AIにより、セキュリティ脆弱性が発見されてから悪用されるまでの期間が大幅に短縮されています。これがセキュリティリーダーにとって実際に何を意味するのかを理解するため、F5全社のセキュリティおよびレジリエンス戦略を統括するF5 Chief Technology Operations OfficerのMichael Montoyaに話を聞きました。Mythos後の脅威環境をMontoyaがどのように捉え、組織が生き残るために何をすべきだと考えているのかをご覧ください。
Q：Mythosがニュースで大きく取り上げられています。セキュリティリーダーの視点から見て、Mythos後の脅威環境は実際にどのようなものなのでしょうか？
Montoya：率直に言えば、脅威の展開が速くなっています。要点はそこです。AIによって脆弱性の発見が加速し、情報開示から悪用までの猶予が短くなっています。以前は、その猶予は数週間から数か月単位でした。セキュリティチームは、その前提に基づいて運用サイクル全体を構築していました。情報開示を受けてトリアージを行い、パッチ適用の予定を立て、変更管理プロセスを進めるという流れです。しかし、もはやそのペースでは対応できません。
ここで、真の課題が何なのかを明確にしておきたいと思います。単に脅威が増えているということではありません。問題は、脅威が出現するスピードと規模です。組織にはもはや対応に何週間、何か月もかける余裕がないため、このスピードはまったく別次元の問題となります。
では、これはセキュリティリーダーにとって何を意味するのでしょうか。パッチ適用を最優先する考え方から、保護を最優先する考え方へ移行することが重要です。パッチ適用は依然として極めて重要ですが、これほど時間的猶予がない状況では、それだけを唯一の防御策にすることはできません。次に、AIのスピードに対応する必要があります。恒久的な修正が適用されるまでの間、ランタイム保護と仮想パッチを活用して、脅威にさらされるリスクを軽減するということです。また、アプリケーション、API、AIワークロードがクラウド、データセンター、エッジに分散する現在、環境全体に一貫してセキュリティを適用できるプラットフォームアプローチを採用することも求められます。
Q：現在、組織が最も過小評価しているリスクは何だとお考えですか？
Montoya: 迷うことなく、複雑性です。多くの組織は、複雑性そのものが最も重大なセキュリティリスクの1つになっていることを、まだ十分に認識できていないと思います。
今日、一般的な企業が実際にどのような環境で事業を展開しているかを考えてみてください。ハイブリッド環境、複数のクラウド、エッジに加え、今ではその上にAI環境が次々と重なっています。こうした環境はいずれも、ツール、ポリシー、ワークフローの分断を招き、ギャップや死角が生じる可能性を高めます。最初からそのような構成を目指す企業はありません。それでも、時間の経過とともにそうなってしまうのです。
ここで必要となるのは、華やかさはなくとも大きな効果をもたらす取り組みです。可能な限り運用の複雑さを軽減し、個別に分散したポイントソリューションから、統合プラットフォーム戦略へと移行します。そして、運用するすべての環境で、一貫した可視性、ポリシー適用、保護を確立してください。アプリがどこにあっても、「このアプリは何によって、どのポリシーに基づいて保護されているのか」という問いに同じように答えられないのであれば、そこが出発点です。
Q：ソフトウェアサプライチェーンへの信頼が揺らいでいます。お客さまを保護するために、F5のセキュリティ対策をどのように進化させていますか？
Montoya: お客さまは、新たな脅威の特定と対応をF5がどれだけ迅速に支援できるかによって、F5への信頼を評価しています。これは妥当な評価であり、F5自身にも同じ基準を適用しています。
厳しい現実として、従来のリリースサイクルでは、機械的な速度で進む脆弱性の発見に追随することは困難です。セキュリティの改善が四半期単位で進む一方、脅威が日々進化するのであれば、構造的に後れを取ることになります。だからこそ、セキュリティは継続的でなければならず、プラットフォーム自体に組み込む必要があります。
<p>具体的には、可能な限りセキュリティテスト、検証、強化を自動化し、セキュリティの改善やアップデートをお客さまに届けるまでの時間を短縮するということです。</p>
