サイバーセキュリティは、より危険な段階に突入しつつある。長年にわたり中心的な問いは、ユーザー、デバイス、システムのアクセスを許可すべきか否かであった。この問いは今も重要だ。しかし生成AI、ディープフェイク、合成アイデンティティ、自律型エージェントの時代においては、それだけでは不十分になっている。
より難しい問いはこうだ。「重要なアクションの背後にいる人間を信頼できるか」。
これはもはや理論上の話ではない。企業の業務自動化を支援する技術は、同時に攻撃者による成りすまし、詐欺、権限のない意思決定の産業化にも利用される。詐欺師は経営幹部を装い、書類を生成し、ソーシャルエンジニアリングを自動化し、ワークフローを操作することができる。AIエージェントはアプリケーションやワークフローをまたいで動作できるようになり、誰が意思決定を開始・承認・制御したのかが曖昧になっている。認証情報は盗まれ、デバイスは侵害され、顔や声は合成できる。従来の生体認証さえ、人間の存在を強く証明するのではなく表面的な認識に依存している場合には脆弱になり得る。
認証はアクセスを証明する。だが、必ずしも権限を証明するものではない。サイバーセキュリティの次なるフロンティアは、システムに誰が入ったかを検証するだけでなく、そのアクションを誰が承認しているのかを検証することである。
リスクの実質的な単位は、ログインイベントから重要なアクションへとシフトしつつある。この変化により、セキュリティリーダーはアイデンティティを単なるゲートキーピング機能としてではなく、影響度の高い意思決定の制御ポイントとして再考する必要に迫られるだろう。
現行のアイデンティティモデルの限界
ほとんどのデジタルアイデンティティシステムは、3つの要素を軸に構築されている。すなわち「知っていること」「持っているもの」「本人であること」だ。
「知っていること」はフィッシングされ得る。「持っているもの」は紛失や複製の可能性がある。「本人であること」──指紋、顔、声など──はより強固に見えるが、実在する生きた人間が物理的に関与しているかをシステムが判断できなければ、必ずしも十分ではない。
有効な認証情報が常に正当な権限を証明するわけではない。ログイン中のセッションが、正しい人物が依然として制御していることを常に証明するわけでもない。多くのセキュリティシステムはアクセスを検証するが、意思決定の背後にいる生きた人間を検証しているわけではない。
このギャップは、業務プロセスがログインイベントから、支払いの承認、重要インフラへのアクセス、契約の署名、安全パラメータの変更、規制対象の意思決定の承認、AI主導のオペレーションの監督といった、影響度の高いアクションへと移行するにつれ、無視できないものになる。
問題はもはや「このユーザーはシステムに入れるのか」だけではない。「この人間は、いまこのアクションを承認する者として信頼できるのか」が、ますます問われている。
AIがリスクの方程式を変える理由
AIは、アイデンティティ関連リスクの規模と巧妙さの双方を高める。
詐欺師はフィッシングキャンペーンを生成し、ソーシャルエンジニアリングを自動化し、合成書類を作成し、人間のコミュニケーションスタイルを模倣できる。ディープフェイクの音声と動画は、経営幹部の意思決定を狙い得る。AIエージェントはシステムをまたいでタスクを実行でき、あるアクションを誰が開始・承認・制御したのかを曖昧にする。
正当な組織もAIエージェントを導入している。これはガバナンス上の問題を生む。AIシステムが人に代わって動作するとき、機微な意思決定にはどの程度の人間による確認が必要なのか。
これは金融、医療、自動車、重要インフラ、公共サービス、産業システムにおいて重要である。無許可のアクションは、財務、法務、安全、評判に関するリスクを生み出し得るからだ。低リスクの状況では、従来型の認証で十分かもしれない。高リスクの状況では、人間による検証のより強固な証明が必要になる。
人間の権限を確認するための枠組み
企業には、アイデンティティとアクションの間に新たな保証レイヤーが必要になる。ユーザーが誰であるかだけでなく、権限を持つ生身の人間が物理的に存在し、特定の意思決定を意図的に承認しているかを検証するレイヤーである。
信頼に足る人間の権限確認レイヤーは、4つの要素を組み合わせるべきだ。想定された人物であることを確認するアイデンティティ、物理的な存在を確認するライブネス（生体検知）、リスクとポリシーに照らしてアクションを評価するコンテキスト、意識的な承認を確認するインテントである。
これらの要素を合わせることで、組織は認証から人間の権限の証明へと移行する。これは、あらゆる場面で摩擦を増やすという意味ではない。リスクがそれを正当化する場面で、より強力な検証を適用するという意味だ。
ダッシュボードへのアクセスには標準的な認証で足りるかもしれない。多額の支払いの承認、特権アカウントの有効化、機微データの公開、安全パラメーターの変更、AIの推奨の上書きには、より高い保証が必要になる可能性がある。
物理的な存在がなお重要である理由
デジタル上の信頼は、必ずしもソフトウェアだけで完全に解決できるわけではない。リスクがなりすまし、認証情報の侵害、合成アイデンティティに関わる場合、人間の物理的な存在が重要な信頼の拠り所になる。
システムは、認証情報が有効かどうかだけでなく、実在し、生きている人物が存在し、能動的に関与しているかどうかを判断しなければならない。これは、アクションが取り消し不能である場合、安全上重要である場合、規制対象である場合、または財務的に重要である場合に特に重要だ。
したがって、高度な生体認証やセンサーに基づくアプローチは戦略的に重要になる。プライバシー、使いやすさ、規制要件を尊重しながら、ライブネス、物理的存在、なりすまし耐性について、より強い証拠を示す必要がある。
目的は、高価値のアクションに対する標的を絞った高保証の確認であり、大規模監視ではない。
リーダーのための実践的ロードマップ
主な障壁はテクノロジーだけではなく、組織設計にもある。多くの企業はいまなお、アイデンティティ、サイバーセキュリティ、コンプライアンス、不正防止、物理セキュリティ、AIガバナンスを別々の領域として扱っている。
経営幹部は、重要なシステムだけでなく、重要なアクションをマッピングすることから始めるべきだ。これには、特権アクセス、多額の支払い、機微データの公開、安全上の上書き、契約承認、規制対象の意思決定、AIエージェントのエスカレーションポイントが含まれる。
次に、各アクションを保証レベルごとに分類する。日常的なアクセスには標準的な認証で足りるかもしれない。影響の大きいアクションには、人間の存在、意図、承認について、より強固な証拠が必要になる可能性がある。
これは調達、アーキテクチャ、ガバナンスの問題として扱われるべきである。どのアクションは標準的な認証に依拠でき、どのアクションは人間の存在、意図、権限について高保証の検証を必要とするのか。
最後に、リーダーはこの人間の権限確認レイヤーを、アイデンティティシステム、ゼロトラストアーキテクチャ、不正検知、コンプライアンスのワークフローのどこに統合すべきかを定義しなければならない。目的は、アイデンティティだけではもはや十分でない部分で、スタックを強化することにある。
デジタル信頼の新たなレイヤー
AIと自動化が企業活動に入り込むにつれ、信頼は機械の安全を確保すること以上のものに左右されるようになる。重要な意思決定について、実在する人間が存在し、権限を持ち、説明責任を負っていることを証明できるかどうかに左右される。
この変化を早期に理解する企業は、人間の行動、機械による実行、AIの推奨の境界が曖昧になる中で、より有利な立場に立つだろう。
サイバーセキュリティは何十年にもわたり、システムが安全かどうかを問い続けてきた。次なる問いは、より根本的である。アクションの背後にいる人間を信頼できるのか。
