先月、バークレイズがロンドンに新たな「イノベーション・ハブ」の立ち上げを発表したことは、 （AI）、 、（ディープテック）、 といった分野のスタートアップにとって朗報となりました。このイノベーション・ハブは、同銀行のインキュベーター・エコシステムである「バークレイズ・イーグル・ラボ」が支援するテック企業向けアクセラレーターであり、マイクロソフトやエヌビディアをはじめとする数多くのテック大手企業との提携により設立されたものです。
英国を代表する金融機関として、バークレイズは、AIのような物議を醸す新興産業へのイノベーションへの資金提供を行う一方で、英国および世界中の企業に対するリスクアドバイザーとしての役割も果たすという、強力でありながらも不安定な立場に置かれることに慣れています。 そして、CISOのアンディ・パイパー氏は、この極めて重要なバランスを保つ取り組みにおいて、重要な役割を担っています。
バークレイズ銀行の 最高情報セキュリティ責任者（ ）として、同氏は、同銀行が実際に導入しているのAIおよび自動化 の特定と監督に携わっています。 つまり、40カ国以上にわたる の銀行施設 向けにシステムや手順を確立し、74 を超える規制当局に対応する必要があるということです。
確かに、 の金融サービス業界 では、10年以上にわたりアルゴリズム取引が活用されてきたため、AIについてはある程度慣れ親しんでおり、経験も豊富です――ただし、それが安全で、透明性があり、適切に規制されている限りにおいて、とパイパー氏は指摘しています。 とはいえ、彼の熱意にも限界があります。 具体的には、AIがサイバーセキュリティの状況を、独特かつ劇的な形で変容させていることを、彼は懸念しています。
パイパー氏は、世界中の業界幹部への詳細なインタビューに基づいて作成された新しいオンラインレポート『 』（）、『The Interconnection of People, Process and Technology』（）、『』において、実体験や見解を共有している 23 名の傑出したITおよびセキュリティリーダーの一人です。
以下の抜粋――および今後数週間にわたって掲載されるその他の記事――では、『 』のフォーカルポイント担当である が、本書に盛り込まれた最高レベルの専門知識の一部をご紹介いたします。本書は、ビジネスおよびテクノロジーのイノベーター向け英国拠点の会員制コミュニティ「Chief Disruptor」が、サイバーセキュリティソリューションおよびの自律型エンドポイント管理 のリーディングプロバイダーであるTanium（本誌の発行元でもあります）と提携して制作したものです。
（本インタビューは、紙面の都合および読みやすさを考慮して編集されています。）
アンディ・パイパー……
AI、自動化、量子技術などの技術革新が猛烈な勢いで進んでいるこの時代において、CISOが備えておくべき最も重要なスキルについて：
私が最も役に立っていると感じるスキルは、円滑なコミュニケーション能力です。というのも、私の役割の大きな部分を占めるのが、技術に詳しくない規制当局や取締役会との対話だからです。
「彼らは、きわめて専門的なサイバー用語を必ずしも理解しているわけではありませんし、理解する必要もありません。 取締役会は、サイバーセキュリティが戦略的目標、リスク、および事業運営にどのような影響を与えるかを重視しています。”
CISOにとって、 複雑なサイバーセキュリティのトピックを、技術的な知識を持たないステークホルダー にも理解しやすい言葉で説明できることは不可欠です。 彼らは、 のような非常に専門的なサイバー用語や、 といった内容を必ずしも理解しているわけではありませんし、理解する必要もありません。 取締役会は、サイバーセキュリティが戦略目標、リスク、および事業運営にどのような影響を与えるかを重視しています。 私の役割は、[そのリスク]について説明し、それを相手の優先順位と照らし合わせて検討することです。
[関連記事：取締役会とブランドの評判 ― 投資家や消費者の信頼を高めるためのサイバー対策 7 ]
金融サービスに対するコンプライアンス規制の影響について：
私が日々の業務で最も力を入れていることの一つは、規制当局への対応です。直近の集計では、その数は 74 を超えるほどです。 それぞれに独自のサイバーセキュリティ要件があり、重複するものもあれば、相反するものもあります。 これらすべてを管理し、 のコンプライアンスを維持することは、フルタイムの仕事となります。 インシデントの報告方法もさまざまで、数分以内に報告を求める規制当局もあれば、数時間以内を求める規制当局もあり、また、重要な進展があった際に報告を求める規制当局もあります。
