仕様書は書かずに開発 老舗ベンダー弥生はAI前提でソフトウェア開発をどう変えたか？：AIネイティブ企業に大転換（2/2 ページ）

「弥生会計」で知られる弥生は、AIが設計やレビュー、セキュリティ運用まで担う時代を見据え、開発プロセスや組織の在り方そのものを変え始めた。老舗ソフトウェアベンダーがAIネイティブカンパニーへとどう生まれ変わったか。その軌跡をたどる。

[高橋睦美，＠IT]

「きちんと使えば攻撃者に対抗できる」　セキュリティ×AIの可能性

　生成AIの活用は開発現場だけではない。弥生ではセキュリティ運用にもAIを積極的に取り入れ始めている。

　近年はフロンティアAIの登場によって、脆弱（ぜいじゃく）性の発見や攻撃コードの生成が飛躍的に高速化した。技術力がそれほど高くない攻撃者でも高度な攻撃を実行できる可能性が指摘される他、悪意あるnpmパッケージが短期間で広範囲に拡散するなど、攻撃のスピードはこれまで以上に加速している。

　セキュリティ統括部CISO（最高情報セキュリティ責任者）の吉崎博人氏は「以前は『Apache Struts』の脆弱性が公開されると、3〜4日以内に対応しなければ危険だと言われていました。しかし今では、その猶予期間はさらに短くなっています」と語る。

　ただし吉崎氏は「AIによって攻撃側だけが有利になるという見方は少し悲観的過ぎる」と指摘する。

　「AIを使うのは攻撃者だけではありません。防御側もAIを活用すれば、人間による分析や判断を高速化できます。AIが異常の兆候を検知し、それをトリガーにリアルタイムで対処できる仕組みを構築できれば、十分に対抗できると考えています」（吉崎氏）

　では実際、弥生はセキュリティ業務のどこにAIを取り入れているのか。最も効果を実感しているのが脆弱性管理だ。従来は脅威インテリジェンスサービスから情報を収集し、担当者が攻撃動向を調査した上で、自社環境への影響を一つ一つ検証していた。

　しかし現在では、公開された脆弱性情報だけでなく、自社が保有するIT資産やシステム構成、リスク要因などを組み合わせてAIが総合的に分析し、影響範囲や優先順位の判断を支援するようになってきたという。

　「公開された脆弱性情報を見るだけなら比較的簡単です。しかし、自社の資産と照らし合わせて『本当に対応が必要なのか』『悪用される可能性はどの程度あるのか』を判断するのは容易ではありません。AIが複数の情報を組み合わせて分析することで、影響範囲の特定や優先順位付けを効率化できるようになっています」（吉崎氏）

　今後はASM（Attack Surface Management）基盤とAIを連携させる他、脆弱性診断やソースコードレビューへの適用も検討している。また、ソフトウェアサプライチェーン攻撃への対策として、ソフトウェアコンポジション分析（SCA）によるOSSやサードパーティー製コンポーネントの脆弱性管理に加え、認証情報やAPIキーなどのシークレットがソースコードに含まれていないかを検査する仕組みの整備も進めている。

シフトレフトを実践して気付いた思わぬ副次的効果

　AIを活用して開発スピードが加速するほど、「開発」と「セキュリティ」は対立しやすくなるようにも思える。しかし弥生では、両者を同じ方向へ向かわせるための土台として「シフトレフト」の考え方を重視している。

　シフトレフトとは、脆弱性診断などをリリース直前に実施するのではなく、要件定義や設計、実装といった開発の初期段階からセキュリティを組み込む考え方だ。セキュリティを「最後の関門」ではなく、開発プロセスの一部として捉えることで、品質と開発スピードを両立させようとしている。

　「以前はリリース直前に手動で脆弱性診断を実施し、問題が見つかれば開発を止めるという運用でした。しかし今は、レビューやソースコード診断などを開発プロセスに組み込み、できるだけ早い段階で問題を減らすことを重視しています」（吉崎氏）

