昨日の診断は今日の安全を保証しない──「100対1」の圧倒的不利に挑むAIセキュリティ
- ありがとうございます！
- いいね！した記事一覧をみる
会員（無料）になると、いいね！でマイページに保存できます。
脆弱性を探し、侵入口を見つけ、突破する──かつて一定のスキルが必要だった一連の攻撃に、今やAIが使われ始めている。一方で守る側は、増え続けるシステムを限られた人員と予算で守らなければならない。年に1回、外部に脆弱性診断を依頼するようなやり方では、スピードを増す攻撃に追いつくのは難しい。では、防御側も「AIに任せればいい」のか？ その発想にこそ、見落とされがちな落とし穴がある。
昨日の診断結果は、今日の安全を保証しない
システムに100個の脆弱性があれば、守る側は100個すべてを塞がなければならない。しかし攻撃側は、たった1つ見つければ侵入の糸口を得られる。
この「100対1」が突きつけるのは、サイバー攻防における圧倒的な非対称性だ。企業は守るべきシステムを数多く抱え、どこか1カ所でも見落とせば被害につながりかねない。
しかも、守るべき対象は増え続けている。DXの進展によってWebアプリケーションの開発はアジャイル化し、機能追加やリリースの間隔は短くなった。外部APIやクラウドサービスとの連携も複雑になり、担当部門が把握できていないシステムや、診断対象から漏れる画面が生まれやすい。昨日の診断結果が、今日の安全を保証するとは限らないのだ。
では、診断回数を増やせばよいのか。外部への委託では、そのたびに見積もり、稟議、日程調整が必要になる。費用の制約から重要度の高い一部しか診断できないこともある。一方、内製化しようにも、専門人材の確保や診断品質の維持は容易ではない。攻撃側ではAIによる自動化が進み、防御側には一段と速い対応が求められている。
そこで浮かぶのが「防御側もAIを使えばよい」という発想だ。しかし、汎用的な生成AIに脆弱性診断を任せるだけで十分なのだろうか。脆弱性かどうかの判断には専門的な知識や根拠が欠かせない。何をAIに任せ、何を専門家の知見で担保するか。その線引きを誤れば、診断を速くしたつもりで、かえって重要な脆弱性を見落としかねない。
では、「100対1」という圧倒的に不利な状況に立ち向かうために、企業は脆弱性診断の何を、どう変えるべきなのか。
この「100対1」が突きつけるのは、サイバー攻防における圧倒的な非対称性だ。企業は守るべきシステムを数多く抱え、どこか1カ所でも見落とせば被害につながりかねない。
しかも、守るべき対象は増え続けている。DXの進展によってWebアプリケーションの開発はアジャイル化し、機能追加やリリースの間隔は短くなった。外部APIやクラウドサービスとの連携も複雑になり、担当部門が把握できていないシステムや、診断対象から漏れる画面が生まれやすい。昨日の診断結果が、今日の安全を保証するとは限らないのだ。
では、診断回数を増やせばよいのか。外部への委託では、そのたびに見積もり、稟議、日程調整が必要になる。費用の制約から重要度の高い一部しか診断できないこともある。一方、内製化しようにも、専門人材の確保や診断品質の維持は容易ではない。攻撃側ではAIによる自動化が進み、防御側には一段と速い対応が求められている。
そこで浮かぶのが「防御側もAIを使えばよい」という発想だ。しかし、汎用的な生成AIに脆弱性診断を任せるだけで十分なのだろうか。脆弱性かどうかの判断には専門的な知識や根拠が欠かせない。何をAIに任せ、何を専門家の知見で担保するか。その線引きを誤れば、診断を速くしたつもりで、かえって重要な脆弱性を見落としかねない。
では、「100対1」という圧倒的に不利な状況に立ち向かうために、企業は脆弱性診断の何を、どう変えるべきなのか。
この記事の続き ＞＞
-
・汎用AIへの丸投げは危険？診断の品質を左右する「判断の根拠」
・AIが人間のようにサイトを巡回、診断の自動化はどこまで可能？
・経営層の「自社は大丈夫か」に迅速対応、内製化の3つの活用法
・「年1回の診断」を変える、開発工程への自動診断の組み込み方
今すぐビジネス＋IT会員に
ご登録ください。
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
関連タグ
タグをフォローすると最新情報が表示されます
