AI時代のセキュリティ- 変化に適応するため、原点に戻る
OpenAIの「The Defender's Window」を読み、最後のCall for Actionの前で、しばらく立ち止まって考えていた。
この記事が私たちに求めているのは、AIという新しい技術を導入することだけではない。AIによって生じた大きな変化を認識し、私たち自身が変わることではないだろうか。
そこで思い浮かんだのが、チェンジマネジメントだった。
AI導入は、チェンジマネジメントである
私は最近のインタビューで、セキュリティにおいて特に重要なものの一つはチェンジマネジメントだと繰り返し話した。
新しいセキュリティ製品やルールを導入しただけでは、組織のセキュリティは変わらない。それを現場の仕事に落とし込み、なぜ必要なのかを理解してもらい、新しい行動として定着させる必要がある。
脆弱性管理は、その分かりやすい例だ。
これまでアプリケーションを作ることに集中していた開発者に、セキュリティを考えてもらう。脆弱性が発見されたら、自分たちの問題として修正してもらう。そのためには、手順を追加するだけでは足りない。なぜ直さなければならないのかを理解し、仕事に対するマインドセットそのものを変えてもらう必要がある。
つまりチェンジマネジメントとは、変化を現場に腹落ちさせ、新しい仕事の仕方に適応してもらうことだ。
AIにも、同じことが必要なのではないだろうか。
変化を「差分」と「影響」で捉える
チェンジマネジメントにはさまざまな方法論があるが、私はもっとシンプルに考えている。私の癖で、数式のように捉える。
まず確認するのは、「何が変わったのか」である。
現在の状態をX、これからの状態をYとすれば、その差分が変化Zになる。
Z = Y − X
このZは、組織全体に一様な影響を与えるわけではない。
たとえば、IT部門の中にA、B、C、Dという異なるチームがあるとする。同じ変化Zであっても、各チームの役割や業務、責任によって影響は異なる。
Impact（I）= Z × 各チームの特性
影響が大きいところほど、混乱や抵抗も大きくなる可能性がある。そこで影響を並べ、大きいものから対策を考える。
ただし、すべての影響に対処しようとしてはいけない。それでは永遠に終わらない。どこまでを扱うかという閾値を決める必要がある。私は通常、影響の大きい上位三つに焦点を当てる。
そのうえで、二つの問いを考える。
- どうすれば、変化の必要性を腹落ちさせられるか。
- どうすれば、新しい方法に適応してもらえるか。
今のAIに関する議論は、モデルやツールなど、AIそのものを中心に展開されることが多い。もちろん、それは重要である。
しかし、人間や組織、そしてAIを実際に使う人を中心に置く見方も必要だ。AIは人の仕事をどう変えるのか。その変化は誰に、どのような影響を与えるのか。そして、その影響にどう対処するのか。
「The Defender's Window」も、突き詰めればその必要性を訴えているように思う。記事は、セキュリティの基礎を強化すると同時に、防御側へAIを導入し、実験と小さな自動化を重ねながら組織全体の能力を引き上げるよう呼びかけている。
これは、AIの導入計画であると同時に、私たちセキュリティプロフェッショナルに対するチェンジマネジメントなのではないだろうか。
変わるために、原点へ戻る
それでは、私たちは具体的にどう変わらなければならないのか。
AI時代のセキュリティを考えるとき、議論はどうしてもAIから始まりがちだ。AIに何ができるのか。どこまで自動化できるのか。人間より速く、正確にできるのか。
もちろん、そうした問いは重要である。しかし、私はその前に、一度原点へ戻る必要があると考えた。
私たちは何を守らなければならないのか。
なぜ、それを守らなければならないのか。
そもそも、セキュリティの目的とは何なのか。
私にとってセキュリティとは、組織がデジタルの世界でしなやかに生き残り、繁栄していく力を育てることである。組織を脅威から守ることは、その一部だ。しかし、「守る」とは単にシステムを止めないことではない。
