大きな技術革命は、いずれも私たちの生活と働き方を作り変えてきた。産業革命は肉体労働を機械化し、インターネットは情報の創出と共有のあり方を一変させた。
そして今、人工知能（AI）は知的労働そのものを再定義し、ビジネスリーダーに対して、仕事をどのように進めるかだけでなく、それを誰が、あるいはますます「何」が担うべきかを考え直すことを迫っている。サイバーセキュリティも例外ではない。
新たなセキュリティ運用モデル
長年にわたり、企業や組織は増大するサイバー脅威に対し、アナリストを増員し、セキュリティ技術をさらに導入し、セキュリティオペレーションセンター（SOC）を拡張することで対応してきた。
しかし現在、世界で最も先進的なCISO（最高情報セキュリティ責任者）の一部は、まったく異なるアプローチを取っているように見える。既存のワークフローにAIツールを単純に追加するのではなく、人間と知的な機械が持つ相互補完的な強みを中心に、セキュリティ運用モデルを再設計しているのだ。
定型的で大量に発生する運用業務は、ますますAIに委ねられるようになっている。これにより、セキュリティ専門家は脅威ハンティング、セキュリティアーキテクチャ、経営層との連携、危機時のリーダーシップ、組織の最重要デジタル資産の保護といった、より価値の高い仕事に集中できる。その結果、セキュリティ機能はより迅速で、拡張性が高く、レジリエンスのあるものになる。
AI時代にも有効であり続けるサイバーセキュリティ機能を構築したいなら、すべてのCISOが検討すべき戦略的な施策が3つある。
1. コ・インテリジェンス（共同知性）を軸にセキュリティ機能を再設計する
すべてのCISOが最初に担うべき責任は、どの業務をAIに任せ、どの業務に人間とAIの協働が必要で、どの業務を人間だけに残すべきかを判断することである。その判断は、セキュリティ運用モデル全体を再設計するための設計図になるべきだ。
AIエージェントは、反復的で大量に発生する業務を遂行する能力をますます高めている。アナリストにAIツールを使わせながら従来と同じ業務を続けさせるのではなく、AIが運用タスクを実行し、人間は判断、調査、経営層との対話に集中できるよう職務を再設計すべきだ。
筆者が協力した、あるCISOの例を紹介したい。新たに就任したそのCISOは、数十人のアナリストが依然として、知的な機械で実行可能なレベル1およびレベル2のSOC業務を担っている、旧来型のセキュリティ運用モデルを引き継いでいた。
刷新に向けて、このCISOはコ・インテリジェンスを軸にセキュリティ機能を再設計した。アラートのトリアージ（優先順位付け）、ログ相関、フィッシング調査、脅威インテリジェンスの強化、脆弱性の優先順位付け、証拠収集、インシデント調査といった業務をAIエージェントに移行したのだ。
レベル2のアナリストは、AIが生成した調査結果の検証、AIの性能向上、高度な攻撃の調査を担当する「AIスーパーバイザー」としてリスキリングされた。経験豊富なセキュリティ専門家は、セキュリティアーキテクチャ、脅威ハンティング、AIガバナンス、サイバーレジリエンス、経営層への助言業務へと再配置された。
12カ月以内に、この組織は従来のSOC中心の運用モデルから、インテリジェンス主導のセキュリティ機能へと変貌を遂げた。人間の専門性は、最大の価値を生む意思決定と関係構築に集中できるようになったのだ。
2. AIネイティブなサイバーセキュリティ職務を構築する
AI時代に求められるのは、既存のセキュリティ専門家に新しいツールの使い方を教えることにとどまらない。CISOには、職務そのものの再設計も求められる。先に述べたAIスーパーバイザーへのリスキリングに加え、先進的な組織は次のような決定的な行動も取っている。
・AIガバナンスおよびAIアシュアランス（品質保証）機能を確立する。AIリスク評価、モデル保証、AIアイデンティティ、プロンプトセキュリティ、規制遵守、自律型AIエージェントの監督を担う機能に重点を置く。
・セキュリティアーキテクトの責任範囲を拡大する。セキュアなAIアーキテクチャ、AIアイデンティティおよび権限管理、AIエージェントと人間による承認ワークフロー間の信頼境界を含めるべきである。
・AIセキュリティエンジニアリングチームを創設する。企業全体でのAIエージェントの展開と監視を担わせる。
・人材の成功指標を再定義する。処理したアラート数やクローズしたチケット数から、サイバーレジリエンス、AIの有効性、事業リスクの低減、経営成果へと、重要な指標を移行させる。
筆者が支援した鉱業分野のある企業では、増加するセキュリティイベントに対応するため、SOCアナリストを6人追加採用することが承認されていた。しかし、新任のCISOはSOCを拡大する代わりに採用活動を一時停止し、上述の助言に基づいて人材構成を再設計した。
その結果、チームは従来のSOC中心の構造から、単に人員を増やすのではなく、事業の成長に合わせて拡張できるよう設計されたAIネイティブなサイバーセキュリティ機能へと進化した。
3. 高リスクの意思決定には人間の判断を意図的に残す
AIの能力が進化するなかで、CISOは自律的な意思決定がどこで終わり、人間の判断がどこから始まるのかを意図的に定義しなければならない。シンプルな出発点は、組織の財務、業務、規制上の義務、評判、人々の安全に重大な影響を及ぼし得る意思決定を特定することだ。
判断を誤った場合の結果が重大であれば、人間による承認は必須のままにすべきである。言い換えれば、「他に何をAIで自動化できるか」ではなく、次のように問うべきである。
・この意思決定は事業運営に重大な支障をきたす可能性があるか
・法的または規制上の帰結を生む可能性があるか
・顧客、投資家、社会からの信頼に影響を与える可能性があるか
・従業員や一般の安全に影響を及ぼす可能性があるか
・取締役会はその結果について、人間の経営幹部に責任を求めるだろうか
これらの問いのいずれかに「はい」と答えるなら、その意思決定は人間の監督下に置くべきだ。例えば投資運用業では、重大なサイバーインシデントの宣言、事業継続体制の発動、投資家への情報開示、取引再開の承認などにおいて、人間の判断を中心に据えるべきである。
鉱業では、OT（制御・運用技術）環境の停止、重要な処理施設の再稼働の承認、従業員の安全に影響する運用リスクのトレードオフの承認において、人間の判断が重要となる。
最後に医療分野では、臨床システムのオフライン化、病院のダウンタイム手順の発動、患者記録へのアクセス制限、重要な医療サービスの優先順位付け、義務付けられた規制当局への通知の承認について、人間の監督者が主導権を握るようにすべきだ。
今後の展望
AIはサイバーセキュリティ専門家に取って代わるものではないが、彼らが最大の価値を発揮する領域は再定義される。今後数年で成功を収めるCISOは、人材を再設計し、人間の専門性を高め、人と知的な機械がそれぞれ最も得意なことを担う組織を築く勇気を持つ人々であろう。
