フォーティネット フィールドCTOがAIとIT部門の付き合い方を語る
AIに振り回されないIT部門になるため、IT部門が今考えなければならないこと
提供: フォーティネットジャパン
AIの急速な進化を背景に、企業のIT部門は直面する課題にどのように対応すればよいのか？ AIリスクやデータ主権、プラットフォーム統合の重要性、AIを活用するためのセキュリティ予算獲得のヒントなどを、米フォーティネットのジャック・チャン氏に聞く。（インタビュアー TECH.ASCII編集長 大谷イビサ）
米フォーティネット プロダクトマネジメント担当 グローバルVP兼 フィールドCTO ジャック・チャン氏
技術ビジョンやロードマップ策定、顧客との対話に従事
大谷：先日開催された「Fortinet Accelerate 2026」の午前中の基調講演を拝聴し、チャンさんには「AIに振り回されないIT部門になるためにフォーティネットが考えるAIセキュリティ」を中心にお話を聞きたいと思っています（関連記事：攻撃するAIと防御するAI 日本企業のセキュリティ対策にいま何が必要か？）。まずはチャンさんの自己紹介と、現在のフォーティネットでの役割について教えてください。
ジャック・チャン氏（以下、チャン氏）：私は元々香港生まれで長年海外に住んでおり、フォーティネットに入って今年で20年になります。最初の12年は香港で、その後、ニュージーランド、そしてオーストラリアを拠点として仕事をしておりました。過去数年間はプロダクトマネジメントの分野で仕事をしており、お客さまに向けた製品やソリューションの開発管理に携わってきました。
大谷：具体的にはどのような業務を担当されてきたのでしょうか？
チャン氏：お客さまと直接対面する仕事ではなく、よりバックエンドの仕事として、新たな機能の管理や製品に関わるエスカレーション管理、ハードウェア・ソフトウェアの製品管理などを行なっています。
専門分野はセキュリティオペレーションズ全般です。高度な検知や認証ソリューション、NDR（Network Detection＆Response）、デセプション技術、そして認証サービスのFortiAuthenticatorなどを担当しています。
以前は調査機関のFortiGuardでも仕事をした経験があり、マルウェアのリバースエンジニアリングなどにも携わり、RSAカンファレンスで登壇したこともあります。現在はフィールドCTOとしてアジア地域を担当しており、技術ビジョンやロードマップの策定、そして重要なお客さまと製品のセキュリティに関する対話を行なうといった役割を担っています。
「どこにフォーカスを当てるか？」ではなく、フォーカスそのものが変化
大谷：基調講演では「データ主権、AIリスク、サイバーレジリエンス」というテーマがありました。企業のIT部門がまず意識しなければならないところはどこでしょうか。
チャン氏：AIが当たり前になった現在、IT部門は「最初にどこにフォーカスを当てるか」という問題ではなく、「フォーカスそのもの」がシフトしてきていると思います。もともとサイバーレジリエンスという概念は、サイバー攻撃に対してどれだけ準備し、体制を整えることができるかという意味でした。しかし、AIツールやAIエージェントなどが広く使われる中で、企業は「AIを使うリスク」と「AIを使わないことで競合他社に対して遅れをとってしまうリスク」の間のバランスを考える必要が出てきています。
大谷：なるほど、AIを利用することのリスクだけではなく、AIを利用しないリスクを考えて、バランスをとる必要があるのですね。では、もう一つのキーワードである「データ主権」についてはいかがでしょうか？
サイバーセキュリティの優先課題「データ主権」
チャン氏：データ主権に関しても非常に話題になっています。会社としてどこにデータを格納するのか、どのような種類のデータを保持し、どういった分類に基づいてどのデータセンターに置くのかを考えなくてはいけません。また、企業の戦略としてMSP（Managed Service Provider）を活用するのか、あるいはベンダーを活用した地域ごとの戦略を取るのかも考える必要があります。
大谷：データの置き場所に関しては、選択肢が増えている分、複雑になっていると感じます。
チャン氏：おっしゃる通りです。データの分類と、それをどこに置くかの関連性は非常に複雑になっています。お客さま自身のローカルなデータセンターに置くのか、MSPのデータセンターか、フォーティネットなどのベンダーのデータセンターか、あるいはパブリッククラウドに置くのかといった選択肢があります。