組織が生き残るためには、事業を続け、価値を生み、そこで働く人たちも生活を続けられなければならない。だから私たちは、その組織が何によって成り立ち、どのように価値を生み、何を失えば存続できなくなるのかを理解する必要がある。
そのうえで、守るべきものを決める。
「繁栄」が何を意味するかは、組織によって異なる。事業の成長かもしれない。組織としての成熟かもしれない。あるいは、社会への貢献かもしれない。
それを決めるのは、AIでもセキュリティ部門でもない。経営者や組織、そして、そこで働く人々である。
だから、AI時代のセキュリティもAIから始まるのではなく、人間と組織から始まらなければならないのではないだろうか。
AIは脆弱性を直せても、何を守るべきかは決められない
AIは、脆弱性を発見し、評価し、優先順位を付け、修正案を作ることができる。その速度と処理能力は、やがて多くの領域で人間を大きく上回るだろう。
しかし、脆弱性管理とパッチ管理は、コインの表裏である。
脆弱性管理では、問題を発見し、評価し、優先順位を付ける。一方、実際にパッチを適用するのは、多くの場合、そのシステムを所有し、事業への影響に責任を負う側である。
脆弱性を発見することと、それを安全に修正することは同じではない。
セキュリティの観点からは正しい修正であっても、システムを停止させ、事業や顧客に深刻な影響を与える可能性がある。何を、いつ、どのような方法で直すのかを判断するには、そのシステムが事業の中で果たしている役割を理解しなければならない。
その判断には、技術情報だけでなく、組織固有の文脈が必要になる。
対象となる情報はどれほど機密性が高いのか。
そのシステムは競争優位性とどのように関係しているのか。
停止した場合、顧客や従業員にどのような影響が生じるのか。
どのリスクなら受け入れられ、どのリスクは決して受け入れられないのか。
AIに適切な判断を支援させるためには、AIにもこうした事業の文脈を伝えなければならない。しかし、その文脈を定義するのは、あくまでも人間と組織である。
AIを強くするだけでは足りない。AIの導入に先立ち、あるいは導入と並行して、組織自身が何を守りたいのか、何を失ってはならないのかを明確にする必要がある。
セキュリティとは、脆弱性を一つでも多く修正することではない。組織が置かれている文脈の中で、人と事業を守り続けることである。
人間から始まり、人間に戻る
AI時代のセキュリティは、人間を中心に考える必要がある。
まず、人間と組織が目的を定める。
次に、AIがその目的のために膨大なデータを処理し、脅威や脆弱性を発見し、選択肢を提示する。
そして最後に、人間が組織の文脈に照らして判断し、その結果に責任を持つ。
人間から始まり、AIの力を借り、最後は再び人間に戻る。
この循環が重要なのだと思う。
AI中心の考え方が間違っているわけではない。AIに何ができるのかを知り、その能力を最大限に活用することは必要である。しかし、AIの能力を出発点にすると、「できるから実行する」という発想に陥りやすい。
人間と組織を出発点にすれば、問いは変わる。
「AIに何ができるか」ではなく、
「私たちは何を実現したいのか」から始められる。
「何を自動化できるか」ではなく、
「誰を、何から守るために自動化するのか」を考えられる。
「人間より優れているか」ではなく、
「人間と組織の目的に、AIをどう生かすか」を問うことができる。
重要なのは、AIそのものではない。AIによって、人間と組織がよりよく判断し、行動し、変化に適応できるようになることである。
そう考えると、AI時代のセキュリティに必要なチェンジマネジメントとは、単に新しいツールの使い方を覚えてもらうことではない。AIがもたらす変化を人間と組織の視点から捉え直し、何を守るのか、なぜ守るのかを改めて共有することである。
人間と組織から始まり、AIの力を生かし、最後は人間の判断と責任に戻る。その循環を現場に根付かせることこそ、私たちセキュリティプロフェッショナルに求められている変化なのではないだろうか。