インタビュー結果

ベンダー・コンサル・診断

AIによる攻撃の自動化・高度化

特に影響が大きいのは、侵入のきっかけを作るところと、侵入後に被害を広げるところだと思います。 フィッシングやなりすましの精度が上がるだけでなく、脆弱性の探索、マルウェアの作成・改変、侵入後の認証情報の窃取などにもAIが使われています。情報漏洩やランサムウェアにつながる一連の攻撃が効率化され、守る側が気づいて対応するまでの時間が、より厳しくなることを懸念しています。 情報漏洩の報道が相次いでいますが、そのすべてがAIによるものとは言えません。ただ、更新の遅れや過剰なアクセス権限など、従来からある弱点を、攻撃側がAIで素早く突けるようになる。その影響は大きいと考えています。 一方、企業側ではAI活用を急ぐあまり、対策が後回しになっていないでしょうか。社内データや業務システムにAIをつなぐなら、扱える情報や操作できる範囲を決め、監視と、異常時に止められる仕組みまで整える必要があります。 一度漏れた情報は取り戻せませんし、ランサムウェアは事業そのものを止めかねません。AI活用を進める立場だからこそ、導入時からセキュリティも一緒に整えることを、もっと広めていきたいと思っています。

企業

まずは、社内でどんなAIが使われ、どの情報やシステムにつながっているかを把握することだと思います。会社が導入したAIだけでなく、社員が個別に使っているものも含めてです。ここが見えないと、守るべき範囲も決められません。 そのうえで、半年ですべてを整えようとするより、機密情報や個人情報を扱う用途から対策を進めたいですね。AIへの入力や出力を確認できる仕組みを入れ、社内データへのアクセス権限を絞る。AIエージェントに操作を任せる場合は、重要な処理には人の承認を挟み、異常時には止められるようにしておく。外部の文書などに仕込まれた不正な指示への対策も必要です。 利用ルールを作って周知するだけでは、現場任せになってしまいます。実際の業務で情報漏洩や不正な操作を防げるか、試して確かめるところまで進めることが大切だと思います。 半年後には、「どのAIが何にアクセスしているか分かる」「危険な使い方を制限できる」「何かあれば気づいて止められる」。まずは、その状態を目指すのが現実的だと考えています。

1〜3年では、AIの利用が広がる前提で、セキュリティを業務やシステムに組み込んでいくことが必要だと思います。導入時に一度確認して終わりではなく、AIにつなぐデータや任せる仕事が増えるたびに、安全性を見直せる体制を作ることです。 特にAIエージェントは、情報を参照するだけでなく、実際に操作するようになります。人と同じようにAIにも必要な権限だけを与え、誰の指示で何をしたかを追えるようにする。重要な操作には承認を挟み、問題があれば止められることが欠かせません。 同時に、攻撃側のAI活用にも備える必要があります。検知から調査、封じ込めまでを人手だけで回すのは厳しくなると考えています。守る側もAIや自動化を取り入れながら、情報漏洩やランサムウェアを想定した訓練で、実際に対応できるかを確かめていくことが大切です。 そのためには、情報システム部門だけに任せず、事業部門や経営も含めて、責任者と継続的な予算を決めておく。AIを安心して使い続けられることを、企業の競争力の一つとして考えてほしいです。

5年以上を見据えるなら、特定の製品や詳しい担当者に頼りきらず、会社として対策を続けられることが大事だと思います。担当者が異動しても、使うAIが変わっても、安全に運用できるように、知識や経験を組織に残していく必要があります。 経営にも、AIでどれだけ効率化できたかだけでなく、事故が起きたらどの業務が止まり、顧客や取引先にどんな影響が出るかまで見てほしいですね。そのうえで、人材育成や対策の予算を継続して確保することです。 あわせて、外部サービスにどこまで依存するか、そのサービスが使えなくなったときに業務をどう続けるかも考えておく。長期的には、AIを使いこなす力と同じくらい、問題が起きても事業を続けられる力が重要になると思います。

企業のAI活用を支援する立場から見ると、国の方針を、企業が実際に対策を進められる支援につなげる部分が、もっと必要だと感じます。 ガイドラインがあっても、現場では「何から始めればよいか」「どこまで対策すればよいか」「費用や人材をどう確保するか」で止まってしまいます。特に、専任の担当者を置けない企業でも取り組めるように、具体的な対策例や相談先、導入支援をセットで届けてほしいですね。 また、AIを悪用した攻撃や、AIの利用中に起きた事故について、企業が情報を共有しやすく、その知見が他社の対策にも生きる仕組みが重要だと思います。 私たちのようなサービス提供側も、方針を実際の対策に落とし込む役割があります。政府には、AI活用の後押しとあわせて、安全に使うための支援を、企業の規模を問わず届く形にしてほしいと考えています。

企業以外では、国にとって、AIの安全な活用に向けた明確なルールづくりと、企業や個人が今すぐ実践できる支援の整備が最も重要です。何か問題が起きてから対策すればよいという考え方では、被害の拡大を防げません。現在は緊急事態であり、政府・行政はその認識を明確に示し、予算を含めてAIの安全対策の優先順位を直ちに引き上げるべきです。 個人にとっても、AIが生成した情報をうのみにせず、個人情報や機密情報を入力しないなど、基本的なリテラシーを身につけることが大切です。ただし、教育や個人の注意だけに責任を負わせるのでは不十分です。入力内容を自動的に検知・制御する仕組み、生成情報の真偽や出所を確認する技術、不正利用や異常な挙動を監視・遮断するセキュリティ対策など、利用者の判断を支えるテクノロジーの整備が不可欠です。 政府・行政は、分かりやすい指針や相談窓口、教育機会を整備するとともに、安全なAI利用を支える技術の開発・導入を促進し、企業や個人が過度な負担なく利用できる環境を整える必要があります。教育とテクノロジーによる対策を組み合わせ、社会全体で被害を未然に防ぐ体制を構築すべきです。

問題ございません。

入力しました。