行動分析：誤解された人工知能がもたらすセキュリティリスク

誇大宣伝を信じるなら、人工知能 (AI) と機械学習 (ML) はすでに現代の IT インフラストラクチャのセキュリティ保護に大きな役割を果たしています。しかし、実際には、どちらのテクノロジーも強力でありながら誤解されることの多いツールであり、正しく実装されなければ、場合によっては企業のデータ セキュリティを損なうことさえあります。

[[421938]]

「AI」はマーケティング用語として使い古されており、真の人工知能からは程遠い既存のテクノロジーを正確に表現できていない例が数多くあります。いわゆる「AI プラットフォーム」は、CIO を困惑させ、膨大かつ拡大を続ける顧客データベースから各顧客の行動を具体的にどのように学習できるのか、あるいはプラットフォームがアルゴリズムに基づいて推測を行っているのか疑問に思わせるかもしれません。真の AI と標準的な固定ロジックを区別するのは非常に困難です。

Microsoft Teams、SharePoint、Microsoft 365、Google Drive などのクラウド アプリケーションの場合、ファイルやフォルダーにアクセスできるユーザーを定義する権限を持つのは管理者ではなくエンド ユーザーです。この方法は、エンドユーザーにとっては非常に便利ですが、ポリシーに準拠した標準の方法で企業データへのアクセスを制御することはほぼ不可能になります。つまり、誰でも権限を変更できることになります。これを真に解決する唯一の方法は、何らかの形の自動化ソリューション、またはアクセス権のレビューをアウトソーシングすることかもしれません。

ほとんどの組織の環境では膨大なデータが流通しているため、多くの組織が、機密データへのアクセス権限を見つけて監査するための自動化ソリューションとして AI を活用しようとしています。これらのソリューションでは、アクセス制御が必要なファイルのサブセットのみが表示されます (それでも数万の可能性があります)。これにより、ユーザーは、自分の権限に関連する数百万のファイルのレビュー タスクに圧倒されることがなくなります。理にかなっているように思えますね。しかし実際には、このアプローチでは、アルゴリズムが探しているパターンに従わないデータは無視され、誤検知が発生することがよくあります。

行動分析にAIを使用する際に対処すべき3つの問題

現在、行動分析市場には真の AI ソリューションは存在しません。実際の AI はランダムに生成されたアルゴリズムを作成し、多数の「正しい」回答でテストして、最も効果的なものを選択します。これにより、行動分析に AI を使用する場合の 3 つの大きな問題が生じます。

（１）アルゴリズムを訓練するのに十分な規模の顧客データセットを持つ企業はありません。たとえ企業がこの規模のデータセットを保有していたとしても、ハッカーの大きな標的になる可能性があるため、それを他者に公開することは望まないでしょう。

（２）顧客はそれぞれ異なるため、たとえ企業が顧客データを用いてアルゴリズムを訓練できたとしても、それが自社の特定のビジネスには適用できない可能性がある。

（３）顧客ごとにアルゴリズムをトレーニングする場合は、現在のシステムでトレーニングすることになります。この場合、現在のシステムがすでに理想的な状態であれば、トレーニング結果は非常に良好になります。現在のシステムが理想的でない場合は、既存のセキュリティ問題が固定化されます。

クラウドとリモートワークが課題を増大

セキュリティの観点から見ると、クラウドを導入するとさまざまなデータ上の課題が生じ、従業員が在宅勤務をすることでその課題はさらに複雑になります。在宅勤務者は、増加しているエンドユーザーグループを表しており、突然大量のデータにアクセスできるエンドユーザーでもあります。

専門的なトレーニングを受けていない従業員のほとんどは、クラウドがどこで始まりどこで終わるのかを知らず、企業のセキュリティ ポリシーを意図せず違反する余地を残しています。これは、特にデータベースが AI を使用してデータ アクセスを遮断するようにプログラムされている場合、企業にとって非常に一般的な内部セキュリティの脅威になりつつあります。このタイプのアクセスは、不適切に使用されると、深刻なセキュリティ上の脆弱性が生じることがよくあります。

多くの企業は、データアクセスの監視と改善に AI を使用していると主張しています。 AIはデータの分類や分配ができると多くの人が考えていますが、実際には、そのようなタスクの処理にAIが使用されることはあまりありません。 AI の最も一般的な用途は、データベース アクセス制御を実装することです。

AIへの盲目的な信頼は危険

データのガバナンスと保護は、特にリモートワークやハイブリッドワークのトレンドが続く中、常に重要になっています。 AI と ML は強力なツールですが、企業は実際のテクノロジーを活用しているのか、それともセキュリティのタスクに適さない単なる飾りなのかを理解する必要があります。

これらのテクノロジーは単独で導入することはできず、企業は従業員のトレーニングを実施したり、データの安全性を確保するためにアクセスを規制したりするなど、主要なセキュリティ リスクを軽減するための断固たる措置を講じる必要があります。結局のところ、AI は、不良データを入力すると不良データを出力するといった、データを移動する他のコンピュータ プログラムと同じです。顧客データベースが非常に大きく、従業員による意図しないセキュリティ違反が頻繁に発生する状況では、AI を盲目的に信頼するとリスクが生じるため、これらの結果を確認するための手動プロセスを導入することが非常に重要です。