CISOたちは、あの居心地の良いオフィスで、実はそれほど一生懸命働いていないというのは、誰もが知っていることです。 まあ、彼らは単に、 のコンプライアンス遵守を妨げているだけですし、 といった悪夢を防ぎ、高額なサイバー攻撃を阻止し、、従業員を といった悪質なフィッシングメール から守り――そして今では連邦当局の追及をかわしている ――といった、組織の情報資産を守るために必要な些細なことをしているに過ぎないのです。
もちろん、冗談ですよ。
実際、 人工知能（AI） や 生成AI がビジネスに浸透し、変革をもたらすにつれ、 最高情報セキュリティ責任者（CISO） は、すでに山積みの業務にさらに多くの責任を背負わされています。 彼らは、AIがもたらすセキュリティ上の課題に対処し、その機会を最大限に活用し、新しい働き方に適応する方法を学んでいます。これらすべては、急速に進化し、絶えず変化し続けるAIの時代において、リーダーシップに新たな優先課題を課すものです。
「AIは、今や私たちの生活のあらゆる側面に浸透するほどに成熟しました」と、テクノロジー・アドバイザリー企業NeuEonのCISO兼サイバーリスク・プラクティス・リードであるキャンディ・アレクサンダー氏は述べています。 「組織にとっては概ねプラスの影響をもたらしていますが、一方で、特にCISOにとっては、より困難な課題となっています。」 「AIや の機械学習の利用に関して、適切な枠組みを設ける必要がありますが、その一方で、創造性やイノベーションを阻害しないようにしなければなりません。それが大きな課題なのです。」
変化に対応し、 のような強靭な組織を維持するためには、CISOは、自身のチーム内だけでなく、企業全体にわたって、新たなリーダーシップ戦略を優先的に推進しなければなりません。 これら4つの重点分野は、取り組みを始める上で良い出発点となります。
1. 経営幹部層を導く
企業がAIの効果的な導入を急ぐ中、CISOは、AIのユースケースの精査をはじめ、さまざまな事項について経営陣を導く上で重要な役割を果たすことができると、アレクサンダー氏は述べています。 「これらは、技術者、セキュリティ担当者、そして事業部門との対話です。」 「自分が何をしたいのか、そしてそれをどのように実現したいのかをしっかりと理解せずに、AIの分野にいきなり飛び込むことはできません」と彼女は言います。 「顧客体験を向上させたいとお考えですか？ いいですね。 「そこから、そのアプローチプログラムを構築できるだけでなく、最初から適切な保護策も講じることができます。」
「何をしたいのか、どう実現したいのかをしっかりと理解せずに、AIの分野に飛び込むことはできません。」NeuEonのCISO兼サイバーリスク部門責任者、キャンディ・アレクサンダー氏
また、CISOは、 のデータやAI に関する議論を主導すべきだと、経営コンサルティング会社FTIコンサルティングのシニア・マネージング・ディレクター兼米州サイバーセキュリティ部門責任者であるジョーダン・レイ・ケリー氏は述べています。 「CISOは、データがどこに保存されているか、どのように取り込まれるか、そして そのデータの利用によってどのような法律に影響が及ぶか について、議論を主導する必要があります」と彼女は述べています。 「かつては、CISOはデータのビジネス上のニーズを理解するだけでよかったのですが、今では、ビジネス上のニーズとその影響についても理解する必要があります。」
同様に、CISOは のガバナンスに関する議論にも関与すべきだと、アレクサンダー氏は付け加えています。 「AIは、データガバナンスの必要性をまさに浮き彫りにしています」と彼女は言います。 「データの所有権は誰にあるのでしょうか？ そのデータを利用するのは誰でしょうか？ 誰がそれを利用できるべきでしょうか？ データのライフサイクルは、今後どのように変化していくのでしょうか？ そのデータをどのように保護するおつもりですか？ 「これらはすべて、CISOが参加すべき議論です。」
2。 組織リテラシーの重要性を強調する
企業では、マーケティング文の作成からコード開発に至るまで、さまざまな形でAIの活用を試みていますが、こうした活用事例は、企業の視点からは必ずしも認識されていないと、アレクサンダー氏は警告しています。 例えば、従業員は、 AIの無断使用 が、企業の機密情報を危険にさらす可能性があることを理解していないかもしれません。 「適切な安全対策が講じられていなければ、ユーザーが生成AI［ツール］に機密情報を入力してしまい、それが言語学習モデルの一部になってしまう可能性があります。」 「本当に恐ろしいことです。」
「かつてCISOは、データに関するビジネス上のニーズを理解するだけでよかったのですが、現在では、ビジネス上のニーズとその影響についても理解する必要があります。」FTIコンサルティングのシニア・マネージング・ディレクター兼米州サイバーセキュリティ部門責任者、ジョーダン・レイ・ケリー氏
CISOは、AIを他の 啓発プログラムと同様に扱うべきです（ ）。そして、すべての従業員が、AIとは何か、またそれが自身の職務とどのように関連しているかについて、基本的な理解を持っていることを確認する必要があります。 「組織内の全員にAIの概念について教育し、最新情報を常に把握できるようにする必要があります」と、カーニバル・コーポレーションのグローバルCISOであるガータ・サディール氏は、SANSインスティテュートによる のインタビュー（ ）で述べています。
