Cスイートにおける権限の再定義: AIとの関係構築に実際に必要なこと
私はセキュリティ運用の購買側で25年を過ごし、ファイアウォールのルールで眠れなくなることは一度もありませんでした。しかし、AIのことで眠れなくなったことがあります。従来の自動化は、どれだけ複雑でも追跡可能なロジックに従います。しかし、前例のない規模のエージェント型AIでは、エンジニアが完全に説明できない判断をシステムに委ねるようになっており、この透明性の欠如が多くのCISOが行き詰まる原因です。97%のセキュリティリーダーはAIがトリアージを処理できると自信を持っていますが、実際に活用しているのはわずか35%です。この転換点は信頼の問題であり、信頼は常にそうであったように、構造・証拠・時間を通じてしか解決できません。You Can See the Automation, but Can You Trust the AI?従来の自動化では、実行前に何が起こるかを確実に予測できるため、実務者は確信を持って対応できます。この透明性が、SOCチームが内部で大きな議論なく10年以上にわたり自動化ワークフローへの信頼を築いてきた理由です。しかし、エージェント型AIは学習された判断層を導入することでこの枠組みを崩しました。コンテキストを評価し、予測的な判断を下し、結論に至るプロセスは、構築者でさえ常に完全に理解できるわけではありません。組織のわずか21%はエージェント型AIに対して成熟したガバナンスモデルを持っていると答えていますが、74%は2027年までに少なくとも「中程度」以上のAIエージェントを使用すると予想しています。セキュリティ実務者がこの種の「black box AI」を透明に説明できないことは、AIツールのガバナンスがいかに困難かを示す証拠です。ツールが適切に保護されていないからではなく、AIツールの内部動作がフローチャートではなく判断に基づいているからです。取締役会では、リーダーはAIを自動化と同様に評価し、「ロジックを見せてもらえるか？」と問いかけますが、「ロジックが変化する意思決定者への信頼をどう築くか？」とは問わないのです。多くのCISOはすでに答えを知っているでしょうが、実務でそれを適用することが課題です。Treating AI like a high-stakes hire新しいシニアアナリストのオンボーディングを考えてみてください。CISOが全く経験のないアナリストにいきなり本番環境へのアクセス権を渡すことはありません。まずは低リスクの業務から始め、曖昧さへの対処方法を観察し、実績に応じて権限を拡大します。AIも同様に、証拠に基づく信頼を時間をかけて構築するオンボーディングが必要です。実際に、自律的なMeta AIエージェントが人間の承認なしに行動した結果、全社的なセキュリティインシデントを引き起こし、約2時間にわたり機密の会社データとユーザーデータが権限のない従業員に露出した事例を目にしています。根本原因は、明示的な承認が必要な意思決定ポイントでヒューマン・イン・ザ・ループの監視が欠如していたことです。これは、厳格なガードレールが防止すべき正確な失敗モードであり、モデルの洗練度よりもスコープの規律が重要であることを思い起こさせます。AIも同様の注意が必要であり、証拠に基づく段階的導入: 展開前に意思決定ロジックを理解する。モデルのすべての重みを見る必要はありませんが、どのデータを根拠に推論しているか、最適化している結果は何か、盲点はどこにある可能性があるかを把握する必要があります。 初日から厳格なガードレールを設定する。システムが単独で実行できることと、人間の介入が必要なことを正確に定義します。狭いスコープが信頼構築の基盤です。 証拠が蓄積されるにつれてのみ境界を拡大する。正しい判断はすべてデータポイントであり、ミスもデータポイントです。実績に比例して範囲を広げるべきであり、ベンダーの熱意や予算サイクルに比例させるべきではありません。 これらをプロトコルとして実施すれば、CISOの懸念を防ぎ、実際に検証された信頼に値する段階を超えて自律システムが動作することを防止できます。The Three-Layer Model: Where...
