セキュリティリーダーの視座
Agentic AI前提でセキュリティを作り直す - Sansan 鴨志田氏（2/2 ページ）
人ではなくAIを相手にするなら、守り方も変える必要がある
――Sansanの場合、どのようなデータを守る必要があるのでしょうか。
鴨志田氏： 契約書や請求書など、お客さまからお預かりしたデータ全般が保護の対象になります。
――セキュリティに対する社内の温度感は、どうご覧になっていますか。
鴨志田氏： 温度感は高いです。Sansanは、名刺情報をはじめとする個人情報を扱う会社であり、社員全員が個人情報保護士の資格を取るくらいですから。
それ自体は非常にいいことではあるんですけど、もう少しマクロで見たときに、優先順位を付けて重視する部分とそうでない部分のメリハリをもう少し効かせた方がいいよね、とも感じています。何に力を入れて整備すると高い効果が表れるのか。そういう全体の方向感を定めるところは、私のSansanでの大きなミッションになっていると思っています。
Sansan 技術本部 情報セキュリティ部 部長 鴨志田 昭輝氏 Photo by 山田井ユウキ
――AIの普及はセキュリティにどう影響するとお考えですか。
鴨志田氏： 多くの企業では現在、業務の中で人がさまざまな情報を扱うわけですから、多くのセキュリティソリューションを導入しているものの、最終的には、エンドユーザーの意識と知識に頼ることになります。
ただ、これがAIの普及ですごく変わってくると思っています。具体的には、PCの中や、自分のアカウント権限内のシステムなど、手の届く範囲にある重要な情報にAIがアクセス可能になると考えられます。AIは人のような良識を初めから備えているわけではなく、目的達成のためにさまざまな手段を駆使していきますので、守り方も大きく変えなければなりません。
――AIエージェントへの対応が必要なのですね。人とは違う権限管理が必要という議論はよく耳にします。
鴨志田氏： ID管理でアクセス権限を制御するのも一つの方法ですが、機密性の高いデータは、そもそもAIエージェントの手の届かないところにちゃんと退避することが大事だと考えています。お客さまからお預かりしたデータなどにはバリアを設けて、ここから先はAIエージェントがそもそもアクセスしようがない、という世界を作るということです。
――プロダクトでのAI利用は、どうしていますか。
鴨志田氏： プロダクトとして顧客に提供しているサービスへのAI機能の搭載も、早いペースで進んでいます。機密性の高いデータを扱うAIですので、情報セキュリティ部でしっかりレビューするなど手厚く対応しています。
AIが読むことを前提にしたポリシーへの全面刷新を目指す
――セキュリティ部門の業務そのものは、AIによってどう変わりますか。
鴨志田氏： AIを使って資料作成が楽になるとか、セキュリティに関する問い合わせが来たらAIで回答すれば楽になるとか、そういった既存業務を効率化する意味もあります。でもそれだけでなく、外部ベンダーに委託しているような業務をAIに置き換えるとか、ポリシーもAI活用を前提にして、AIが読んでも誤読しないようなものに全面刷新しようとか、いまはそういうことを考えていますね。
――ポリシーの刷新とは、具体的にどういうことでしょうか。
鴨志田氏： そもそも、セキュリティのWord文書とかって、人が見るべき世界じゃないし、そういう時代でもないと思っていて。AIにこういうことをやりたいと伝えたら、AIがポリシーを自動で読み込み、必要なことはこれですと答えて完結するような環境を作りたいんです。社内からの問い合わせにAIが自動回答するのも大きな効率化ですが、そもそも問い合わせが来ない方がいいわけですから。
――AIに読ませるために、文書をどう作り替えるのですか。
鴨志田氏： 昔、セキュリティポリシーをコードで書いたらすごくいいんじゃないかと思った時期もあったのですが、でも今は、AIの言語処理能力がめちゃめちゃ上がっているので、自然言語で十分じゃないかなと思っています。
ただ、マークダウンでちゃんと構造化されているとか、曖昧な表現を避けるとか、属人的になっているものをなるべく言語化するとか、そこは必要です。
Sansan 技術本部 情報セキュリティ部 部長 鴨志田 昭輝氏 Photo by 山田井ユウキ
――組織の作り方も変わりますか。
鴨志田氏： 優秀な人をどんどん集めて、1番から9番まで打順を組むというよりは、AI活用を前提に、少人数でも大きなレバレッジをかけて、大きな成果を出せるチームにする必要があります。組織の作り方も、大きく変わってくるんだろうなと思っています。
