Carbon導入前に、利用資格・修正体制・監査記録を確認
AIがセキュリティーチームより速く欠陥を見つけても、対応の遅れがなくなるわけではない。発見した欠陥の中から修正対象を選び、優先順位を決める作業が新たなボトルネックになる。企業はCarbonの導入に備え、3つの事項を確認すべきだ。
第1は利用資格だ。政府機関、重要インフラの運営者、中核的な技術プラットフォームの運営企業に該当しない会社は、Carbonを申請できるのか、誰が利用の可否を判断するのかをグーグルに尋ねる必要がある。
第2は脆弱性の確認・修正体制だ。Carbonが1四半期に数百件の悪用可能な欠陥を見つけた場合、担当者は各修正案を検証し、実際のシステムに反映しなければならない。CodeMenderが自動生成した修正案にも技術者の承認が必要だ。
第3は監査記録とアクセス権の管理だ。各セッションを実行した従業員や、従業員に代わって処理したサービスアカウントを特定できる監査ログを求めるべきだ。担当者がセキュリティーチームを離れた場合、アクセス権をどれだけ速く取り消せるかも確認する必要がある。
Carbonの提供が段階的なら、企業は導入準備の時間を確保できる
Carbonの提供が今後どのように広がるかを考える上で、先行モデルArgonの経緯が参考になる。WorkOSが10月2日に分析を公表した時点では、Argonは信頼されたサイバー防御担当者に先行提供され、有料APIの利用企業は一般提供を待っていた。グーグルは10月13日にArgonの提供を開発者や企業などへ拡大した。
Carbonも同じ順序で提供されれば、多くの企業は自社で利用を始める前に、欠陥の優先順位を決める体制や操作記録を残す仕組みを整えられる。
脆弱性の悪用能力を測る評価で54.8％という結果を公表したグーグルが、攻撃にも使えるCarbonの提供先を制限するのは妥当な判断だ。ただし、利用制限が信頼を得るには、グーグルが参加組織を実名で示し、規則違反を起こしたパートナーをどう排除するかを明らかにする必要がある。