CISOは、この全社的な啓発活動において、さまざまな業務プロセスにおけるAIの活用方法、AIがもたらす倫理的な課題、責任あるAI活用に関する組織の方針、および潜在的なセキュリティ上の脅威とそれらを軽減するためのベストプラクティスに焦点を当てるべきです。
[関連記事：GenAIの導入競争？ セキュリティは、適切なガバナンスから始まります]
AIに関する組織のリテラシー向上に向けた指針として、アレクサンダー氏は、 クラウド・セキュリティ・アライアンス（CSA） や オープン・ウェブ・アプリケーション・セキュリティ・プロジェクト（OWASP） といった業界団体のリソースを参照することを推奨しています。
3。 セキュリティチームにおける教育と研修を優先してください
ケリー氏によると、セキュリティ組織が直面している大きな課題は、AIのような急速に変化している分野において、知識の幅と深さを兼ね備えていることだそうです。
「CISOは、おそらくすでに過重な負担を抱え、手一杯の状態であり、幅広い分野を担当しているチームを管理するという、実に困難な仕事を担っています。そして今、AIが急速に進化しているため、その担当分野も急速に変化しているのです」と彼女は述べています。 「チームが各トピックについて最新の知識を身につけ、常に新鮮な視点を持てるよう教育し、ツールキットの次の進化によってチームが危機に陥らないようにするという点で、大きなプレッシャーがかかっています。」
実際、CSAが発表した「 2024 」レポート（ ）によると、経営幹部層は、AI技術に対する理解度について、従業員（11％）よりも著しく高い（52％）と自己申告しています。 CSAのAIセキュリティアライアンスの議長を務めるカレブ・シマ氏は、VentureBeatによる最近の「 」インタビュー（ ）の中で、「これは、セキュリティのリーダーとAIに関する従来の考え方や、『誰もが恐れている』という前提に反するものです」と述べました。 この調査は、「若手社員は年齢という理由だけで、最新のAI技術に精通している」という見方や、「すべてのCISOがAIを拒否しており、AIは大きなセキュリティリスクであり、大きな問題だ」という主張に異議を唱えている、とシマ氏は述べました。 むしろ、これは（前述した）全社的な啓発戦略には、IT部門向けの具体的な教育施策を含める必要があるということを改めて認識させてくれるものです。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
各チームはすでに手一杯の状態かもしれませんが、CISOはチームのスケジュールに、AIに関する集中的な研修のための時間を意図的に確保することが重要だと、アレクサンダー氏は述べています。 この研修では、最新のAIツールや技術、それらがサイバーセキュリティやチームメンバーの具体的な役割に及ぼす影響、そして新たな脅威に重点を置くべきです。
4。 好奇心あふれる文化を築きましょう
CISOがチーム内でのAI研修を優先することは重要ですが、チームにAIの実験を奨励することも同様に重要だと、サディール氏はSANSインスティテュートに語っています。
「リーダーは、先頭ではなく、後ろから率いなければなりません。」 考える人には、思う存分考えさせてあげなければなりません。 アイデアの多くは、チームメンバー自身から生まれています。”カーニバル・コーポレーションのグローバルCISO、ガータ・サディール氏
「学びと革新の文化を育んでいかなければなりません」と彼女は言います。 「AIの分野では、リーダーは最前線ではなく、後方からチームを率いなければなりません。」 考える人には、考える余地を与えてあげなければなりません。 実際、多くのアイデアはチームメンバー自身から生まれています。 「未来に向けた適切な解決策を見出すために、彼らにそれを育む機会を与えてあげなければなりません。」
セキュリティチームにAIの活用を試みるよう促すことには、多くのメリットがあります。 これにより、各チームは新しいAI技術や手法を模索する意欲が高まり、複雑なセキュリティ上の課題に対する新たな解決策につながる可能性があります。 また、継続的なスキル向上を促進し、チーム間の連携や知見の共有を奨励するとともに、最終的には、セキュリティチームがAIがいかにして組織全体の目標や戦略を支援し、それに沿うことができるかを理解する一助となります。 また、これは従業員の全体的な 従業員体験を向上させることにもつながります。これは、現在の厳しい雇用市場において、CISOや企業の経営陣がますます注目している点です。
CISOが変化し続けるAIの情勢に対応していく上で、組織のAI戦略において主導的な役割を果たすことが重要だと、ケリー氏は述べています。 「[CISO]はもはや裏方の仕事ではありません」と彼女は言います。 「彼らは、リーダーシップを全面的に発揮し、組織内で活動しながら、会社がどのような方向性を目指しているかを先読みし、AIへの戦略的投資に関する意思決定を行う能力を備えている必要があります。」