　具体的には、CI/CD（継続的インテグレーション／継続的デリバリー）と各種セキュリティツールを連携させ、AIを活用した開発フローの中へ自動的にセキュリティチェックを組み込んでいる。その結果、リリース直前の検査で重大な脆弱性が見つかるケースは減少しつつあるという。

　「ソースコードスキャンを組み込んだ開発プロセスと、そうでないプロセスでは検出率に大きな差があります。また、標準機能をそのまま使うだけではなく、自社のプロダクトに合わせてルールをチューニングすることで、さらに精度を高められることも分かってきました」（吉崎氏）

　一般に開発者にとってセキュリティチェックは「余計な作業」と受け止められがちだ。しかし弥生では逆の効果も生まれている。

　「これまで手作業や外部ベンダーに依頼していたセキュリティチェックを、セキュリティチームが仕組みとして組み込んでくれたことで、開発者は本来の開発に集中できるようになりました」（佐々木氏）

　シフトレフトとは、開発スピードを犠牲にしてセキュリティを強化する取り組みではない。開発とセキュリティの双方が同じ目標へ向かうための考え方として、AI時代にその重要性はさらに高まっているのだ。

AI活用が人事評価に反映される？　目指すは「AIネイティブカンパニー」

　こうした取り組みを支えている背景には、組織文化の変革もある。吉崎氏は、その土台として3つの要素を挙げる。

　1つ目は、会計サービスを支える企業として、品質や信頼性を重視する文化が経営層から現場まで浸透していることだ。「サイバー攻撃はシステム障害ではなく、事業停止やブランド毀損（きそん）につながる経営リスクだという認識が社内で共有されています」（吉崎氏）

　2つ目は、開発とセキュリティの双方を理解する人材の存在だ。開発経験者をセキュリティ部門に迎え入れたり、インフラ経験を持つ人材を採用したりすることで、双方の立場を理解した上で議論できる体制を整えてきた。

　「何もないからこそ、新しい技術を使って一から仕組みを作れる。その面白さを採用でも積極的に伝えてきました」（吉崎氏）

　そして3つ目が、組織全体に根付くフィードバック文化だ。

　開発チームから寄せられる改善要望を「コンストラクティブ・フィードバック」と捉え、セキュリティチームもまた改善案を返す。こうした双方向のやりとりを繰り返すことで、両組織の信頼関係を築いてきたという。

　この考え方は現場だけではなく、CxO同士も積極的に意見を交わしながら改善を繰り返す文化が定着しており、それが部門間の連携を支えていると佐々木氏は話す。

　こうした文化をさらに定着させるため、弥生はAI活用を前提とした事業運営を推進し、人材育成や評価制度の見直しにも踏み込んでいる。

　役員自ら「AIを使わない企業は滅ぶ」と発信し、全従業員にAI活用を促しているだけではない。将来的には、利用状況やスキルを可視化する「AI成熟度」のモニタリングを通じて、初心者から実践者、熟練者、さらにはストラテジストやイノベーターへと成長できる仕組みの実現を目指している。

　また、AI活用を組織全体に広げていくため、人材育成や人事制度のあり方についても検討を進めている。AIをどれだけ使ったかだけを評価とせず、工数削減や成果物の品質、創出した価値など、何を評価指標とするべきかは現在も試行錯誤を続けている。利用者の成熟度に応じて利用できるAIや権限の範囲を広げる仕組みも検討しているという。

　AI導入当初は、「AIに任せるより自分でやった方が早い」「仕事を奪われるのではないか」といった声もあった。しかしAIの性能向上とともに、そうした抵抗感は徐々に薄れていったという。

　「これからはAIを使うかどうかではなく、AIをどう使いこなし、人とAIの役割をどう設計するかが競争力を左右します」（佐々木氏）

　AIがコードを書き、レビューし、セキュリティ運用まで支援する時代は、すでに始まっている。その変化の本質は、AIという新しいツールを導入することではない。AIを前提に、開発プロセスや組織、人材育成の在り方をどこまで変えられるか――。弥生の取り組みは、その問いに対する一つの実践例と言えそうだ。