インタビュー結果

被害にあったかどうか分からない(不安がある)

不正アクセスを公表した企業から通知は来ていないが、過去に利用したことのあるサービスが複数あった。それに加えて これからも加速度的に被害企業が増えるかもしれない不安。

知名度のある企業が不正アクセスを公表したタイミング

この質問はスキップして、次の質問に進みたいです。

国民の情報を預かるすべての事業者について、 AI時代のセキュリティには、「教育」ではなく「国主導の実地テスト」が必要です。（あれば助かった） ■ 背景：企業人としての不安 企業で働く立場として、お客様からお預かりしている大切な情報を、今の体制で本当に守れるのか強い不安を感じています。社内で対策や研修を重ねても、それがAIを使った攻撃に通用するのかを確かめる手段がありません。 ■ 現状認識 攻撃側はすでにAIを使いこなしています。その能力は、多くの企業担当者が想定している範囲を超えています。最近相次いでいる情報漏洩の公表は、このギャップが表に出た結果だと考えます。 このギャップは、社員教育や注意喚起では埋まりません。一時的な効果はあっても、防御側のコストは上がり続けます。そして攻撃側との差は広がる一方です。また、企業が自力でAI時代の防御スキルを身につけ、テスト手法まで確立するのを待つ時間もありません。多くの企業は、そもそも「何をすればいいのか分からない」のが実情ではないでしょうか。 ■ 提案1：AIを使ったペネトレーションテスト（侵入テスト）を国が推進する 攻撃側と同じ水準、つまりAIを使った攻撃で侵入テストを行う仕組みを整えてください。担い手は、国が認定・連携する専門企業や組織を想定しています。 申し込みは簡単に：企業はフォームから申し込むだけで受けられるようにする 実地でテスト：予約した日時に、AIを用いた不正アクセスを実際に試みる 結果を具体的に返す：侵入に成功した場合はその事実を通知し、AIによる分析と改善点もあわせて伝える 補助予算を組む：テスト費用を国が補助し、資金に余裕のない中小企業でも受けられるようにする すぐに普及させることが重要です。費用が理由で受けられない企業が残れば、そこが攻撃の入り口になります。「どうすればいいか分からない」企業でも、まず自社の弱点を知るところから始められる形にしてほしいです。 ■ 提案2：将来的には認定テストの合格を義務化する 個人情報を扱う事業者には、認定テスト機関による審査の合格を必須としてください。AIによる攻撃への耐性がない重要システムは、公開を認めない制度を目指すべきだと考えます。耐性がないのに性善説で公開に踏み切ることは新しいAI時代には適合しません。 ■ 最後に AI時代に安全なインターネット環境をつくるには、今の仕組みを一部壊して作り直す、最低限の「スクラップ・アンド・ビルド」が避けられません。注意喚起の延長ではなく、制度としての対策をお願いします。

AIを使う攻撃者と同じ水準以上の防御を国として整えない限り、重大な不正アクセスは止まず、国民の不安も消えないと思います。前例のない異次元の政策が必要だと思いますが、ぜひ頑張ってください。