「規制当局が、将来的に規制となる可能性のある白書を提案している場合、私たちはそれを確実に理解し、できれば私たちにとって有益な方向へと導けるよう努めます。」
弊社では、これらの規制がいつ変更される可能性があるかを先を見据えて把握するための、動向調査のプロセスを設けております。 そこで、その変化とは一体何なのでしょうか？ では、その変化に先んじるために、どのように技術を改良すればよいのでしょうか？ 規制当局が、将来的に規制となる可能性のある白書を提案している場合、私たちはそれをしっかりと理解し、できれば私たちにとって有益な方向へと導けるよう努めます。 また、四半期ごと、半期ごと、あるいは年1回の頻度で、規制当局との面談を行うことが義務付けられています。 規制当局と効果的にコミュニケーションをとることは、それ自体が重要なスキルです。 繰り返しになりますが、重要なのは、技術的な現実を、分かりやすく正確な説明へと変換することです。
[関連記事：EUのAI法への準拠方法――まずはリスクレベルの見極めから]
規制というのは、とてつもなく、とてつもなく――つい「負担」と言いかけてしまいました。 負担ではありません。 それは……それは課題であり、私たちが対処しなければならないことであり、もし適切に対処できなければ、組織に甚大な影響を及ぼす可能性があります。
AIチャットボットに関する問題について：
生成AI「 」の利用が爆発的に広がっており、そのスピードによって格差が生じており、私たちは皆、その遅れを取り戻そうと奮闘しています。 今ではあらゆるものに含まれています。 私が話を伺うベンダーのほぼすべてが、「ねえ、新しい『 』AIチャットボット『』が登場しましたよ」とおっしゃいます。 多くの場合、それは私にとって問題となります。 AI を使用するベンダーのツールについては、そのセキュリティ態勢を確認できないため、しばしば無効化せざるを得ませんが、これはコンプライアンスに直結する問題です。 ですから、現時点では速度が大きな課題となっています。
「私のチームには、妨げになる存在ではなく、支援者としての存在として見てもらいたいのです。」
そして、この問題には二つの側面があります。「AIのセキュリティをどのように確保するか」という点が挙げられます。 そして、「AIを活用して、他のものをどのように保護すればよいのでしょうか？」 私たちは厳しい問いを投げかけています。ユーザーからの入力データはどこへ送られるのか、保存されるのか、モデルの学習に利用されるのか、そしてその出力結果を信頼できるのか、といった点です。 PII（個人を特定できる情報）や[独自のブランドデータ]といった機密データが、当社が完全に管理・監査できないツールに流入することは避けたいと考えています。 一方、AIは、毎日発生する数十億件ものセキュリティイベントを精査し、真の脅威を特定するのに役立ち、自動化の運用上の価値を浮き彫りにしています。
[関連記事：「百聞は一見に如かず」――企業がAIを活用してサイバーセキュリティを強化する方法]
同様に、脅威の観点から見ても、従業員に注意を払うよう訓練してきた事項の多くは、もはや存在しなくなりました。 AIによって生成された のフィッシングメール（ ）は、文法、口調、構成のすべてにおいて、ほぼ完璧な出来栄えです。 これにより、従来の電子メールによる脅威に関する研修は時代遅れになりつつあります。 モデルポイズニングもまた、悪意のある攻撃者がAIシステムの挙動に影響を与えるという、現実的な脅威の一つです。
セキュリティチームの評価を向上させることについて：
私の目標は、セキュリティに対する認識を再定義し、CISOを「ノーばかり言う存在」とする従来のイメージから脱却することです。 私のチームには、妨げになる存在ではなく、支援者としての存在として見てもらいたいのです。 つまり、事業部門と連携し、 目標と戦略を一致させるということです。。 ビジネス側への標準的な回答は、「はい、適切な管理体制が整っていれば」とすべきです。
詳細はこちら：
WPP、Spotify、ユニリーバ、NHS Digital などの組織に所属する、その他 22 名の IT およびセキュリティリーダーによる洞察を、『』でご覧ください。 『人、プロセス、テクノロジーの相互連携』。
