Gil Geron, CEO & Co-Founder of Orca Security

AIはすでにあなたのビジネスの中にいる。セキュアにしないと、後れを取ることになる

あなたの組織全体に公式にAIを導入したかどうかは関係ありません。AIはすでにそこにあります。従業員はChatGPTを使用して文書を草案作成しており、分析を速めるために機密データをオンラインツールにアップロードしている可能性が高く、コードからカスタマーサービスまで、すべてのショートカットに生成ツールを頼っていることになります。AIは、あなたの了承があってもなくても進行しています。これはCISOを夜も眠れなくするはずです。未確認のAIツールが各部門に広がることは、影のITの新しい、急速に成長するレイヤーを作り出しています。これは分散されており、ほとんど見えず、リスクが満ちています。コンプライアンス違反、データ漏洩、追跡できない意思決定など、AI使用の波を無視することの結果は実在します。然而、まだ多くの企業は、ポリシーまたはファイアウォールでそれを抑えることができると考えています。しかし、真実は、AIをブロックすることはできないということです。AIはセキュアにすることができます。企業がそれを受け入れるほど早く、危険なギャップを閉じることができるようになります。影のAIが組織に浸透し、セキュリティの盲点となっている私たちはこのパターンを以前にも見たことがあります。クラウドの採用は2010年代初頭に同じように始まりました。チームは、セキュリティチームの承認なしで、仕事を速めるのに役立つツールに手を伸ばしました。多くのセキュリティチームは変化に抵抗しようとしたのですが、最終的には、侵害、ミスコンフィギュレーション、またはコンプライアンス違反が発生したときに、対応することになりました。今日、同じことがAIで起こっています。私たちの2024年AIセキュリティ報告書によると、半分以上の組織がAIを使用して独自のカスタムアプリケーションを開発しています。しかし、モデルがどこに存在するか、どのように構成されているか、機密データを公開しているかどうかについての可視性はほとんどありません。これにより、2つのリスクが生じます。 従業員が機密または機密データにアクセスするためにパブリックツールを使用することにより、その情報がオーバーサイトなしに外部システムに公開されること。 内部チームがセキュリティコントロールが不十分なAIモデルを展開することにより、脆弱性が生じ、監査に失敗する可能性のある悪い実践が生じること。 影のAIはセキュリティ問題だけではなく、ガバナンスの危機となる可能性があります。AIの使用状況が見えていない場合、AIをどのようにトレーニングするか、どのデータにアクセスできるか、どのような出力を生成するかを管理することはできません。また、AIの決定を追跡していない場合、説明または防御する能力を失い、規制上の、評判上の、または運用上のリスクにさらされることになります。伝統的なセキュリティツールが不足する理由ほとんどのセキュリティツールはAIを処理するように設計されていません。モデルアーティファクトを認識できず、AI固有のデータパスをスキャンできず、LLMの相互作用を追跡したり、モデルガバナンスを適用したりする方法を知りません。存在するツールでも、パズルの狭い部分に焦点を当てていることが多く、統合的なビューを提供することなく、ポイントソリューションを扱う組織に残ります。それは問題です。AIセキュリティは後から考えることや追加することではありません。クラウド環境を管理する方法、データを保護する方法、DevSecOpsパイプラインを構造化する方法に組み込まれる必要があります。そうでない場合、運用の中心となるAIの重要性を過小評価し、ビジネスインフラストラクチャの重要な部分としてセキュアにする機会を逃しています。「ブロックするだけ」は終わらせる必要がある「サードパーティAIツールを禁止する」または「内部実験を禁止する」ポリシーを通じてこれを解決できるという考えは、魅力的かもしれません。しかし、それは願望的な考えです。従業員は、仕事を速く行うためにAIツールを使用しています。而且、彼らは悪意を持って行っているのではなく、単にそれが機能するからです。AIは成果を倍増させる力であり、従業員はそれが仕事を速く行うのに役立つ限り、AIに手を伸ばすでしょう。そのような行動を全面的に阻止しようとしても、効果がないでしょう。それはただそれを地下に追いやるだけです。而且、何かが間違った場合、あなたは最悪の立場に置かれ、可視性も、ポリシーも、対応計画もありません。AIを戦略的に、セキュアに、可視的に受け入れる賢いアプローチは、AIを積極的に受け入れることですが、あなたの条件で受け入れることから始めます。それには3つのことが必要です。 従業員に安全で承認されたオプションを提供します。リスクの高いツールの使用を避けたい場合は、セキュアな代替手段を提供する必要があります。内部のLLM、検証済みのサードパーティツール、またはコアシステムの統合されたAIアシスタントなど、従業員がいる場所で、同じくらい速く、しかしはるかにセキュアなツールを提供することが重要です。 明確なポリシーを設定し、施行します。AIガバナンスには具体的で、実行可能で、従業員が簡単に従えることができるポリシーが必要です。どのようなデータがAIツールと共有できるか。どのような赤い線がありますか。誰が内部AIプロジェクトのレビューと承認を担当しますか。ポリシーを公開し、技術的および手続き的な施行メカニズムが整っていることを確認します。 可視性と監視に投資します。見えていないものをセキュアにすることはできません。影のAI使用を検出できるツール、公開されたアクセスキーを特定できるツール、構成ミスのモデルをフラグできるツール、および機密データがトレーニングセットまたは出力に漏洩している可能性を強調できるツールが必要です。AIポストゥア管理は、クラウドセキュリティポストゥア管理と同様に重要になりつつあります。 CISOがこの移行を主導する必要がある好きでも嫌いでも、これはセキュリティリーダーシップにとって決定的な瞬間です。CISOの役割は、インフラストラクチャを保護することだけではありません。安全にイノベーションを促進することにもなります。これは、組織がAIを使用してより迅速に動くことを支援し、セキュリティ、プライバシー、コンプライアンスがすべてのステップで組み込まれるようにすることを意味します。そのようなリーダーシップは次のようになります： 取締役会と経営陣に実際のAIリスクと感覚的なAIリスクを教育する セキュリティをより早くAI展開に組み込むためのエンジニアリングチームや製品チームとのパートナーシップを構築する AIシステムの動作を理解するモダンなツールに投資する 責任あるAI使用がすべての人の役割である文化を構築する CISOは部屋の中でAIの専門家である必要はありません。しかし、正しい質問を投げかける人である必要があります。どのモデルを使用していますか。どのようなデータがそれらに食事を与えていますか。どのようなガードレールが整備されていますか。証明できますか。結論：何もしないことは最大のリスクであるAIはすでにビジネスの運用方法を変えています。カスタマーサービスチームがより迅速な返信を起草したり、財務チームが予測を分析したり、開発者がワークフローを加速したり、AIは日常業務に組み込まれています。現実を無視しても、AIの採用を遅くすることはできません。それはただ盲点、データ漏洩、規制違反を招きます。最も危険な進路は、無策です。CISOおよびセキュリティリーダーは、すでに真実であることを受け入れる必要があります。AIはここにあります。システムの中にあり、ワークフローの中にあり、消えることはありません。質問は、AIが被害を与える前にセキュアにするかどうかです。AIを受け入れるですが、セキュリティ第一のマインドセットでなければなりません。それが次に来るものに先んじる唯一の方法です。