の急成長や、シャドウAI（ ）の台頭、さらにはAIを活用した詐欺やサイバー攻撃の増加を踏まえると、今（例えば、や のように）は、企業がAI教育を優先すべき極めて重要な時期であり、CISOがその主導役を担うことができます。
15,000 名を超える最高情報セキュリティ責任 者（CISO）やその他のサイバーセキュリティ実務者、意思決定者を対象とした調査 のうち、ISC2 名によると、90％が自組織でスキル不足に直面していると回答しており、回答者の半数以上が、スキル不足が自組織に重大なリスクをもたらしていると考えていると答えています。 国際的なサイバーセキュリティ研修・認定機関に報告された、最も深刻なスキルギャップとは何でしょうか？ AI。
CISOは、AIに関する意識の向上、能力の構築、 の研修プログラムの開発、および安全な利用ガイドラインの策定において、極めて重要な役割を果たしています。 こうした取り組みがなければ、「シャドウAI」のような理論上の脅威――IT部門の承認なしに従業員がAIツールやアプリを使用したり、さらに悪い場合には、本人が全く気づかないうちに が利用されたりすること（ ）――がほぼ確実に発生することになると、経営コンサルティング会社（FTI Consulting、）のシニア・マネージング・ディレクター兼米州サイバーセキュリティ部門責任者であるジョーダン・レイ・ケリー氏は述べています。
「企業や従業員は、AIを活用する方法を模索することになるでしょう。もし、そうした技術について十分な知識や理解がなければ、企業は自社の情報がどのように利用されているか、また何を保護できるかという点について、コントロールを失うことになるでしょう」と彼女は述べています。 例えば、従業員がAIを活用した分析ツールを使用して、顧客データや売上実績、顧客からのフィードバックなどを分析する場合がありますが、これらはいずれも機密データを危険にさらすことになります。
組織内のすべてのデバイスを網羅した可視性（ ）は、こうしたリスクを抑制するために不可欠ですが、それにより、人員不足で過重な負担を抱えるセキュリティ部門に、企業のセキュリティ確保という重責と責任のすべてがのしかかってしまいます。 包括的なセキュリティには、チーム一丸となって取り組むことが必要です。
絶えず進化し続けるAIの動向に対応するため、CISOは、自部門内、 の経営陣（C-suite）、そして組織全体において、あらゆるレベルでの教育を優先する必要があります。 そして、これは のAIガバナンス に関する方針の策定前、策定中、および策定後に実施される必要があります。 これら4つの指針は、まず手始めとして適しています。
1. AIに関する方針に取り組む前に、ビジネスの優先事項と整合性を図ってください
AIの管理方法を効果的に構築するためには、CISOはまず、自組織のAIに関するビジネスモデルについて理解を深める必要があると、人材派遣会社 ALKU（）のサイバーセキュリティコンサルタント兼AIセキュリティの専門家であるアリ・アケル氏は述べています。
「従業員はAIを活用する方法を必ず見つけ出すでしょう。もし彼らがそれらの技術について十分な知識や理解を持っていない場合、企業はコントロールを失うことになるでしょう。」FTIコンサルティングのシニア・マネージング・ディレクター兼米州サイバーセキュリティ部門責任者、ジョーダン・レイ・ケリー氏
「CISOは、事業部門や技術組織の各部門と密接に連携し、AIにどのようなワークロードを活用するか、どのような種類のサービスを利用する予定か、それらの機能はどのようなものか、そしてAIに必要なビジネス要件や機能要件は何かを理解する必要があります」と彼は述べています。
AIの利用という文脈において、アプリケーションのワークロードとは、AI駆動型アプリケーションが実行する必要がある操作や活動を指します。例えば、データ処理や分析アプリケーションのワークロードには、AIモデルの学習に適した状態にするために、大規模なデータセットのクリーニング、整理、変換といったタスクが含まれる場合があります。 「これを明確に理解できれば」とアケル氏は述べます。「セキュリティチームは、そのAI要件に関連するすべての要件、基準、ポリシー、およびプロセスの策定と整合化に着手できるようになります。」
同氏は、組織のビジネスモデルを理解することで、CISOは、 に記載されている、AIに関連する最も重要な脅威や機会 に焦点を当てた教育およびリスク啓発プログラムの設計に着手できると述べています。
[関連記事: 4 AIの時代におけるCISOの重要なリーダーシップの優先事項]
さらに、CISOはその後、最高財務責任者（CFO）やその他の経営陣に対し、こうしたAI教育プログラムが収益の拡大や損失の防止にどのように寄与しているかを具体的に示すことができるのです。 「この業界で不足しているスキルの一つは、サイバーセキュリティを……ビジネスの推進力として位置づける能力です」と、 ISC2 社のコーポレート・アフェアーズ担当エグゼクティブ・バイスプレジデントであるアンディ・ウールノー氏は、のポッドキャスト『Solution Spotlight』（ ）の最新エピソード「」（ ）で述べています。 「CFOを納得させられなければなりません。それだけの話です。」
