ロジックゲートのNick Kathmann氏（CISO/CIO）- インタビュー・シリーズ

ニコラス・キャサマンは、ロジックゲートのチーフ・インフォメーション・セキュリティ・オフィサー（CISO）であり、同社の情報セキュリティ・プログラムを指揮し、プラットフォームのセキュリティ・イノベーションを担当し、顧客とともにサイバーセキュリティ・リスクを管理しています。ITにおける20年以上の経験とサイバーセキュリティにおける18年以上の経験を持つキャサマン氏は、小規模企業からフォーチュン100企業まで、セキュリティ・オペレーションを構築し、指揮してきました。

ロジックゲートは、リスクとコンプライアンスのプラットフォームであり、組織がガバナンス、リスク、コンプライアンス（GRC）プログラムを自動化し、拡大することを支援します。ロジックゲートの主力製品であるRisk Cloud®を通じて、ロジックゲートは、カスタマイズ可能なワークフロー、リアルタイムの洞察、統合を提供し、チームがエンタープライズ全体でリスクを特定、評価、管理できるようにします。このプラットフォームは、サードパーティ・リスク、サイバーセキュリティ・コンプライアンス、内部監査管理など、幅広いユースケースをサポートし、企業がよりアジャイルで堅牢なリスク戦略を構築することを支援しています。

ロジックゲートではCISOとCIOの両方を務めています。次の2〜3年で、これらの役割の責任をAIがどのように変革するかを見て取りますか。

AIはすでにこれらの役割を変革していますが、次の2〜3年で、ビジネス・プロセスを日常的に扱う方法を再構築できるエージェントAIの重要性が高まることを予測しています。通常、ITヘルプデスクに依頼されるパスワードのリセット、アプリケーションのインストールなどを、AIエージェントが処理できるようになります。もう1つの重要なユースケースは、AIエージェントを使用して退屈な監査評価を処理し、CISOとCIOがより戦略的な要求に重点を置くことができるようにすることです。

連邦サイバー解雇と規制緩和の趨勢が進む中で、企業はAIの導入を強化しながら、強力なセキュリティ体制を維持するためにどのように対応するべきですか。

米国では規制緩和の趨勢が見られますが、EUでは規制が強化されています。したがって、グローバル企業は、AIの責任ある使用に関するグローバル規制要件に準拠する必要があります。米国のみで事業を展開する企業は、AIの導入において学習期間を必要とします。企業は、強力なAIガバナンス・ポリシーを確立し、導入プロセスにおいて一定の人間による監視を維持し、異常がないことを確認することが重要です。

AIを既存のサイバーセキュリティ・フレームワークに統合する際に、どのような盲点があると考えていますか。

いくつかのポイントを考慮する必要がありますが、最も重要な盲点は、データがどこにあるか、どこを通過するかという点です。AIの導入により、この点での監視がさらに困難になるでしょう。ベンダーは製品にAI機能を提供していますが、そのデータは常にAIモデル/ベンダーに直接送信されません。そのため、従来のセキュリティ・ツールであるDLPやウェブ・モニタリングが、実質的に盲目になることになります。

「紙の虎」と呼ぶAIガバナンス戦略とは何ですか。実際に機能するガバナンス・フレームワークの核心要素は何ですか。

「紙の虎」という表現は、ガバナンス戦略が小さなチームのみによって理解され、組織全体で浸透していないことを指しています。AIはあらゆるグループやチームに影響を及ぼします。「ワンサイズ・フィッツ・オール」の戦略は機能しません。財務チームがERPにAI機能を導入することと、製品チームが特定の製品にAI機能を導入することは異なります。強力なガバナンス・フレームワークの核心要素は、IAPP、OWASP、NISTなどのアドバイザリー・ボディが提供するフレームワークに基づいています。最も難しい部分は、要件が各ユースケースに適用されるタイミングを判断することです。

企業はAIモデル・ドリフトを避け、責任ある使用を確実にするために、どのような措置を講じることができますか。

ドリフトと劣化はテクノロジーの使用に伴うものですが、AIはこのプロセスを著しく加速させる可能性があります。ただし、ドリフトが大きくなりすぎると、是正措置が必要になります。精度、バイアス、他の警告信号を検出して測定するための包括的なテスト戦略が必要です。企業がバイアスやドリフトを避けるには、まずそれらを検出して測定するためのツールを確保する必要があります。

