2019年3月、ある大手エネルギー企業のCEOは、新しい東欧のサプライヤーの口座だと思い込んでいた口座へ、22万ユーロを緊急送金するよう指示した。これは、電話を受けた後のことだった。その電話の相手は、親会社のCEOだと本人が信じていた人物だった。数時間のうちに、この資金は中南米の口座網を経由し、人工知能（AI）を使ってCEOの声を巧みに模倣したとみられる犯罪者の手に渡った。
AIを活用した1回の会話によって、犯罪者はサイバーセキュリティ対策の幾重もの防御をすり抜けた。この成功は、AIなどの強力な新興技術を特定の方法で用いることがどのようにして、5G、生体認証、新しい暗号化技術が、攻撃者と防御者の双方にとってサイバー犯罪の状況を変えうることを示している。サイバー攻撃からの防御が求められる組織は、官民の連携先とともに、官民パートナーシップを通じて協力し、新技術がリスクと脅威の状況をどのように変えるかを把握するとともに、集団的かつ適切な対応を準備する必要がある。
こうした背景から、エクイファクスと世界経済フォーラムは、初の「Future Series: Cybercrime 2025」を招集した。Future Series: Cybercrime 2025。学術界、政府、法執行機関、民間部門から集まったグローバルなサイバーセキュリティの専門家が、米国アトランタに集まり、AIが近い将来にサイバーセキュリティの力学をどのように変えうるかを探っている。Future Series: Cybercrime 2025イニシアティブの最初のワークショップであるこの会合では、「第四次産業革命」の主要技術がサイバーセキュリティの脅威と防御に及ぼす影響を検討する。第四次産業革命。
サイバーセキュリティにおいてAIが重要な理由
サイバー犯罪者は、サイバーセキュリティ防御において優位に立てる技術や革新を取り入れることに長けている。初期の事例研究や調査は、防御側が既に最初の影響を見始めている分野を示している。それは、「強い」AI（犯罪者が人間のように動作し、考え、行動するシステムを使う場合）と、「弱い」または「特化型」AI（人間の行動をモデルとして特定の作業を実行するシステム）への対処である。その潜在的な用途を踏まえると、AIはサイバーセキュリティの状況に構造的な変化をもたらすと予想されており、近い将来、サイバーセキュリティにおける4つの主要な課題に影響を与えるだろう。
課題1：攻撃者の高度化
社会活動家から国家に至るまで、さまざまな高度さの攻撃者は、最も高い投資収益率が期待できる標的を狙って努力を注ぐ。組織はリスクに基づく統制への投資を推進し、攻撃者にとっての魅力を低減できる。組織がサイバーセキュリティプログラムを成熟させるにつれ、攻撃者にとって価値の低い標的となっていく。
AIは、作業の自動化や悪意あるサービスの強化によって、攻撃の参入障壁と実行の障壁をさらに下げ、攻撃の量を加速させる可能性がある。AI対応技術はまた、犯罪の特定と捜査がすでに困難な環境において、攻撃者が匿名性を保ち、被害者との距離を保つ能力を高める可能性もある。
課題2：非対称性
防御側は、攻撃を100％阻止し続けなければならないのに対し、攻撃者は一度成功すればよい。組織は適切な能力の構築に注力し、この非対称性を縮小するプロセスと技術を実装できるチームが必要である。
AIと自動化はばらつきとコストを減らし、規模を拡大させ、誤りを抑えている一方で、攻撃者もAIを使って形勢を逆転させる可能性がある。犯罪者は、攻撃の中で最もリソースを要する要素を自動化し、自分たちに対して導入された統制をすり抜けることができるようになるだろう。近い将来の「特化型」AIの予測では、AI対応の脆弱性スキャナーが攻撃者による脆弱性の発見と悪用を加速させ、現行の脆弱性管理とサイバーセキュリティ運用能力に課題を突きつける可能性があることが示されている。
課題3：攻撃対象領域の拡大／業務のデジタル化
組織が成長を続けるにつれ、技術およびデータの資産の規模と複雑さも増大し、攻撃者が探索し悪用できる対象領域も増える。攻撃者に先んじるため、組織はAIや自動化などの高度な技術を導入し、環境全体に努力を均等に分散させるのではなく、防御可能な「チョークポイント」を作り出すことができる。
さらに、ビジネスプロセスにおけるAIの活用は、防御すべきサイバーリスクと資産の性質を変えうる。AI対応技術への依存が高まれば、攻撃者が重要なビジネスプロセスに介入する新たな機会が生まれ、社内の意思決定と顧客との関係の双方に影響が及ぶ可能性がある。
課題4：リスクと業務の実現のバランス
組織は、業務を成功裏かつ安全に運営することを目指している。リスクと脅威の状況の変化に対する安易な反応の一つは、競争力を最終的に損ない、従業員の士気を抑え込むような強硬な安全文化を採用することである。代わりに、セキュリティチームはリスクに基づくアプローチを活用し、ガバナンスのプロセスと重要性の閾値を確立するとともに、業務の責任者にサイバーセキュリティの状況を知らせ、それを継続的に改善する取り組みを特定できる。
AIなどの技術を活用して、業務部門と技術部門がセキュリティとどのように関わるかを改善することで、さらなる業務の実現が可能になる。例えば、現在利用可能な技術を用いれば、定型的なセキュリティプロセスの完了に要する時間を、これらのプロセスのリソースや時間を多く要する側面をAIで自動化することによって大幅に削減できる。業務チームにとって、セキュリティプロセスの効率向上は、セキュリティ要件への対応に伴う摩擦を減らす。AI技術の進展により、サイバーセキュリティ運用を改善し、リスクと見返りのバランスを支えるさらなる機会が開かれると期待されている。
対応策の構築
絶えず変化するサイバー脅威の状況において、組織はますます複雑で相互に結びついたリスクに対して防御しなければならない。AIを含む第四次産業革命の主要技術は、この状況に一連の構造的な変化をもたらす可能性を秘めている。近い将来、AIは組織にとってのリスクを形作るだろう。そして、世界経済フォーラムとそのパートナーは、Future Series: Cybercrime 2025プログラムを通じて、これらのリスクを軽減し克服するために必要な効果的な行動を特定することを目指している。
