「AIはセキュリティの業務に役立つ」と考える人材が多数--ISC2調査
International Information System Security Certification Consortium（ISC2）は5月21日、セキュリティ人材を対象に行ったAIとサイバーセキュリティに関する意識調査の結果を発表した。日本では、AIの悪用を懸念しつつも、セキュリティ業務への貢献を期待する人材が多かったとしている。 調査はサイバーセキュリティの専門家を対象として、2023年12月にグローバルで実施した調査では1123人が回答し、2024年4月に日本で実施した調査では106人が回答した。同日の説明会では、最高経営責任者のClar Rosso氏が日本とグローバルの結果を中心に解説を行った。 まず過去6カ月におけるサイバー脅威の情勢では、日本では25％、グローバルでは54％が脅威の増加を指摘し、フィッシングやランサムウェア、パスワードリセット攻撃の拡大を報告した。 セキュリティ業務にAIが影響を大きな与えるかどうかでは、今後2年以内に影響すると感じる回答者が日本では96％、グローバルでは88％に上った。一方で、影響しないとする回答者は、日本では4％、グローバルでは12％と差が見られた。Rosso氏は、「この差は興味深い点だが、影響の可能性を漠然として捉えている向きがある」と話した。 AIがどう影響するかについては、セキュリティ業務の一部がAIに代替されるとの回答が日本では59％、グローバルでは56％だった。また、セキュリティ業務の効率をAIが向上させるとの回答は、日本では90％、グローバルでは82％と、AIへの強い期待感が示された。 具体的に、日本の回答者がAIの貢献を期待するセキュリティ業務には、ネットワーク監視やマルウェア検出（67％）、ユーザー行動パターンの分析（63％）、繰り返し作業の自動化（60％）、脅威の検出と阻止（57％）、インシデント対応の自動化（56％）などが挙げラ得た。 Rosso氏は、「多忙を極めるセキュリティ人材が業務の自動化にAIを期待する声が強くあるのは良い傾向だろう。2位のユーザー行動の分析は、一見するとメリットに映るが、反面として攻撃側にも同様のメリットがあり、有益にも脅威にもなることを留意しておきたい」と指摘する。 AIがサイバー攻撃など悪用される懸念も根強く、回答者の50％が非常に懸念している、25％が中程度の懸念があるとした。AIのメリットが防御側と攻撃側のどちらにあるかでは、防御側を挙げた回答者が44％（グローバル28％）、攻撃側を挙げたのが25％（グローバル37％）だった。 AIがもたらす具体的な懸念には、ディープフェイク（80％）や偽情報／誤情報（76％、ソーシャルエンジニアリング（53％）、敵対的攻撃（53％）、倫理的な懸念（42％）など、脅威を挙げる回答者が多かった。「先述したAIによるユーザー行動パターン分析の脅威となるのがソーシャルエンジニアリング」（Rosso氏） 回答者が所属する組織でのAIへの対応について、「安全に導入できる自信がある」としたのは32％、「安全に導入できる自信がない」としたのは31％、「どちらともいえない」が34％だった。回答者のセキュリティチームにおけるAI導入では、「十分に準備している」が3％（グローバル5％）、「ある程度準備している」が25％（グローバル48％）、「全く準備していない」が51％（グローバル26％）などと、日本はグローバルより準備の遅れが目立った。 また、生成AIへのアクセス状況では、「一部ツールへの従業員のアクセスを遮断」が54％（グローバル32％）、「全てのツールにアクセス可能」が24％（グローバル29％）などとなっている。 AIの安全かつ倫理的な使用を規定する具体的な規制については、回答者の75％が必要だとしたものの、25％がある程度は必要、5％が不要とした。Rosso氏は、「この点についても先述したユーザー行動分析が有益にも脅威にもなるように、脅威とならないよう規制の必要性を考えるセキュリティ人材が多いといえる」と解説する。 AIに関する規制を誰が担うべきかについては、「各国政府間の協調」が62％（グローバル63％）、「政府」が58％（グローバル54％）、「専門家コンソーシアム」が57％（グローバル61％）などだった。AIに関する規制について情報発信すべき立場では、経営層などが73％、政府機関が71％、サイバーセキュリティ専門家が70％、企業のリーダーが67％、業界団体が65％、AI開発者が64％などで、回答者の多くが自身もAI規制の情報発信に参加すべきと考えている様子が見て取れるという。 サイバーセキュリティ分野におけるAIの使用は、機械学習や深層学習などの技術が脅威分析などで以前から利用され、直近には運用業務の支援目的などで生成AI技術の活用が検討されている。Rosso氏は、「セキュリティの業務内容に応じて活用するAIも種類も異なるが、やはり生成AIの登場によってサイバーセキュリティにおけるAIの存在が強く意識されるようになっただろう」と見解を述べた。
