フォーティネット フィールドCTOがAIとIT部門の付き合い方を語る
AIに振り回されないIT部門になるため、IT部門が今考えなければならないこと
提供: フォーティネットジャパン
データをユーザーにとっての「価値」に変える
大谷：AIを用いた攻撃に対応し、AIを安全に利用するためにはデータの活用が非常に重要です。データをユーザーにとって価値に変えるために、フォーティネットは具体的にどのようなことをしているのでしょうか。
チャン氏：私たちはセキュリティのためのAI活用、つまり機械学習の活用において20年間の実績を持っています。FortiGuardの中で機械学習を活用し、アンチウイルスやWebコンテンツのフィルタリング、IPS、そしてニューラルネットワークに対する学習トレーニングや攻撃種別の分類などに活用してきました。さらに、フォーティネットは会社として圧倒的な規模を持っています。世界中で出荷されているファイアウォールのうち50%はフォーティネットのファイアウォールです。
大谷：得られるデータは膨大ですね。それをどのように活用しているのですか？
チャン氏：この規模を活かして、私たちはそこからインテリジェンスを収集し取り出すことが可能になっています。たとえば、攻撃のアウトブレイクがどの地域で起きていて、どういった種類の攻撃で、どの業界が標的となっているのかといった情報を収集します。これらをお客さまが「アクション可能なインテリジェンス」として活用できるよう、ソリューションの中に組み込んで提供しています。
大谷：単なる可視化ではなく、アクションにつなげられるわけですね。
チャン氏：はい。世界地図の中でどの国や業界で攻撃が起きているかを見ることができ、さらに国レベルで掘り下げることも可能です。
具体例としてランサムウェア攻撃の脅威インテリジェンスを見ると、標的となっている上位の国や業界、得られているIOC（侵害の痕跡）、そして特定された関連ドメインなどを見ることができます。これらをアクションに繋げられる脅威インテリジェンスとして活用することが可能になるわけです。
フロンティアAI時代における脆弱性対応の高速化
大谷：フロンティアAIが登場して以降、脆弱性発見から攻撃までのスピードが速くなっています。これに対抗するにはどうしたらいいでしょうか。
チャン氏：おっしゃる通り、フロンティアモデルは確実にゲームのルールを変えました。私たちフォーティネットでも、GPT-5.5などを活用したオープンなAIモデルを製品やセキュリティ開発モデルに組み込んでいます。これにより、脅威の特定からその対策へ繋げることを可能にしています。
大谷：具体的に開発や運用の現場ではどのような変化が起きているのでしょうか？
チャン氏：フロンティアAIによって、私たちの分析の作業やソフトウェアのテスト工程が非常に高速化されています。単なるスキャニングや脆弱性の発見のためだけでなく、それを活用することで「脅威モデルをどう変えていくか」「製品の設計をどう変えるか」「コードの修正をどう行なうか」といったエンドツーエンドでの活用が可能になっています。
大谷：開発のライフサイクル全体でAIを活用しているのですね。
チャン氏：はい。セキュリティ開発のライフサイクル全体で活用することで、非常に高速化が行なわれています。あらゆる業界でAIが活用されているのと同様に、私たちもセキュリティベンダーとしてAIを採用し活用するという大きなシフトが起きていますが、根本的な製品セキュリティや「責任あるイノベーションを行なう」といったアプローチは変わっていません。お客さまのセキュリティに対するコミットメントと、イノベーションや透明性に対する文化とのバランスを取ることが重要だと考えています。
セキュリティのアウトソーシングと内製化のバランス
大谷：日本ではシステムを内製化する動きが戻ってきていますが、セキュリティに関しては依然としてアウトソーシングに依存している企業が多く見られます。日本企業は今後もアウトソーシングを続けるべきかというバランスについてアドバイスをお願いします。
チャン氏：この5年から10年の間、フォーティネットはベンダーとしてセキュリティベースのサービスをより増やして提供してきました。その中にはSOCaaS（SOC-as-a-Service）やインシデント対応サービスが含まれ、パートナーであるMSPを介した提供も行なっています。先ほども申し上げた通り、サイバーセキュリティの専門家の人員は非常にコストが高いです。企業は人員に対する投資とソリューションに対する投資の費用対効果のバランスを考えなくてはいけません。
