2割が「どこから手をつけていいかわからない」

フロンティアAIがもたらす脅威に関して、政府や所管省庁からの注意喚起はすでに現場に届いている。では、企業は何を課題としているのか。

天野氏がまず挙げたのは、「そもそもどこから手をつけていいかわからない」という組織が約2割存在することだ。

問2　フロンティアAI対策における懸念

対策上の懸念を尋ねた設問では、サイバーセキュリティ専門人材の不足、運用の困難さが107社で最多となった。

パッチ適用の困難さも56社が挙げた。パッチ適用が難しい理由は大きく2つに分かれるという。1つは運用面の課題だ。脆弱性を検出してシステムを更新するには一定期間の停止が避けられず、事業を止めてよいのかという判断に突き当たる。

もう1つが技術的負債である。レガシーシステムを抱える製造業などでは、そもそもパッチが提供されない、あるいは適用できないケースが少なくない。

「丸投げ」から「自律」「内製」への転換

こうした状況で、企業は政府に何を求めているのか。

必要な対策と政府支援の優先度を1つずつ選ぶ形式で尋ねたところ、優先度1で最多となったのは「ステップバイステップのガイドライン・マニュアル」だった。フロンティアAI対応の検討フローや高度な防御の導入などに関するガイドライン、マニュアルの策定を求める声が多く、補助金や税制優遇といった資金面の支援は、優先度2にとどまっている。

問3　フロンティアAI対策に必要な支援策

フロンティアAIへの対策指針がまだ示されていないなか、具体的にどんなステップで、どのようなリズムで対応すればよいのかを示してほしい――。人材が限られる現場ほど、その要望は強い。

さらに興味深いのが、補助金の用途を細分化した設問だ。最多は「セキュリティ製品・サービス導入のための補助金」だったが、2番目に多かったのは「セキュリティ専門家の社内雇用・育成支援」であり、外部専門家への依存を上回った。日本のITとセキュリティ運用は長く外注文化に支えられてきたが、意外な結果とも取れる。

問4　財政支援の対象

天野氏はこれらを総合し、内部のセキュリティ人材を育てながら、ベンダーと対話して適切なツールやサービスを導入できる社内基盤をつくりたいというのがユーザー企業の本意だと分析する。

背景にあるのは、対策が一度では終わらないという認識だ。AIは日進月歩で進化し、未知の脅威が次々に現れる。だからこそ、継続的に社内で対応できる体制を今回を機に作りたいと考える企業が増えているという。

この変化を裏づける数字もある。パロアルトネットワークス GTMストラテジー担当の和田一寿氏によれば、SIEMやSOARといったセキュリティ運用製品を導入済みまたは検討中と答えた組織は、112組織中56組織、ちょうど50%に達した。

エージェンティックAI活用は「6割超が本番利用またはPoCを開始」

和田氏は、防衛の考え方を2つの「戦線（フロンティア）」に整理して説明した。アイデンティティ、ネットワーク、エンドポイントに加え、AIやクラウド、SaaSまでゼロトラストを拡張する「フロンティア1」と、侵入を前提に異変を即座に検知・排除する「フロンティア2」である。すべての脆弱性を管理し、即座にパッチを当てられる組織は存在しない以上、後者の構築が不可欠になるとした。

一方、エージェンティックAIの活用も想定以上に進んでいる。同じ調査では、60%超の組織が本番利用またはPoC（概念実証）を開始していた。経理や人事など定型業務への適用でROIが見え始めているという。AIセキュリティの導入検討も、6割超が先行して着手している。

ただし、課題は残る。ローカルLLMの普及によってAI利用の可視性が低下するリスクがあるうえ、エージェンティックAIに対する標準的なガバナンスフレームワークはまだ確立されていない。和田氏も、市場全体が試行錯誤の段階にあると認めた。