Orca Securityのグローバル・ディストリビューション責任者、Shannon McWilliams氏――インタビューシリーズ

Shannon McWilliams氏は、Orca Securityでグローバル・ディストリビューションを統括し、パートナーエコシステムとそれを支えるツール全般を担当しています。以前、ソフトウェア開発会社を設立した経験があり、ビジネスニーズをアプリケーションに落とし込む知見を持っています。最近では、AI開発ツールを使ってOrcaのPartner Success Platformの初期版を構築し、セキュリティチームと協力しながら、週末の試作品だったプロジェクトを本番運用可能なシステムへと発展させました。

Orca Securityは、組織が資産を発見し、リスクを特定して優先順位を付け、クラウド環境を保護するためのクラウドセキュリティプラットフォームを提供しています。脆弱性、設定ミス、アイデンティティと権限、機密データ、AIセキュリティなど、幅広い領域に対応しています。このインタビューでMcWilliams氏は、AIによってビジネスユーザーがソフトウェアを開発できるようになっていること、動作するアプリケーションにも独立したセキュリティ審査が必要な理由、そして継続的な発見、最小権限、人間による監督が、企業による新たな開発モデルの管理にどう役立つかについて語ります。

Orca Securityにグローバル・ディストリビューション責任者として入社し、数カ月のうちにAIを使ってご自身で新しいパートナープラットフォームを構築することになりました。当初、どのような課題を解決しようとしていたのでしょうか。また、このプロジェクトが実験段階から、Orcaが実際に本番環境へ導入できるものへと発展したのはいつでしたか？

Orcaに入社したとき、検討を任されたことの一つが、パートナー体験全体の見直しでした。私たちはサードパーティーのプラットフォームを使っていましたが、パートナー向けに、より現代的で使いやすいものを作る機会があると感じました。アプリケーション開発の経験は多少ありましたが、私自身が開発者だったわけではありません。その年の夏の初めに、サードパーティーのアプリ生成プラットフォームを提供する企業のサービスを使って消費者向けアプリケーションに取り組んだことがあり、AIを使って自分で何を作れるか試してみることにしました。

週末の間に、後にPartner Success Platformとなるものの基本的な初版を作ることができました。理想的な顧客とのマッチングや商談のコーチングといったAI活用機能も含み、従来のパートナーポータルで見てきたものを超える機能を備えていました。さらに、認定資格の進捗管理やAI生成クイズなど、多くのアプリケーションをプラットフォームに追加し、パートナー向けの認定プロセス全体をゲーム感覚で進められるようにしたうえで、Salesforceプラットフォームとのデータ同期も開始しました。転機となったのは、CEOが初期版を見て、その可能性に気づいたことです。そのとき、実験段階から一歩進み、このようなものを安全に本番運用できる状態にするには実際に何が必要なのかを検討し始めました。セキュリティチームが加わり、最終的に外部企業による独立した検証を受ける前に、私はDudi Peretz氏と緊密に連携して環境のセキュリティ確保に取り組み始めました。

以前、ソフトウェア開発会社を設立された経験から、従来のアプリケーション開発の進め方をご存じだと思います。自然言語でAIに指示してソフトウェアを構築する方法は、開発者をマネジメントする従来のやり方と比べてどうでしたか。また、どの段階でご自身の専門分野の知識が最も重要でしたか？

最大の違いはスピードでした。従来のソフトウェア開発では、アイデアを思いついてから、それを技術要件に落とし込み、開発者に実装してもらい、その結果を繰り返し改善するまでに、通常はいくつもの工程があります。AIを使えば、実現したいことを説明し、形になっていく様子を確認しながら、すぐに改善を重ねることができました。望ましいUIや、機能を実現するためのデータベースの対応付けを定義する開発者との会議に何日も費やす代わりに、反復作業にかかるのは数分です。AIを使った開発なら、2日間の会議ではなく、2文のプロンプトで済みます。

しかし、専門知識が不要になるわけではありません。専門知識が重要となる場面が変わるのです。AIによってアプリケーション開発の技術的なハードルは大幅に下がりますが、AIに指示を出す人は、解決しようとしている課題や、使いやすい体験とは何か、そしてそのアプリケーションが最終的にビジネスで何を実現する必要があるのかを理解していなければなりません。最も驚いたのは、アイデアから機能するものへと、いかに短時間でたどり着けるかということでした。かつては数週間かかることもあったデータ分析のような作業を、今では1日で完了できる可能性があります。

Orcaは、パートナープラットフォームの最初の動作版を、週末のわずか1日で構築したと説明しています。AIによって大幅に加速できたのはどのような作業で、本番運用可能なアプリケーションを構築するうえで、当初考えていた以上に難しかったのはどの部分でしたか？

AIによって、アイデアから動作するアプリケーションまでの距離は大幅に縮まりました。従来ならはるかに長い開発期間が必要だった機能を週末のうちに構築でき、機能の追加や変更も非常に速く続けられました。そのスピードには驚かされる一方で、少し恐ろしくもあります。