フォーティネットでは、SASEやSandbox-as-a-Serviceといったさまざまなサービスにおいて、自社所有のデータセンターをグローバルに展開する投資を行なってきました。これにより、お客さまの地理的に近くにデータを格納することを可能とし、高いパフォーマンスとコンプライアンスを提供するとともに、コストを削減することも可能になっています。
AI到来の「前」と「後」で変わったこと、変わらないこと
大谷：20年間業界を見てきた中で、AI以前と以後では大きく状況が違うと思います。特にセキュリティにおいて、IT部門が考慮すべき点はどう変化したのでしょうか。
チャン氏：AIの到来前と後では、IT部門で仕事をされている方々に求められるスキルセットがだいぶ変わってきています。
まずベンダーが提供するセキュリティ製品の中にAIが組み込まれていることで、IT人材に必要とされるスキルセットのハードルはだいぶ緩和されると思っています。ご存じの通り、サイバーセキュリティ人材は高価でコストがかかるため、これは重要です。たとえば私たちの提供するFortiAIも、ユーザーに提供する情報を要約するだけでなく、そこにはロジックがあり推論も行ない、それに基づいたレコメンデーションをユーザーに提示することができます。
大谷：AIが高度な処理を担ってくれる分、人間の役割も変わっていきますね。
チャン氏：はい。そのため、新たに求められるスキルとしては、このAIからの提案を本当に信頼して良いのかを判断する力や、AIをトラブルシューティングに活用して脅威の検知までにかかる平均時間（MTTD）を短縮させることなどが挙げられます。
大谷：逆に、AIの到来後も「変わらないこと」とは何でしょうか？
チャン氏：変わらないこととしては、事業としての目的や目標、そして会社として達成したいサイバーレジリエンスそのものです。
ただ、AIの登場で市場投入までの時間やスピード全体が上がっています。アプリケーション開発におけるスピードはもちろんですが、攻撃者の観点から言えば、エクスプロイト開発までの時間も短縮されています。攻撃者は脆弱性を定量化し、スキャンツールを使って発見された脆弱性をすぐに武器化できるようになっています。
また、スピードが当たり前になっていることで、人々の「待つことができない」という忍耐力の低下も大きな変化です。CEOなども「なぜこれだけ時間がかかっているのだ」と、AIをより活用するよう社内で奨励するかもしれません。
大谷氏：総じて、変わっていることの方が多いんですね。
RFPの罠とデータレイク統合の重要性
大谷：午前中の発表でさまざまなセキュリティツールを統合化できる「FortiSOC」の説明が出ていましたが、フォーティネット製品だけでなく、サードパーティ製品の情報も取り込めるのは、統合化という思想があるからでしょうか。
チャン氏：企業が技術を採用する際によく「RFP（提案依頼書）」が使われますが、私はこれを「RFPの課題」あるいは「購買における罠」と呼んでいます。
企業はアンチウイルスやEDR、NDRを購入する時には必ずRFPを作って購買プロセスを始めます。しかし、アウトプットが予想できないAIに関してはRFPが存在しません。それぞれの製品に対して異なるRFPで個別のベンダーから調達を行っていくと、最終的にはそれらを統合することが非常に困難になり、データレイクもバラバラに持つことになってしまいます。
大谷：確かに、システムごとにデータが分断されてしまうと、AIの恩恵を十分に受けられなくなりそうですね。
チャン氏：その通りです。マルチベンダーのアプローチでサイロ化されていると、それぞれが異なるデータを持つことになり、AIエージェントを導入したとしてもデータに一元的にアクセスできなくなってしまいます。
私たちはこの課題を早期から認識しており、「Fortinet Security Fabric」というアプローチを取りました。これにより、ネットワーク、セキュリティ、リモートアクセス、ユーザー認証などを一元的に管理し、1つのデータレイクとすることができます。
大谷：統合化されたデータレイクを、AIが活用する形になるのですね。
チャン氏：はい。この単一の統合されたデータレイクに対して、私たちのFortiAIがアクセスし活用できる仕組みです。もちろんすべてフォーティネットの製品を使っていただければ理想ですが、お客さまは他社のソリューションも活用されており、それらを統合するには時間がかかります。データがサイロ化されるとAIの効率が阻害されてしまうため、AIをより効率よく使えるようにするソリューションアプローチを取っているのです。
本記事はアフィリエイトプログラムによる収益を得ている場合があります