チェンジログ、限定的なポリシー更新、リアルタイムのフィードバック・ループは、Agile AIガバナンスを維持する上でどのような役割を果たすべきですか。

これらは現在、リスクと責任を軽減するために役割を果たしていますが、変更が頻繁に発生すると、顧客やユーザーがAIガバナンスを実施する能力が損なわれる可能性があります。

アンダーライティングや信用スコアリングにおけるAIバイアスや差別、特に「今買う、後払い」（BNPL）サービスについて、どのような懸念がありますか。

先日、大手多国籍銀行のAI/ML研究者と話した際、彼はリスクモデルでAI/LLMを使用した実験を行ったそうです。モデルは、大規模で正確なデータセットでトレーニングされていましたが、驚くべき、裏付けのない決定を下し、承認または却下することがありました。たとえば、チャット・トランスクリプトや顧客とのコミュニケーションで「素晴らしい信用」という言葉が使用された場合、モデルはデフォルトでローンを却下しました。AIに頼る場合は、銀行がより良い監視と説明責任を確保し、驚くべき「驚き」が最小限に抑えられるようにする必要があります。

高リスクの決定を下すアルゴリズムを監査または評価する際に、どのようなアプローチが適切だと思いますか。誰がその結果に対して責任を負うべきですか。

これは、包括的なテスト・モデルに戻ります。アルゴリズム/モデルを可能な限りリアルタイムで継続的にテストし、ベンチマークする必要があります。これは難しい場合があります。モデル出力には、人間が外れ値を特定する必要がある望ましい結果が含まれる場合があります。銀行の例として、ローンを全て却下するモデルは、リスク評価が優れていることになります。なぜなら、承認されたローンはゼロだから、デフォルトになることはないからです。したがって、モデル/アルゴリズムを実装する組織が、モデル出力の結果に対して責任を負う必要があります。人間が決定を下すのと同じようにです。

サイバー保険を必要とする企業が増える中で、AIツールはリスク・ランドスケープと保険のアンダーライティングをどのように変化させていますか。

AIツールは大量のデータを分散し、パターンや傾向を特定するのに優れています。顧客側では、これらのツールは組織の実際のリスクを理解し、リスクを管理するのに役立ちます。アンダーライター側では、これらのツールは不一致や時間の経過とともに未熟になる組織を特定するのに役立ちます。

企業はAIを利用してサイバー・リスクを積極的に軽減し、今日の保険市場でより良い条件を交渉するために、どのような措置を講じることができますか。

現在、AIを使用してリスクを軽減し、保険条件を交渉する最も良い方法は、ノイズや妨害を除外し、最も重要なリスクに焦点を当てることです。そうすれば、リスクを包括的に軽減することで、サイバー保険料を下げることができます。リスクの総量に圧倒されることは簡単です。すべての問題に対処しようとして時間を浪費するのではなく、最も重要な問題に焦点を当てると、より大きな影響が得られます。

責任あるAIの実装を望む企業が最初に取り組むべき戦術的なステップは何ですか。

まず、ユースケースと望ましい結果を理解し、ドキュメント化する必要があります。多くの組織が目標を最初に考えるのではなく、後ろ向きに作業することに苦労しています。ユースケースを理解したら、さまざまなAIフレームワークを調査し、適用可能なコントロールがどれであるかを理解する必要があります。強力なAIガバナンスは、リスク軽減と効率化の両方に不可欠です。自動化は入力データのみに有効です。AIを利用する組織は、パートナーと見込顧客がAIスプローと使用について厳しい質問をしているため、責任を持って行う必要があります。答えがわからないと、ビジネス・ディールを逃す可能性があり、直接収益に影響します。

5年後の最大のAI関連のセキュリティ・リスクを予測すると、どのようなものになりますか。どうすれば今から準備できますか。

私の予測は、Agentic AIがビジネス・プロセスやアプリケーションに組み込まれるにつれて、攻撃者がこれらのエージェントを操作して悪意のある結果をもたらすフラッドが発生することです。すでに、カスタマー・サービス・エージェントの操作が見られ、承認されていない取引や返金が発生しています。脅威行為者は、ポリシーを回避し、エージェントの意思決定を妨害するために言語のトリックを使用しました。

素晴らしいインタビュー、詳細を知りたい読者はロジックゲートを訪問してください。