大谷：コストや専門性を考慮すると、やはりアウトソーシングが現実的ということでしょうか。
チャン氏：はい。その点において、セキュリティをMSPやベンダーにアウトソースするというのは適切なアプローチだと私は考えます。なぜなら、アウトソース先はその分野に最も長けた専門家であり、他のお客さまからの経験なども活かしながら、オペレーションの中に取り込んでいるからです。私たちフォーティネットはあらゆる規模やニーズのお客さまに合わせてサービスを提供しており、大企業には自身で構築できるソリューションを、MSPにはサービス構築用のソリューションを、そして中小企業のお客さまにも多く活用いただいている自社ベンダーとしてのSOCaaSなどを提供しています。
スキル・リテラシー不足を補うプロフェッショナルサポート
大谷：セキュリティ人材のコストに加え、日本ではスキルやリテラシーが足りないというのも問題です。そういったユーザーに対するサポートはいかがですか？
チャン氏：私たちフォーティネットも大企業であり、社内のセキュリティ担当者たちは最初に製品を試す「カスタマーゼロ」でもあります。つねに担当者たちに対して「どう改善すればより運用しやすくなるか」を聞いています。良い製品を購入することは第一ですが、それを成功裏に導入し、うまく活用できるようにすることは別の話であり、より重要になります。
大谷：導入後の活用に向けた具体的な支援策を教えてください。
チャン氏：パートナー様やお客さまに対してのトレーニング提供に非常に力を入れています。最近更新された認定プログラムも提供しており、私たちの新機能やベストプラクティス、そしてFortiAIといった新たなソリューションをどう活用するのかといったスキル向上のためのトレーニングをお手伝いしています。さらに、専用のサポートやカスタマーサクセスプログラムなどを通じて、お客さまが成功裏に製品を導入・活用するための支援をしています。
AI予算からセキュリティ予算を捻出するためのヒント
大谷：最後になりますが、午前中の講演で「AIの予算の中からセキュリティの予算をきちんと捻出しなければならない」とおっしゃっていたのが興味深かったです。AI導入とリスクのバランスの中で、セキュリティ予算を確保するためにCISOは経営者層にどのようにアプローチすることが必要でしょうか。
チャン氏：さまざまな国や地域の数多くのお客さまとお話ししてきましたが、大前提として「AI予算」というものはそもそも存在しません。そのような予算を最初から確保できる企業は本当に限られています。
大谷：AI専用の予算がないとなると、CISOの方々はどのように予算を獲得しているのでしょうか？
チャン氏：サイバーセキュリティのソリューション予算や、ネットワークの変革、アプリケーションインフラの変革といった取り組みの中から獲得しているのです。ネットワークやアプリケーションを変革・簡素化し、そこにAIを活用することでよりセキュリティも高まるという説得を取締役会に行ない、それが事業の加速化にもつながるという正当化によって予算を確保しています。
大谷：事業の加速化とセキュリティのセットが重要なのですね。
チャン氏：たとえば、アプリケーションチームが「顧客サービス改善のためにAIツールを導入したい」と予算を確保しようとした時、IT部門は「アプリケーションチームがAIツールを導入するのであれば、そこから情報漏えいが起きるかもしれない。だからAIツールのセキュリティを担保するための予算が必要だ」と主張するはずです。そのため、私たちは「セキュリティのためのAI（AI for Security）」だけでなく、「AIのためのセキュリティ（Security for AI）」という両面のソリューションを提供しているのです。
AIとフォーティネットの戦略
大谷：なるほど、攻めと守りの両面から予算を正当化するわけですね。
チャン氏：はい。取締役会を説得するためのもう一つの材料として、AIを活用することでセキュリティオペレーションを簡素化し、脅威の検知やトラブルシューティング、検知までの平均時間（MTTD）のすべてを改善できるとアピールすることが挙げられます。これらの要素を合わせて説得することが、サイバーセキュリティ分野でのAI活用予算の獲得に繋がると考えています。
大谷：IT部門の担当者は賢く提案して、AI予算をうまく獲得していく必要があるということですね。本日は示唆に富むお話をいただき、ありがとうございました。
本記事はアフィリエイトプログラムによる収益を得ている場合があります