――CISOとの役割分担や、現在の体制を教えてください。
鴨志田氏： CISOを務めるのは、創業者の1人でCIOなども兼務している取締役の塩見氏で、私の上司でもあります。重要な判断は彼に聞くようにしていますが、基本のオペレーションは私のところで回しています。日本シーサート協議会に加盟しているSansan-CSIRTも、私の見ている情報セキュリティ部が担っています。今はとにかく、やれることが多くて、夢が膨らむんですよ。
無限にやることがあるからこそ、集中すべきところにリソースを投下すべき
――経営層やセキュリティ責任者へ伝えたいことがあれば教えてください。
鴨志田氏： 会社によって、セキュリティのやり方も形も全然違います。そもそも何のためにセキュリティをやるのか、というところを考えてほしいですね。
セキュリティって、テールリスクに目を向けると無限にやることがあります。そんな中で、何のためにやるのかという軸を持って、リソースを集中すべきところに集中しないと、成果は表れないんです。
事業内容によって大事なことは違うし、経営者の意識やキャラクターによっても違ってきます。その辺をちゃんと言語化しておかないと、全方位にどっちつかずなセキュリティになってしまうんです。
――Sansanの場合は、その軸をどこに置いているのでしょうか。
鴨志田氏： 私たちはSaaS企業なので、お客さまから信頼を得てサービスを利用してもらっています。だとすると、セキュリティが原因でお客さまが解約するようなことはあってはなりません。
そのためにも、お預かりしたデータの保護が軸であり、最重要課題です。逆に言えば、社内情報まで同じ強度で守るのではなく、顧客データの保護にリソースを割けるよう優先度にメリハリを付けてもいいと思っています。
Sansan 技術本部 情報セキュリティ部 部長 鴨志田 昭輝氏 Photo by 山田井ユウキ
――最後に、今後の目標を教えてください。
鴨志田氏： あと10年、15年ぐらいは、この世界の最前線に近いところでやっていきたいと思っています。時代に取り残されないように、会社のセキュリティだけでなく、自分自身もアップデートしていきたいですね。
Copyright © ITmedia, Inc. All Rights Reserved.
セキュリティリーダーの視座
サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。
この記事の著者
関連記事
ITmedia エグゼクティブのご案内
「ITmedia エグゼクティブは、上場企業および上場相当企業の課長職以上を対象とした無料の会員制サービスを中心に、経営者やリーダー層向けにさまざまな情報を発信しています。入会いただくとメールマガジンの購読、経営に役立つ旬なテーマで開催しているセミナー、勉強会にも参加いただけます。 勉強会のスケジュールはこちら
ぜひこの機会にお申し込みください。
入会希望の方は必要事項を記入して申請ください。審査のうえ登録させていただきます。
- 入会条件：
- 上場企業および上場相当企業の課長職以上
※入会は無料です
エグゼクティブコンテンツ
SpecialPR
アクセスランキング
-
1
「身代金は支払うべきか」社長の一言に絶句――YKK APが7年越しに気付いた経営とセキュリティの溝
-
2
Agentic AI前提でセキュリティを作り直す - Sansan 鴨志田氏
-
3
自動化の徹底で事業継続性向上へ - MIXI CISO 亀山氏
-
4
第53回：なぜ、日本企業では「考えるマネジャー」が育たないのか──AI時代、「言われたことは得意だが、課題抽出や提案は苦手」な組織から脱する方法
-
5
職場の防災訓練「参加意思」13ポイントの大幅減 「慣れやマンネリ」背景か 会社員調査
-
6
「AIが勝手にやりました」は通らない トラブルの瞬間に試される責任の所在
-
7
ジャズマンや文化人に愛された「新宿DUG」が閉店、マスターに聞くこれから
-
8
AI時代のチェンジリーダーに必要な条件とは？ - 世界的デザイナー Takram 田川氏
-
9
「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏
-
10
味の素社が挑む“dX”とAI駆動開発――“企画・開発・営業ができる人財”が新規事業を加速する
ITmedia エグゼクティブ SNS
@itm_executiveをフォロー
インフォメーション
注目情報をチェック
ITmediaエグゼクティブをフォロー