AIが解消しなかったのは、アプリケーションを安全に本番運用するために必要なすべての作業です。これを実際のサービスにできると判断した後、セキュリティチームが環境を評価し、セキュリティ上の問題に対処して、アプリケーションが適切に保護されていることを確認する必要がありました。最終的には、検証をさらに重ねるため、外部企業にも依頼しました。つまり、AIによって開発は驚くほど速くなりましたが、「動く」ことと「企業環境で安全に運用できる状態にある」ことは、依然としてまったく異なる基準なのです。

AI開発プラットフォーム独自のセキュリティツールではアプリケーションは安全だと示されていましたが、その後Orcaが行ったレビューでは、権限やデータアクセスに関する問題が見つかりました。この経験から、ビジネスユーザーはAI開発プラットフォームが示すセキュリティ上の保証を、どの程度信頼すべきだと学びましたか？

この経験から得た最大の教訓の一つだったと思います。プラットフォームには独自のセキュリティスキャン機能があり、開発を進めるうえで有用な基準となっていました。しかし、セキュリティチームとレビューを進めたことで、特に権限やデータアクセスといった領域では、さらに検証を重ねることの価値を実感しました。組み込みのセキュリティツールは開発プロセスの重要な一部ですが、専任のセキュリティチームがもたらす、より深い知見や専門性と組み合わせることで最も効果を発揮するのだと、改めて認識しました。

これは特に重要です。AIを使ってアプリケーションを構築できる人の多くは、セキュリティの専門家ではないからです。どのような質問をすべきか、権限の範囲が広すぎないか、どのような設定によってデータが漏えいする可能性があるかを、把握していない場合もあります。開発プラットフォームがアプリケーションを安全だと示しただけで、プロセスを終わりにすることはできません。アプリケーションを公開したり、機密性の高い企業システムに接続したりする前に、プラットフォーム独自のチェックを通過したかどうかにとどまらない、包括的なセキュリティレビューが必要です。

セキュリティチームが脆弱性を特定した際、その調査結果をAI開発環境にフィードバックし、数分以内に修正策を生成できることがよくありました。AIによって、セキュリティ上の問題への対処は、長い開発サイクルを要するものから、開発者とセキュリティチームの継続的な対話へと根本的に変わる可能性がありますか？

これは、最も期待の持てる可能性の一つです。Dudiとセキュリティチームが問題を特定したとき、そのフィードバックをAI開発環境に直接取り込み、非常に短時間で修正策を生成できました。これにより、アプリケーションを構築する人と、その安全を確保する責任を担うチームとの間で、より緊密なフィードバックループを実現できる可能性があります。

従来、ソフトウェアの構築からリリースまでは、かなり長い時間がかかることがありました。今では、誰もが毎日変更を加えて公開できます。セキュリティも同じ速さで対応しなければなりません。セキュリティ評価を開発プロセスに継続的に組み込み、問題を特定し、開発者に伝え、修正したうえで、アプリケーションを再評価するまでの時間を大幅に短縮できる可能性があります。

しかし、問題への対処を速めるからといって、検証の基準を下げてよいわけではありません。AIは迅速に修正策を生成できますが、その修正によってリスクが実際に解消されたのか、別のリスクが生じていないのかを確認する手段は、依然としてセキュリティチームに必要です。

こうして生まれたパートナー向け成功支援プラットフォームには、AIアシスタント、パイプライン分析、キャンペーンの生成、商談コーチングが組み込まれています。AIに直接任せる業務と、パートナーや営業担当者が判断すべき事柄を、どのように見極めましたか？

私の目標は、パートナー対応や営業プロセスから人間を排除することではありませんでした。AIを活用して、人々がより速く業務を進め、すでに利用できる情報をより有効に活用できるようにすることです。商談コーチングはその好例です。AIは、パイプラインに滞留している商談を前進させる方法を見つける手助けをし、追加の背景情報や次に取るべき行動の提案を提供できます。

重要なのは、AIが複数の異なるシステムから情報を迅速に取得し、その関連性を分析したうえで、ユーザーが行動に移せる形に整理して提示できることだと考えています。プラットフォームによってパートナーや営業担当者の業務効率を高めつつ、ビジネス上の判断を要する決定については、人間が責任を負うべきです。目指すのは、プラットフォームの活用を通じて、商談の発見から受注までにかかる時間を短縮することです。

AIによって、営業、マーケティング、財務などの部門で働く従業員が、エンジニアリング部門を介さずに独自のアプリケーションを構築できるようになっています。そうしたアプリケーションが顧客データ、社内システム、クラウドインフラに接続することを認める前に、どのような最低限のセキュリティおよびガバナンスの管理策を整備すべきでしょうか？