2。 AIに関する方針策定の議論を通じて、経営幹部の意識向上を図る
CISOは、AI のリスクやメリットについて経営陣に理解を深めてもらう上で重要な役割を果たしており、組織がAIポリシーのガイドライン策定に着手する際（あるいは、できればその前に）、こうした重要な対話がなされなければならないと、ケリー氏は述べています。 CISOは、いくつかのセキュリティ上の考慮事項をめぐって、こうした議論を主導すべきです。
「[セキュリティチーム]は、何を翻訳し、開発し、保護しているのかを理解する必要があります。」アリ・アケル氏、サイバーセキュリティコンサルタント兼AIセキュリティの専門家、ALKU
「企業の情報セキュリティ体制にとって重要なトピック、例えば のデータプライバシー、知的財産、そしてAIモデルの出力結果をどのように評価し、検証を行っているかといった点に焦点を当てるべきです」と彼女は述べています。 「実験が具体的にどのような形をとるのかについて、非常に明確にすべきであり、また、バイアス（ ）や公平性といった点に関する『 』の評価において、何らかの役割を担うべきです。」
アケル氏は、こうした対話を促進することは極めて重要だと述べています。なぜなら、それによって経営陣がAIのリスクとメリットを理解し、最終的にはAIリスク管理に対する経営陣の支持を得られるようになるからです。
[関連記事： 2025年のサイバーセキュリティ予算策定の指針となる 5 の重要目標]
AIが進化し続ける中、CISOは、新たな脅威 、機会、および新たなトレンドに関するの最新情報を、経営陣に適切に共有し続ける必要があります。 定期的なブリーフィングや報告は、経営陣の状況を把握し続ける上で役立ちます。
3。 セキュリティチーム内で、AIの基礎に関する基礎知識を身につける
Aqel氏によると、CISOは自社のセキュリティチームがAIの機能について基本的な理解を持っていることを確認する必要があるとのことです。
「彼らは、自分が何を翻訳し、開発し、保護しているのかを理解する必要があります。」 「彼らは、 機械学習、 ディープラーニング、自然言語処理、そして特殊なモデルなど、さまざまなAIのモデルを理解する必要があります」と彼は述べています。 「セキュリティ担当者がこれらの点を理解することは非常に重要です。なぜなら、これらのモデルに対するセキュリティ対策をどのように模倣すべきかを知る必要があるからです。」
Aqel社は、セキュリティチームに対し、AIに関する学習に、1か月あたり少なくとも4時間を、1時間単位で割くよう推奨しています。 この教育は、さまざまな形式で行われる可能性があります。例えば、チームが特定のトピックについて深く掘り下げる非公開のセッション、Pluralsightなどのリソースを活用した正式な研修、あるいは組織が契約しているAIベンダーによるリソース研修や認定資格取得などです。 アケル氏は、セキュリティチームがAIのような新興技術に関する従業員の教育を支援するための専用予算を確保することが重要だと付け加えています。
4。 全社的なAI研修を推進する
全従業員を対象にAIの安全な利用方法に関する研修を実施することで、敵対的攻撃やデータポイズニングから、倫理的な懸念や の規制遵守に至るまで、AI技術に特有のリスクに対する認識と理解を深めることができます。。 これにより、組織はAIシステムのセキュリティを強化し、データを保護し、業界の規制への準拠を確保することができます。
また、これはあらゆる階層の全従業員に、責任感を持たせることにも役立ちます： 組織を守るという点においては、誰もがチームの一員なのです 。
[関連記事：チームワークは、サイバーセキュリティ対策において過小評価されがちな手段です。友情も同様です]
組織の研修プログラムで重点を置く分野は、企業によって異なる、とケリー氏は述べています。 例えば、分析に用いられる多くのAIシステムは、機密情報や個人を特定できる情報が含まれていることが多いデータに依存しています。 従業員には、データ漏洩や法的措置を回避するため、このデータを保護することの重要性や、特定の規制を遵守することの重要性について、研修を行う必要があります。
ケリー氏によると、こうしたプログラムを成功させるためには、研修を受ける従業員に当てはまる具体例を随所に盛り込むべきだとのことです。 これには、自社のCEOを装ったメールが含まれる可能性があります。そのメールでは、新たな事業計画のために緊急の送金を要求してくるなど、従業員に対し、 フィッシング 、ビジネスメール詐欺、あるいはその他の ソーシャルエンジニアリング を示唆する「危険信号」（不自然な表現、送信者の不一致、機密情報の要求といった明らかな手がかり）に注意を喚起するものです。
「これにより、AIのリスクに関する決定が、組織において実際にどのように適用されるのか、非常に詳細に理解できるようになります」と彼女は述べています。