AI 時代のセキュリティは「直して出す力」 — 経営が決める投資の順番

なぜ「弱点はあって当たり前」から始めるの?

iwashi 氏が紹介したのは、テクノロジーメディア Newbee の公式チャンネルが公開した 46 分の対談です。聞き手は Newbee 代表の蜂須賀大貴氏です。米内氏は、現場で見てきた実感をもとに話しています。

出発点は、どのシステムも内部に弱点(脆弱性)を抱えているのが当たり前、という前提です。米内氏は、自社のシステムも例外にしていません。同社が診断で出す報告の数は、体感で 2 年前の 10 倍ほどになったと語っています。これは統計ではなく、米内氏の実感です。

iwashi 氏の投稿の良さは、この前提をいちばん上に置いたことです。「守り切れる」と考えたままだと、後に続く話がどれも余計な費用に見えてしまいます。順番を崩さずに要約しているので、対談の筋道がそのまま伝わります。

「直して出す力」が、なぜ守る力になるの?

投稿の中ほどに、この対談の芯があります。ソフトを継続的に修正して出す能力と、セキュリティを維持する能力は同じ、という指摘です。

理屈はこうです。弱点が大量に見つかるなら、修正も大量に当てる必要があります。それは、ソフトを何度も出し直せる体制があるか、という問いと同じです。

米内氏は、古い言語で書かれたソフトの例も挙げています。C 言語で書かれたソフトは、AI にいくら点検させても、どこかを叩けば壊れる状態が続くといいます。そこで出てくるのが、メモリーの扱いの誤りが起きにくい言語(メモリー安全な言語)に書き換える、という選択肢です。

海外の先端企業では、古いソフトを全部書き換えるところから議論が始まる印象だった、と米内氏は語っています。OpenAI の催しなどに参加して受けた印象で、日本ではあまり聞かない話だとも述べました。

ただし、全部を書き換えよという話ではない、とも添えています。全面の書き換えまで行かなくても、AI を本格的に入れてソフトを延命させる意思決定は要る、という言い方です。

では、決めるのは誰でしょうか? 米内氏は、セキュリティの責任者(CISO)が必要だと言っても、それだけでは進まないと話しています。作る機能を持つ CTO の側が投資できて、初めて進むという指摘です。

何から手を付ければいいの?

投稿の後半は、これから取り組む会社のための順番です。米内氏は、弱点は潰しても同じだけ出てくると見ています。だから、事故が起きた後の話を先に固めるほうがよい、という考え方です。

あわせて挙がったのが、自社が外に公開している資産の把握です。WordPress の弱点が見つかったとき、米内氏が最も多く聞いたのは「WordPress の一覧なんて持っていない」という声でした。

AI にコードを書かせて作った社内アプリが、クラウドに次々と載る時代です。把握の大切さは増しています。米内氏は、漏れなく把握するのは無理だとしつつ、AI のおかげで難しさは下がったと述べています。

公的な指針や海外の動きは、どうなっているの?

対談の論点は、公的な文書とも重なります。経済産業省は 2023 年 5 月に、攻撃者の目線で自社の公開資産を洗い出す取り組み(ASM)の導入ガイダンスを公開しました。ASM の特徴として、情報システムを管理している部門が把握していない IT 資産を発見できる点を挙げています。

言語の書き換えについては、米国のサイバーセキュリティ当局(CISA)が 2023 年 12 月 6 日に文書を出しています。ソフトを作る企業に、メモリー安全な言語への移行計画を作って公表するよう促す内容です。題名には「経営幹部と技術の専門家の両方が」真剣に受け止めるべき、という言葉が入っています。

投稿の終盤に出てくるのが、OpenAI の「Defense Factory」です。弱点を継続的に発見、検証、修正する、自動化された防御の仕組みを指します。OpenAI は社内で 250 人以上を動員した集中対応を行ったとしています。Cloudflare、Ramp、Google のチームも同じ進め方を模索していると書いています。

公式の説明では、自分で手順を進める AI(AI エージェント)が、試験を済ませた修正案を用意します。それを人が確かめる形で、自動化は段階的に広げるとしています。

米内氏はこの方向を、向かうべきものと評価しています。一方で、実現までの距離は「超遠い」とも表現しました。AI がソフトを出す工程に関われることと、修正が動くかを確かめる環境があることが前提になるからです。

SYNCON の視点 — 日本の非エンジニア経営層は何を盗むべきか

盗むべき 1 つ目は、予算の見方です。セキュリティの費用を「防ぐ道具」の代金としてだけ見ていると、直して出す体制への投資が抜け落ちます。次の予算の議論では、「弱点が見つかってから直した版を出すまで、何日かかるか?」を担当者に尋ねてみます。答えがすぐに出ないなら、そこが最初の投資先です。

2 つ目は、月曜にできる確認です。情報が漏れたと分かったとき、最初に誰が何をするかを紙 1 枚に書けるかを確かめます。あわせて、外に公開しているサイトやクラウドの一覧があるかを尋ねます。対談の終盤で米内氏は、開発を率いる技術責任者(テックリード)にあたるセキュリティの技術者が各社に要る、という見方に同意しました。日本では足りておらず、育つまで時間がかかるとも述べています。iwashi 氏が括弧書きで添えた「投資していかないと」は、経営への宿題として読めます。

要点まとめ

• 米内貴志氏の前提は「どのシステムにも弱点があって当たり前」。診断で出す報告は、体感で 2 年前の 10 倍ほど
• ソフトを直して出し続ける能力と、セキュリティを維持する能力は同じ。投資を決めるのは経営陣
• 着手の順番は、事故の後の動き方、権限とデータの絞り込み、部品の弱点の修正
• 公開資産の把握は、経済産業省も 2023 年 5 月のガイダンスで取り上げている。AI で難しさは下がった
• OpenAI は 250 人以上を動員した集中対応をもとに、発見から修正までを自動化する構想を公開。人の確認は残る
• 社内でセキュリティを率いる技術者が要る。日本では足りず、育つまで時間がかかる