過去10年の大半において、可視性は企業ITにおける最も根深い課題の1つであった。ITチームは目に見えないものを保護、管理、あるいは修復することはできないため、モニタリング、スキャン、ダッシュボードに多額の投資を行ってきた。
その結果、可視性は向上した。しかし、より困難な問題は、リスクを低減できるほど迅速にそれらすべての情報に基づいて行動することだ。筆者は顧客の間で、こうした苛立ちをよく目にする。問題はデータ不足ではなく、迅速な意思決定が求められる局面でデータを効果的に活用できないことにある。
企業がAIの活用を推し進めるなか、この課題はさらに重要度を増している。AIは信頼できるデータの必要性を減らすのではなく、むしろ高めるのだ。
断片化がもたらすリスクは大きすぎる
データや可視性だけでなく、さらに大きな問題は構造にある。
企業のITシステムは、専門特化したツールを中心に発展してきた。エンドポイント向けに1つ以上、サービス管理向けに1つ以上、セキュリティ向けに多数、そして資産追跡向けにおそらく1つ（これらは一例にすぎない）といった具合だ。それぞれのツールは自身の機能を十分に果たすかもしれないが、共有され信頼できる単一の「システム・オブ・レコード（System of Record、記録システム）」を提供するものは存在しない。
結果として、データは分散し、分散したデータに基づく行動は遅れをとることになる。数秒で解決すべき疑問――このデバイスは何か、ネットワークへの接続権限はあるか、所有者は誰か、コンプライアンスを遵守しているか、何がこのデバイスに依存しているか――が、同じマシンを複数の異なる方法で記述している複数のシステムをまたいだ、宝探しのような状態になってしまう。当社の調査では、55%の企業がITおよびセキュリティデータがサイロ化していると回答した。組織の規模が大きくなると、この断片化こそが、迅速な対処を遅らせる要因となる。
長年、企業はこの非効率性を許容してきた。人間がそれを補うことができたからだ。チームは手作業でデータを照合し、プロセスをつなぎ合わせ、運用の隙間を埋めていた。しかしAIは、その前提を変える。
組織が意思決定と行動を自動化すればするほど、矛盾する情報を許容する余地は小さくなる。
AIが迫る新たな議論
パッチ適用は、その最も明確な例だ。毎月公表される脆弱性の量は、手作業によるトリアージで管理できる限界を超えており、AIを活用した脆弱性発見がそのプレッシャーをさらに強めている。
かつては日常的なメンテナンスにすぎなかったものが、いまや重大な事業リスクを伴うようになった。取締役会や監査委員会は、パッチ適用の遵守状況について直接質問するようになった。これは数年前であればIT部門の内部に埋もれたままだったであろうテーマだ。
これが企業テクノロジーの新たな現実だ。すなわち、運用の意思決定がビジネスの意思決定になりつつある。障害モードがデータ漏洩である場合、パッチ適用はもはやITの雑務ではなく、企業全体のリスク問題なのだ。
AIは、どのような資産が存在するか、誰が所有しているか、何が変更されたか、あるいはあるアクションがポリシーに準拠しているかを、独力で判断することはできない。それらの回答をもたらすのは、信頼できるシステム・オブ・レコードである。
システム・オブ・ワークからシステム・オブ・レコードへ
断片化に対する一般的な対処法は、既存のツール同士をつなぐための別のツールを追加することだ。しかし、それでは複雑さを解消するどころか、さらに複雑なレイヤーをもう一枚重ねるだけになってしまうケースが多すぎる。
より強力なアプローチは、統合を出発点にすることだと筆者は考えている。すなわち、共有されたシステム・オブ・レコードを中心に集約することだ。環境全体に何が存在し、それらがどう接続され、どのような状態にあるかを把握する、信頼できる1つのレイヤーを構築する。これは最新のAI機能ほど目立たないかもしれないが、そのAI機能を効果的に機能させるために不可欠なものだ。
これは、企業IT全体で起きているより広範なシフトを示している。企業は、タスクやワークフローを追跡する「システム・オブ・ワーク（System of Work）」を超えて、意思決定に信頼できる文脈（コンテキスト）を提供するシステム・オブ・レコードへと移行しつつある。
信頼できるシステム・オブ・レコードは、環境全体に何が存在し、アセット（資産）がどのように相互に関連し合い、誰が所有し、何が変更され、現在どのような状態にあるかを理解している。
その文脈こそが現代のAIシステムが依存するものであり、ITおよびセキュリティチームが自律的な運用へと移行するために必要不可欠なものだ。
自律性の前にデータがある
自律性の信頼度は、その背後にあるデータの信頼度に左右される。多くのAIプロジェクトが失敗するのは、モデルが脆弱だからではない。モデルが、不完全で、古く、あるいは矛盾した情報に基づいて動作しているからだ。
AIは、人間のチームよりも速く情報を処理し、推奨事項を提示することができる。しかし、AIが自律的に行えないのは、組織が何を所有しているかを把握すること、環境の現在の状態を理解すること、あるいはコンプライアンスに適合しているかを判断することだ。言い換えれば、AIはデータの信頼性（オーソリティ）を代替することはできない。信頼できるシステム・オブ・レコードだけが、その基盤を提供できるのだ。
また、自律性にはガバナンスも必要となる。アクションを実行できるあらゆるシステムには、明確なガードレールが必要だ。AIはそれが最も得意とする定型業務を処理し、人間は判断、説明責任、リスク判断が必要な場面での監視を維持すべきである。スピードは重要だが、リスクへの露出（エクスポージャー）も加速している。コントロールを欠いたスピードは、リスクを増幅させるだけだ。
未来は、人間を排除して稼働する自律システムにあるのではない。定義されたポリシー、信頼できるデータ、および人間が設定した境界線の中でAIが機能する「ガバナンスの効いた自律性（governed autonomy）」にある。
基盤の変革と求められる行動
これまで見てきたように、3つの力が集中している。激化するサイバー脅威、測定可能なAIの投資対効果（ROI）を示すことへの圧力、および複雑さを増すことなく効率性を向上させるという取締役会からの期待だ。
したがって、リーダーはもはや、セキュリティ、運用、データ、AIを切り離された議論として扱うことはできない。これらはすべてつながっており、それらを支える基盤も同様につながっていなければならない。
これは、すでに機能しているものを根こそぎ引き剥がしたり、一夜にして変革が起きることを期待したりすることを意味するわけではないが、進むべき方向は明らかであり、断片化を維持し続けるコストは正当化しにくくなっている。
このことを踏まえ、リーダーはまずトップから姿勢を示すことから始められる。データを統合し、システムが安全に定型業務を処理できるようにし、人間の判断を必要とする課題に注力できる余力をチームに与えるのである。