最初に必要なのは可視性です。組織の方針として、こうした試行やイノベーションを後押しすべきですが、存在を把握していないアプリケーションは保護できません。そのため、イノベーションを奨励すれば、従業員がプロジェクトを隠れて進めるのではなく、組織に持ち寄る可能性が高まります。次に、アプリケーションがどのIDと権限を持つのか、どのデータにアクセスできるのか、どのサードパーティーシステムと通信するのか、そして、それらの権限が本当に必要なのかを把握する必要があります。イノベーションが生まれる土壌を整えると同時に、イノベーターを支援し、セキュリティ要件も満たせるプロセスを設けることが大切です。

最小権限の原則は、特に重要です。私たちが目にするリスクの一つは、アプリケーションに実際に必要な範囲を超えるアクセス権が付与されることです。また、セキュリティチェックをリリース前の一度きりにすることもできません。アプリケーションが継続的に変更されるのであれば、組織も継続的に再評価できなければなりません。

従来のソフトウェアガバナンスは、エンジニアリングチーム、プルリクエスト、リリースサイクル、そして比較的管理されたデプロイパイプラインを前提に設計されていました。ビジネスユーザーがアプリケーションを継続的に変更・デプロイできるようになった今、企業のソフトウェア開発ライフサイクルはどのように変わる必要があるでしょうか？

根本的な課題は、開発のペースが変わったことです。従来、ソフトウェアは比較的確立されたプロセスを通じて、時間をかけて構築・リリースされていました。AI開発ツールを使えば、新しいものを毎日作って公開することさえ可能です。このような環境では、定期的なチェックポイントを前提としたセキュリティやガバナンスのプロセスでは不十分です。

この開発サイクルに歩調を合わせ、継続的に機能するセキュリティへと移行する必要があります。そのためには、何が構築されているのかを把握し、どのように設定され、何と接続されているのかを理解し、変更に応じてスキャンを行い、ビルダーがすぐに取り入れられる実践的なフィードバックを提供することが求められます。従業員によるこうしたツールの利用を止めることは解決策になりません。生産性向上の機会があまりにも大きいからです。課題は、イノベーションを安全に実現できるガードレールを整えることです。

AIで構築されたアプリケーションの台頭を、さらに厄介な「シャドーIT」の一形態と比較されています。この世代のシャドーソフトウェアがこれまで以上に課題となり得るのはなぜでしょうか。また、セキュリティチームやITチームが存在すら把握していない可能性のあるアプリケーションを、組織はどのように見つければよいのでしょうか？

従来のシャドーITでは、IT部門の承認を得ていないSaaSアプリケーションを従業員が導入するケースがよく見られました。現在異なるのは、従業員自身がアプリケーションを作成できるようになったことであり、その作成も非常に速いという点です。個人アカウントを使ってアプリケーションを構築し、サードパーティーのシステムと連携させ、セキュリティチームがその存在を知る前に企業データへ接続することさえあり得ます。

これが特に難しい課題となる理由です。構築があまりにも容易になったため、アプリケーションの数と変化の速さが、従来のガバナンスの対応能力をすぐに上回りかねません。CISOが直面しているのは、同じ根本的な問いです。何が構築されたのか、またどのように設定されているのかさえ分からない場合、どうすればそれを保護できるのでしょうか？

そのため、検出はセキュリティ戦略の中核に据える必要があります。イノベーターを支援し、探求を促しながら、プロジェクトを登録してもらうことは、検出を実現する優れた方法です。組織には、コードだけでなく、環境全体で稼働しているアプリケーション、それらに関連付けられたIDと権限、アクセスしているデータ、通信先の外部システムを可視化することが求められます。

数年先を見据えたとき、知識労働者の大半が、AIを通じて何らかの形でソフトウェアを構築するようになるとお考えですか？そうであれば、企業におけるプロの開発者、セキュリティチーム、ビジネスリーダーの役割はどのように変わるでしょうか？

「ソフトウェアを構築する人」の定義が大きく広がる世界へと向かっています。AIにより、ビジネス上の課題を理解している一方で従来型の開発者ではない人でも、アイデアを非常に短時間で動作するアプリケーションにできるようになっています。私自身、それを実体験しました。

プロの開発者やセキュリティチームの重要性が薄れるとは思いません。専門知識が必要とされる場面が変わるのです。ビジネスユーザーが自らソリューションを構築する機会が増える一方、開発者はより複雑な技術課題に集中でき、セキュリティチームには、この新世代のビルダーが安全にイノベーションを進められるよう、可視性とガードレールを整えることが求められます。アプリケーションのサポートや保守にも、新たな視点が必要です。「ビルダー」が必ずしも最適な「保守担当者」とは限りません。ビジョンやビジネス上のニーズをもたらすのはビルダーですが、アプリケーションを長期にわたってサポートする仕事には、依然としてIT部門やアプリケーション部門が適しています。ビジネスリーダーにとって、これは大きな機会であると同時に、新たな責任も生み出します。チームがソフトウェアを作れるのであれば、ソフトウェアのリスクをビジネスの一部として考える必要があります。エンジニアリング部門だけに関わる問題ではありません。

素晴らしいインタビューをありがとうございました。クラウドセキュリティ、AIで構築されたアプリケーション、企業環境の保護について詳しく知りたい読者は、Orca Securityをご覧ください。