企業において、自動化はデータセキュリティと相反します。なぜでしょうか。
問題の核心
自動化は、マシンの力を活用して生産性を高めます。1人の情報ワーカーにかかるコストで、クラウド上のサーバーを何台も購入または借りることができます。しかし、企業データへのアクセス、特にマシンが処理する速度と規模でのアクセスは、そのデータの拡散や漏えいのリスクを低減するために策定・適用されている数多くのポリシーに抵触します。最近、自動化の仕組みを構築していた際に、こうした相反する要因に直面しました。
この自動化では、閲覧者に関する指標を含む社内Webページからデータを取得し、一連のスプレッドシートに入力します。次に、スプレッドシートをネットワークフォルダーに移動すると、別の自動化が新しいファイルを検出し、指定された場所にアップロードします。そこで同僚が、注意を要する動きや傾向を記録します。とても便利です。しかし、数週間にわたって正常に稼働した後、セキュリティシークレットの有効期限切れが原因で停止しました。データアクセスガバナンスポリシーでは、特定のシステム認証情報を定期的に失効させることが義務付けられています。セキュリティには有効です。一方、認証情報の失効は自動化を停止させます。生産性には悪影響です。
セキュリティシークレットを定期的に失効させることは明らかにベストプラクティスですが、そのたびに何かが機能しなくなる必要があるのでしょうか。この自動化によってチームは大幅に時間を節約できますが、実際に行っているのは、ある場所からデータを読み取り、別の場所で分析しやすい形式に整えることだけです。自動化を、人間である私と同じ権限レベルで実行する必要が本当にあるのでしょうか。どこかに妥協点があるはずです。
妥協点
妥協案として考えられる選択肢は、次の2つです。
オプションA
有効期限の5日前に警告を発し、問題が発生する前に更新できる時間を確保します。
オプションB
自動化タスク専用のサービス認証情報を、必要最小限の権限で発行します。
自動化を別の種類のユーザーとして扱う
どちらの選択肢も組織のデータセキュリティ要件に配慮しており、事業部門とセキュリティ運用（SecOps）の間で可視性とコミュニケーションを少し高めることで、慎重かつ効果的な解決策を実現できます。十分に検討したうえで互いに少し歩み寄れば、データセキュリティ上の必須要件と生産性を高める自動化との間の緊張を和らげることができます。多くの場合、どちらにも不利益はなく、結果としてビジネスにメリットがもたらされます。
自動化により、企業ガバナンスに「マシンワーカー」と呼ばれる新たなユーザーが加わります。これにより、セキュリティポリシーの実装担当者と自動化の実装担当者が連携できます。この新たなユーザーを認識し、その実際の要件をよりきめ細かく検討する組織は、ゼロサムの対立を回避し、より安全なデータ利用の慣行を確立して、生産性向上テクノロジーがもたらすビジネス上のメリットを実現できます。
著者について
関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。