Pete Nicoletti, Americas CISO at Check Point Software Technologies

Why Companies Remain Cautious of AI — And How to Deploy It Securely

AIは世界を席巻しています。いくつかの組織は最初の導入者でしたが、多くの企業はより慎重なアプローチをとっています — プライバシー、コンプライアンス、および運用上の問題に対する懸念が今尚継続しています。私はAIを搭載したセキュリティツールを使用した数百の導入に携わってきましたが、同じパターンが繰り返し現れています。チャンピオンは最初の熱意をもたらします。パイロットは約束を示します。次に内部での議論、法的レビュー、そして最終的に分析パラリシスへの陥入として組織は動きを止めます。セキュリティ運用を変革するAIの巨大な潜在能力にもかかわらず、多くの企業はまだそれを完全に受け入れることをためらっています。サイバーセキュリティでは、慎重さはしばしば正しい直感です。しかし、AIの導入を遅らせることは、現在増加している規模と頻度のAIを搭載した脅威を止めることはできません。実際の課題は、AIをどのようにして慎重に、そして信頼を損なうことなく採用するかです。ここでは、私が最前線で学んだこと — およびセキュリティリーダーが自信を持って前進するために私が推奨すること — を紹介します。1. データ信頼問題最初の最大の障害はデータ管理です。多くの企業は、機密データが漏洩したり、悪用されたり、または — 最悪の場合 — 競合他社に利益をもたらすモデルをトレーニングするために使用されることを恐れています。高プロファイルの脆弱性と曖昧なベンダーの保証は、これらの恐怖を強化します。これは妄想ではありません。顧客の個人情報、知的財産、または規制データを扱っている場合、第三者にそれを渡すことはコントロールを失うように感じることがあります。ベンダーがデータの分離、保有、第四者の関与、モデルトレーニングに関するポリシーを明確にするまで、採用は慎重なままです。ここで、ガバナンスが重要になります。CISOは、NIST AIリスク管理フレームワークやISO/IEC 42001などの新興フレームワークを使用してベンダーを評価する必要があります。これらのフレームワークは、AIシステムにおける信頼、透明性、説明責任に関する実用的なガイダンスを提供します。2. 測定できないものは改善できない別の一般的な道路封鎖は、基準となるメトリックの欠如です。多くの企業は現在のパフォーマンスを数量化できないため、AIツールのROIを証明することはほぼ不可能です。自動化前のタスクにかかった時間を誰も追跡していない場合、40%の効率性の向上を主張することはどうでしょうか?MTTD（平均検出時間）、誤検出率、またはSOCアナリストの時間の節約など、組織は現在のワークフローを測定することから始める必要があります。このデータがないと、AIの場合は逸話的になり、実際の数値がない限り、幹部スポンサーは大規模なイニシアチブに署名しません。次の主要KPIを今すぐ追跡し始めます: 平均検出/対応時間（MTTD/MTTR） 誤検出、誤検出、チケットのボリュームの削減 インシデントごとのアナリストの時間の節約 カバレッジの改善（例：スキャンおよび修復された脆弱性） エスカレーションなしで解決されたインシデント これらの基準は、AIの正当化戦略の骨子となります。3. ツールがあまりにもうまく機能するとき皮肉なことに、AIの採用が停滞する理由の1つは、ツールがあまりにもうまく機能し、組織が処理する準備ができていないよりも多くのリスクを暴露することです。高度な脅威インテリジェンスプラットフォーム、ダークウェブモニタリングツール、LLMを搭載した可視性ソリューションは、盗まれた資格情報、類似のドメイン、または以前に検出されなかった脆弱性を暴露することがあります。明確性を生み出すのではなく、この圧倒的な可視性は新しい問題を生み出します: どこから始めればいいのでしょうか?私は、高度なスキャンのボリュームが政治的または予算的な不快感を生み出したため、チームがそれらを無効にしたのを見たことがあります。優れた可視性は、優れた優先順位付けと、問題に立ち向かう意欲を必要とします。4. レガシーコントラクトにロックされるより優れたツールが利用可能になっている場合でも、多くの企業はレガシーベンダーとの複数年契約にロックされています。これらの契約には、途中で切り替えることが非現実的になるほど厳しい財務上の罰則が伴う場合があります。電子メールセキュリティは、クラシックなケースです。最新のソリューションは、AIを駆使した脅威検出、行動モデリング、およびハイブリッド環境の組み込み回復性を提供します。しかし、現在のベンダーが追いついていない場合、5年間の契約に縛られている場合は、契約が終了するまで実質的に固定されています。これは技術だけの問題ではありません。タイミング、調達、戦略的計画も関係しています。5. シャドウAIの台頭AIの採用は、上から下へのみで発生しているのではなく、セキュリティの知識なしにどこでも発生しています。 私たちの調査によると、85%以上の従業員がすでにChatGPT、Copilot、BardなどのAIツールを使用しています。（DeepSeekやTikTokは別です！）適切な監視なしで、従業員は機密データをパブリックツールに入力したり、妄想された出力に頼ったり、または会社のポリシーに違反したりする可能性があります。これは、コンプライアンスとデータ保護の悪夢であり、問題がないと主張することは問題を解決しません。セキュリティリーダーは、次の措置を講じて積極的な姿勢をとる必要があります:...