IT時事ネタキーワード「これが気になる！」（第156回）AIによるサーバー攻撃をAIで防衛。Googleが進めるサイバーセキュリティ対策とは？

　実は、シンポジウムと同日、首相官邸において「第4回サイバー安全保障分野での対応能力の向上に向けた有識者会議」が行われ、サイバー攻撃を未然に防ぐ「能動的サイバー防御」の導入に向けた最終提言がとりまとめられた。提言内容は「サイバー安全保障分野での対応能力の向上に向けた提言（概要）」が分かりやすい。それによれば、サイバー安全保障分野での対応能力を欧米主要国と同等かそれ以上に向上させる新たな取り組みの実現のため、必要となる法制度の整備などについて、提言をとりまとめたという。実現すべき具体的な方向性は「官民連携の強化」「通信情報の利用」「アクセス・無害化」の3つで成り立っている。

　「官民連携の強化」は、国家をも背景とした高度なサイバー攻撃への懸念の拡大と技術のめざましい進展から、官のみ・民のみでのサイバーセキュリティ確保は困難と考え、政府が率先して情報提供を行い、官民双方向の情報共有を促進すべき、との点を提示している。次に、「通信情報の利用」は、先進主要国では国家安保の観点からサイバー攻撃対策のため事前に対象を特定せず一定量の通信情報を収集・分析しているが、わが国でも重大なサイバー攻撃への対策のため、一定の条件下での通信情報の利用を検討すべき、ことを示している。最後の「アクセス・無害化」は、近年のサイバー攻撃の特徴を踏まえ、被害防止を目的としたアクセス・無害化を行う権限を、臨機応変かつ即時に対処可能な制度で整備すべき、というポイントを示している。

　全体的には、「国民生活や経済活動の基盤」と「国家及び国民の安全」をサイバー攻撃から守るため「能動的なサイバー防御」体制を整備する、というイメージだ。法、人権、プライバシー、機密情報保持など、さまざまな観点から困難な点も多いと思われるものの、それらを乗り越えつつ官民一体での「能動的サイバー防御」が必要となっていきそうだ。

AIはサイバー攻撃リスクを高める一方、防衛手段としても有効。GoogleはAIを活用したセキュリティ対策を強化

　シンポジウムでは、Googleのシェーン・ハントリー（Shane Huntley）氏が、世界のサイバー攻撃はすでに半分がAIを使った攻撃であると指摘、これに対しAIを「有能な防衛者」として学習を重ねて活用していく方針を述べた。Googleは「セーフティセンター」において、Google検索やGmail、Chrome、Googleマップ、YouTube、Googleフォト、Google Pixelなどのサービスや製品に「業界最高水準のセキュリティでユーザーを保護」しているとうたう。私たちの生活に不可欠なのは「重要なインフラストラクチャーの保護」とし、Googleは、社会の重要インフラがより安全になるよう、高度なセキュリティ保護を導入する方針を示している。

　Googleは、イノベーションが進むにつれ、責任を持ってAIを開発し導入するためのセキュリティ基準が求められることから、AIシステムを安全に保護するための概念的なフレームワーク「SAIF（Secure AI Framework）」を2023年6月から導入している。SAIFは、AIや機械学習モデルのリスク管理、セキュリティ、プライバシーなど懸念されている課題に対応、AIモデルを安全なものとして実装するのに役立つという。SAIFは、強固なセキュリティ基盤をAIエコシステムまで拡大、検出機能と対応機能を拡張し組織の脅威対策にAIを取り込む、AIにより防御を自動化し既存および新規の脅威に対応する、など6つの基本要素で構成。政府や組織に提供しつつ、新たなリスク、状況の変化、AIの進歩に対応するため、改良と構築を続けていくという。

　まさに、「AIの脅威をAIで防ぐ」ということになる。サイバーセキュリティ人材が不足している現在、SAIFのようなAIを活用したセキュリティツールが、セキュリティ人材不足のギャップをある程度埋めていける可能性もある。

今後どうなる？傾向と対策

　悪意ある者はAIをも使いこなし、常に最新の技術で利益を求める。防御するわれわれは悪意ある者以上の知恵と技術をもって、対処しないといけない。この「いたちごっこ」は気を抜くと負けだ。「能動的サイバー防御」は常に新たなる脅威に先回りするもの。たとえAIをAIで防ぐとも、優秀なセキュリティ人材が量的・質的に必要だ。官民連携も、セキュリティ人材あって成立するものだと思う。

　セキュリティ人材確保の早道の1つが教育・育成だ。手っ取り早く常識を身につけるには先述Googleの「サイバーセキュリティ学習コンテンツ」初心者向けの「はじめてのサイバーセキュリティ」がおすすめだ。無料受講できるものなので、自主的な学びはもちろんだが、利点は大きいので時間をとって組織的に多人数で受講、勤務時間内での受講を許可する、なども有効だ。中小企業関係者、サイバーセキュリティについてあまり詳しくない人、基本的なセキュリティ対策を学びたい人はもちろん、組織としてセキュリティ対策をしたいがどう対策すればいいか分からない場合にも役に立つとGoogleは言う。最後に選択式10問のテストがあり、得点率50％以上は修了証が発行され、励みにもなりそうだ。

　サイバーセキュリティを扱うキャリアへの第一歩として、冒頭で紹介した「グーグル・サイバーセキュリティ プロフェッショナル認定」もかなり有効だ。即戦力として活躍できるスキルを6カ月以内で身につけられる。1名199ドルで1年間無制限に教材にアクセスできる制度もあり、これを活用すれば、働きながら技術を身につけられそうだ。加えてさらなる上級の「プロフェッショナル証明書」8コースを備え、サイバーセキュリティ人材を育成したい企業には「もってこい」な制度と思う、前向きに検討しよう。

　生成AIは、毎日続々と新しいニュースが聞かれる。新しい技術には新しい脅威がセットで発生することを頭に入れ、今後の発展を願いつつ、セキュリティ人材を育て、自らも情報を定期的にチェック、共有して、官民一体の「能動的サイバー防御」を行い、明るい未来を築いていこう。

※掲載している情報は、記事執筆時点のものです