセットを必要としています。Gartnerによると、アメリカだけでも現在の需要の70%しか満たせていないという深刻な人材不足が指摘されています。クラウド移行、生成AIの採用、運用モデルの変革、脅威の拡大、ベンダーの統合など、これらのトレンドは新しいスキルを必要とし、サイバーセキュリティの役割を進化させています。
この状況に対応するため、サイバーセキュリティリーダーは、従来の「X年の経験」や特定のスキルを要求する慣行から脱却し、隣接スキルやソフトスキル（ビジネス理解、口頭コミュニケーション、共感力など）を重視する必要があります。また、完全に新しいサイバーセキュリティの役割に必要な新しいスキルにも注目する必要があります。
Gartnerは、必要なスキルを文書化し、役割の進化を示すサイバーセキュリティ労働力計画の開発を推奨しています。また、組織は「ウォーターフォール型」のトレーニングではなく、「反復的で短いバースト」を通じた実践的なスキル開発を取り入れる学習文化を育成するべきです。
IAMとCTEM：進化するアイデンティティ管理と脅威対策
攻撃面の拡大に伴い、アイデンティティアクセス管理（IAM）と継続的な脅威露出管理（CTEM）の重要性が高まっています。SaaSの加速度的な採用、デジタルサプライチェーンの拡大、リモートワークなどにより、組織は多くの盲点を抱えており、技術的にも分断されがちです。これに対処するため、多くの企業がCTEMを採用しています。
CTEMは、すべての脆弱性を見つけて修正するのではなく、セキュリティチームが継続的に露出を評価し、管理することを可能にします。これにより、組織特有の脅威風景に基づいて修正を行うことができます。Gartnerは、CTEMを優先する組織は、2026年までに侵害を三分の二減らすことができると予測しています。
同時に、IAMはますます重要になっています。組織は、適切なアイデンティティ衛生の実施を倍増させるべきです。また、アイデンティティ脅威検出と対応（IDTR）、セキュリティ姿勢評価の実装、アイデンティティインフラの「リファクタリング」により、アイデンティティファブリックへの進化を目指すべきです。
2024年のサイバーセキュリティ：変革の波を乗り越える
2024年、サイバーセキュリティの世界は、生成AIの台頭、人間中心のセキュリティ慣行、サードパーティリスク管理の強化、スキル再構築の必要性、そしてIAMとCTEMの進化という、大きな変革の波に直面しています。これらの変化は、セキュリティの専門家だけでなく、ビジネスリーダーにも新たな課題と機会をもたらしています。
生成AIは、セキュリティの自動化と効率化を推進し、未知の脅威に迅速に対応する能力を高める一方で、その導入と運用には慎重なアプローチが求められます。また、セキュリティの文化的側面の重要性が高まり、従業員の行動と意識を変えることが、組織全体のセキュリティ強化に不可欠であることが明らかになっています。
サードパーティリスク管理の重要性も増しており、サプライチェーン全体のセキュリティを確保するための戦略的なアプローチが必要です。さらに、サイバーセキュリティのスキルセットは進化し続けており、新しい脅威と技術の進歩に対応するためには、継続的な学習とスキル開発が不可欠です。IAMとCTEMの進化は、組織のセキュリティ姿勢を強化し、脅威に対する可視性と対応能力を高めるための鍵となります。
これらの変革は、サイバーセキュリティを単なる技術的な課題から、組織全体の戦略的な取り組みへと変えています。2024年を迎えるにあたり、これらのトレンドを理解し、適応することが、ビジネスの成功とセキュリティの確保に不可欠です。