Gartner、2024年のサイバーセキュリティ予測トップ8を発表 ヒューマンエラーを減らすための取り組みが重要に：生成AIが鍵

Gartnerは、2024年以降のサイバーセキュリティ予測トップ8を発表した。生成AIの導入によりサイバーセキュリティのスキル格差が解消され、従業員が原因のサイバーセキュリティインシデントが減少することなどを挙げた。

[＠IT]

　Gartnerは2024年3月18日（米国時間）、2024年以降のサイバーセキュリティ予測トップ8を発表した。予測では、生成AI（人工知能）の導入によりサイバーセキュリティのスキル格差が解消され、従業員が原因のサイバーセキュリティインシデントが減少することなどを挙げた。

　Gartnerのディレクターアナリストを務めるデプティ・ゴパール氏は次のように述べている。「スキル不足や人間の不安定な行動といった人間がもたらす脆弱（ぜいじゃく）性が引き続き注目を集めている。そのため、2024年のトップ予測の範囲はテクノロジーに関するものでない。効果的で持続可能なサイバーセキュリティプログラムの構築を目指す最高情報セキュリティ責任者（CISO）は、人間がもたらす脆弱性を最優先に対策する必要がある」効果的で持続可能なサイバーセキュリティプログラムの構築を目指す最高情報セキュリティ責任者（CISO）は、これを最優先事項にする必要がある」

　Gartnerは、サイバーセキュリティのリーダーに対し、今後2年間のセキュリティ戦略に次の戦略的計画の前提を組み込むことを推奨している。

2028年までに、生成AIの導入によりスキルギャップが解消され、サイバーセキュリティ初級職の50％に専門的教育をする必要がなくなる

　生成AIの普及により、組織の教育方法だけでなく、サイバーセキュリティ担当者の雇用形式も変化する。主流のプラットフォームは既に会話の拡張機能を提供しているが、さらに進化するだろう。Gartnerは、サイバーセキュリティチームが、ユーザーの作業をサポートするための十分な社内ユースケースを用意することを勧めている。

2026年までに、統合プラットフォームベースで生成AIとセキュリティ行動文化プログラム（SBCP）のアーキテクチャを組み合わせた企業は、従業員主導のサイバーセキュリティインシデントが40％減少する

　生成AIが、従業員の固有の属性を考慮した、ハイパーパーソナライズされたコンテンツやトレーニング資料を生成できるようになる可能性がある。Gartnerによると、これにより従業員が日常業務においてより安全な行動を採用する可能性が高まり、結果としてサイバーセキュリティインシデントが減少するという。

　「まだ生成AI機能を導入していない組織は、セキュリティコンサルティング企業などの意見を取り入れ、生成AIをどのように活用するか、ソリューションロードマップの一部に組み込んで理解する必要がある」とGopal氏は述べている。

2026年までに、75％の組織が、管理されていないレガシーシステムやサイバーフィジカルシステムをゼロトラスト戦略から除外することになる

　ゼロトラスト戦略では、ユーザーとエンドポイントは業務の実行に必要なアクセスのみを受け取り、進化する脅威に基づいた監視を受ける。実稼働環境やミッションクリティカルな環境では、これらの概念は、独自の安全性と信頼性を重視した環境で特定のタスクを実行する管理対象外デバイス、レガシーアプリケーションおよびサイバーフィジカルシステム（CPS）に普遍的に適用されるわけではない。

2027年までに、「Global 100」（※）のうち3分の2が、個人の法的リスクを理由にサイバーセキュリティリーダーに取締役および役員（D＆O）保険の適用を予定している

　サイバーセキュリティ開示規則や報告規則などの新しい法律や規制により、サイバーセキュリティのリーダー個人に責任が生じるようになる。関連する報告と開示のために、CISOの役割と責任を更新する必要がある。Gartnerは、個人責任、専門的リスク、訴訟費用を軽減するために、D&O保険（企業の役員や取締役《Directors and Officers Liability Insurance》のための保険）やその他の保険や補償でその役割をカバーするよう検討することを推奨している。

（※）カナダの調査会社Corporate Knightsが選出した世界で最も持続可能な100社

2028年までに企業の不正情報対策への支出は5000億ドルを超え、マーケティング予算とサイバーセキュリティ予算の50％を費やす

　AI、分析、行動科学、ソーシャルメディア、IoT、その他のテクノロジーを組み合わせることで、悪意のある者は、非常に効果的な、大量にカスタマイズされた悪意のある情報（または誤った情報）を作成し、拡散することができる。Gartnerは、CISOに対し、全社規模の不正情報対策プログラムを管理、考案、実行する責任を明確にし、カオスエンジニアリングを使用してレジリエンスをテストするツールや技術に投資することを推奨している。

2026年までに、アイデンティティーおよびアクセス管理（IAM）リーダーの40％が、IAMに関連する違反の検出と対応の主な責任を引き継ぐことになる

　IAMリーダーは、正確な投資を推進するためにセキュリティとビジネスの価値を明確に表現するのに苦労することが多く、セキュリティのリソースや予算の議論には関与しない。IAMリーダーの重要性が高まるにつれて、リーダーはさまざまな方向に進化し、それぞれの責任、可視性、影響力が増大する。Gartnerは、CISOに対し、IAMプログラムとセキュリティイニシアチブを連携させ、IAMが果たす役割を関係者に可視化することで、従来のITとセキュリティのサイロ化打破を推奨している。

2027年までに、組織の70％がデータ損失防止とインサイダーリスク管理規律をIAMコンテキストと組み合わせて、不審な動作をより効果的に特定するようになる

　統合されたコントロールへの関心の高まりを受け、ベンダーはユーザー行動に焦点を当てたコントロールとデータ漏えい防止両方の機能を提供するシステムを開発している。これにより、セキュリティチームがデータセキュリティとインサイダーリスク軽減の両方に使用する単一のポリシーを作成できる、より包括的な機能を導入できるようになる。Gartnerは、組織がデータリスクとアイデンティティーリスクを特定し、それらをデータセキュリティ戦略として併用することを推奨している。

2027年までに、サイバーセキュリティ機能の30％が、サイバー専門家以外のユーザーが直接利用し、アプリケーション所有者が所有できるようにアプリケーションセキュリティを再設計する

　ビジネステクノロジスト（Gartnerが定義した、IT部門以外の事業部内で、社内外向けのシステムの構築や情報分析といった従来のIT業務をこなす社員のこと）や分散型デリバリーチームが作成するアプリケーションの量や種類、文脈は、専門のアプリケーションセキュリティチームが対応できない脆弱性を有する可能性がある。

　「ギャップを埋めるために、サイバーセキュリティ部門は、テクノロジーとトレーニングを組み合わせて、サイバーリスクに基づいた意思決定を自律的に行うために必要な教育を実施し、これらのチームに最小限の効果的な専門知識を構築する必要がある」とゴパル氏は述べている。