RBACもままならないのに「もう古い」 AIエージェント時代に迫られる権限管理の再設計：データセキュリティに悩む人必見（2/2 ページ）

AIエージェント時代、企業は「次世代のセキュリティ」を考える前に、現状の権限管理を問い直す必要がある。RBACの先にある権限管理とはどのようなものか。Gartnerの提言を深掘りしよう。

[田渕聖人，＠IT]

「全員同じ」をやめる　パーソナルを突き詰めた究極のセキュリティ教育

――基調講演では、従業員向けのアウェアネス・プログラム（セキュリティ教育）についても大きな見直しを提言されていました。

矢野氏　AIツールを安全に利用するためには、全従業員に対して年1回、同じ内容を一斉配信するという従来の教育では、限界があります。ユーザーによって使っているAIツールも違いますし、扱うデータも違う。AIに対する知識やセキュリティ意識にも差があります。

　例えばセキュリティに対して非常に保守的な人に、全員と同じ注意喚起を繰り返しても「分かっているのに、なぜまた言われるのか」と感じてしまいます。一方で、セキュリティ意識が低い人には、同じ説明を1回するだけでは行動が変わりません。

　つまり、ユーザーによって、伝える内容やタイミングも変える必要があります。

――具体的にはどのような教育モデルを目指せばいいのでしょうか。

矢野氏　究極的には、一人一人に違う教育をすることです。

　そのための考え方の一つが「マイクロラーニング」です。ここでいうマイクロは単純に「短時間の動画を見る」という意味ではありません。教育コンテンツを細分化して、それをユーザーごとに組み合わせるという考え方です。

　例えば役職や担当業務、利用しているAIツール、扱うデータ、部門で発生したヒヤリハット事案などに応じて、必要なコンテンツを適宜組み合わせる。そうすると、同じ会社の従業員でも、一人一人が異なる教育を受けることになります。

　日本では「全員に同じ教育を同じタイミングで」というやり方になりがちですが、AIの利用状況や業務が人によって異なるのであれば、教育も同じである必要はありません。

――コンテンツを細分化して運用するとなると、作成側の負担も大きくなりそうです。

矢野氏　そこで重要になるのが、業務そのものをどこまで細かく定義できているかです。業務ごと、ツールごとの具体的な手順や、AIを使う際の基準などが整理されていれば、それをベースにマイクロコンテンツを作成できます。逆に、業務そのものが曖昧（あいまい）なままでは、個人に合わせた教育を作るのは難しいでしょう。

　つまりマイクロラーニングを実現するには、セキュリティ教育だけでなく、そもそもの業務やデータの扱いを言語化することが必要になります。

――やはりコンテンツを細分化するためにも、従業員一人一人がどのようなデータを扱っていて、どのような目的でデータを使うのかに自覚的になる必要がありますね。

AIエージェント時代、「セキュリティは専門部署」の終わり

――ここまでお話をうかがって、AI時代のセキュリティを支えるのは、高度なテクノロジーだけでなく、組織の在り方や人の意識改革ということが分かりました。

矢野氏　その通りです。これまで日本企業では「従業員には本業に専念してもらい、セキュリティは専門部署が守る」という分業が成立していました。しかしAIエージェントやローコード／ノーコードの普及によって、従業員自身がAIを使い、自分で業務を自動化するようになります。

　実際、従業員側がクラウドサービスを選ぶ場面も増えています。そのサービスにAIやAIエージェントの機能が組み込まれていれば、セキュリティ部門が全てを把握してから利用させることは難しくなります。だからこそ、従業員自身にもAIに関するセキュリティ知識が必要になります。

　例えば、プロンプトインジェクションやポイズニングといったAIに関する脅威を知らなければ、AIツールを選ぶことも、適切に使うことも難しいでしょう。ユーザー自身が、自分の扱うデータの価値やリスクを理解し、それを自分の言葉で説明できるようになる。そしてセキュリティ部門は、全てを取り締まる部署ではなく、それを支援するパートナーになる。

　AIエージェント時代の「動的なセキュリティ」とは、単に新しい製品を導入することではなく、誰が、何のために、どのデータを、どの権限で扱うのか。これまで曖昧なままでも運用できていた企業内の役割やデータの意味を、AI時代にはより明確にしなければならないのです。

――本日はありがとうございました。