フロンティアAI時代、企業はサイバーセキュリティにどう備えるべきか

　すでに「リスクを上回るスピードで守る：AI時代に求められるセキュリティ対応力」で述べられているとおり、クロードミュトスは「ソフトウェアの脆弱性の発見および悪用において、極めて高度なスキルを持つ人間を除くほぼ全ての人間を凌駕する」とされ、世界に大きな衝撃を与えています。フロンティアAIの進化によって、脆弱性の発見から悪用までのスピードは飛躍的に加速しています。こうした変化は攻撃者だけでなく、防御側にとってもAIを活用して劇的に対策を高度化、迅速化する機会をもたらしています。これからは、防御側もAIを活用し、これまで以上のスピードで脆弱性を把握し、対応していくことが重要になります。一方でAIは新たな脆弱性を生み出すのではなく、既存の脆弱性を、より高速、より広範に露呈させるのです。そのため、企業に求められる対策の多くは従来から変わりません。AIを活用して対応スピードを上げながらも、いたずらに振り回されることなく、リスクに応じて冷静に優先順位を見極め、基本的なセキュリティ対策を着実に実施していくことが必要です。これから対策を検討・実施する際に留意すべき点を以下に挙げます。

• システムのライフサイクル全体を見る
  　サイバー攻撃への対策を考える時「脆弱性を検査し、攻撃者より先に修正する」ということはもちろん重要ですが、一時的な脆弱性検査やパッチ（修正プログラム）適用に留まることなく、システムやそれを構成するソフトウエアのライフサイクル全体を見渡して対応することも同じく重要です。システム開発・構築の段階で脆弱性を作らないようにするための対策や、攻撃を受けた際に迅速に検知・対応し、復旧させるための対策は従来から取り組んでいるものですが、フロンティアAIによる構造変化に対応するために拡充する必要があり、これらもAIを使った改善が望まれます。
  
  
• リスクベースで優先度を決める
  　数多くのシステムを保有・運用する組織では、全ての脆弱性に対してパッチ適用を、同じスピードで行うことは非常に困難です。そのため優先度を決めて、重要なシステムから段階的に対応せざるを得ません。優先度を検討するためにはCVSS（Common Vulnerability Scoring System：脆弱性評価システム）で示される脆弱性の深刻度、SSVC（Stakeholder-Specific Vulnerability Categorization：ステークホルダーに特化した脆弱性分類）が示す「実際に攻撃が発生しているか」といった指標に加え、自社のシステムで利用しているソフトウエア（コンポーネントやバージョン、既知のパッチ適用有無など）と、システムが支えている業務を組み合わせて事業継続リスクを評価し、最も重要なシステムから対応することで効率的な対応が可能になります。パッチ適用をいつまでに実施するか、という点については最近米国で公表されたBOD 26-04が参考になるでしょう。
  
  
• 攻撃者のタイプを想定する
  　さらに、世界中のシステムがAIを使って発見した脆弱性を使って直ちに攻撃を受けるのか？といえば、必ずしもそうとは限りません。サイバー攻撃を行う攻撃者には様々なタイプが確認されていますが、特に注意すべきなのは、高い技術力を持つ「国家支援型の攻撃者」と「金銭を目的とした高度なサイバー犯罪者集団」だと言えるでしょう。
  　国家支援型の攻撃者は闇雲に攻撃してくるわけではなく、背後にある国家の政治目的達成を支援するために、特定のタイミングで攻撃してくると想定されます。そのため、必ずしも脆弱性を発見したから即座に攻撃してくるというわけではありません。また、金銭を目的としたサイバー犯罪者集団については、近年分業化が進み、エコシステムが構築されているため「AIを使って脆弱性を発見した人」と「攻撃する人」が必ずしも同じではありません。例えば英国国家サイバーセキュリティセンター（NCSC:National Cyber Security Centre）のレポートにあるように、自らの技術力に応じて他人が開発した不正アクセスツール（ランサムウエアを含む）やアクセス情報を購入し、攻撃することもできると言われています。この場合も、脆弱性が発見された直後に攻撃を受けるとは限りません。