そして、その期待は社外にも向けるべきです。新たな脅威が出現するペースに合わせて製品のセキュリティを確保し、堅牢化する責任を、テクノロジーパートナーにも求めてください。サイクルタイムはどの程度か、何が自動化されているかを確認しましょう。今や、こうした質問をするのは当然であり、その回答から多くのことが見えてきます。
Q：アプリチームが新しいコードやAI機能を驚異的な速さでリリースする中、ビジネスのスピードを落とさずにイノベーションを守るにはどうすればよいでしょうか？
Montoya: これはよく受ける質問です。AI主導のイノベーションにより、アプリケーション、API、サービスが爆発的に増加しています。これは抑え込むべき問題ではなく、ビジネスそのものです。ただし、セキュリティリーダーが注意すべき動きがあります。セキュリティがボトルネックになっても、開発は止まりません。セキュリティを迂回して進みます。その結果、以前よりも可視性と制御力が低下し、本来の目的とは正反対の状況に陥ります。
したがって、目指すべきはスピードとセキュリティのどちらかを選ぶことではありません。この2つを引き換えにはできないのです。両方を実現できるようにする必要があります。ビジネスのスピードを落としたり、イノベーションを止めたりしたいと考えるCISOはいません。
必要なバランスを実現する方法はいくつかあります。アプリケーションデリバリープロセス自体にセキュリティを組み込みます。拡張性に欠ける手作業のレビューに頼るのではなく、可能な限り保護を自動化します。新たな脅威が出現した際にリスクを即座に軽減できる制御を活用し、コードによる対応が追いつくまで保護を継続します。そのうえで、ガバナンスとセキュリティを確実に維持しながら、開発者が自由にイノベーションを推進できるようにします。
このバランスを適切に実現すれば、セキュリティ部門は「ノー」と言うだけのチームではなくなり、安全なイノベーションを支えるチームになります。
Q：結論として、この新たな現実を乗り切るために、セキュリティリーダーが今すぐ取り組むべき最も重要なことは何でしょうか？
Montoya： レジリエンスを重視した体制を構築し、それを軸に組織を整えてください。取締役会が今や、組織のセキュリティが確保されているかだけでなく、絶え間ない変化に直面した際に、迅速に適応、対応、復旧できるかも問うようになっていることを理解する必要があります。つまり、レジリエンスは今やビジネス要件なのです。
先ほど申し上げたように、複雑さの解消は、その実現に向けた重要な要素です。アプリケーションデリバリ、セキュリティ、運用を共通の運用モデルに統合する必要があります。また、可視性、一貫性、レジリエンスの向上に役立つプラットフォームに投資しなければなりません。さらに、地政学的な圧力やAIによる圧力が変化し続ける中、すべてのアプリケーション、データ、セキュリティポリシーの所在を管理し続ける必要があります。
セキュリティリーダーは、AIと同等か、それ以上のスピードで対応しなければなりません。そのためには、防御のあらゆる領域でAIを活用する必要があります。短期間で実現できることではありません。しかし最終的には、それがAI時代に成長を遂げる組織と、そうでない組織を分けることになります。
詳細については、 F5 Application Delivery and Security Platform (ADSP)のWebページをご覧ください。また、9月10日から配信されるF5のオンデマンド型バーチャルイベント「Post-Mythos Security Summit」にもぜひご登録ください。
関連するブログ記事
経営幹部が抱くAIに関する4つの誤解
AIに関する誤解は数多くあります。ここでは、組織が自社環境にAIを導入する際に見直す必要があるかもしれない4つの誤解を紹介します。
IT/OTコンバージェンスの現状と、セキュリティを最優先すべき理由
ITシステムとOTシステムの融合が進むにつれ、攻撃対象領域は拡大します。組織が安全に統合する方法と、F5 ADSPが大規模な運用の保護にどのように役立つかをご紹介します。
AIのレイテンシ：セキュリティを犠牲にできない理由
AIのレイテンシは、単なる速度の問題ではありません。パフォーマンス、セキュリティ、信頼性のバランスを考慮したシステム設計が重要です。
AIアプリケーションを大規模に提供する：ADCの役割
AIアプリケーションを確実に提供するには、高速なモデルや柔軟に拡張できるインフラストラクチャだけでは不十分です。AIアプリケーションの利用方法を管理するための制御レイヤーが必要です。
MCP：AI対応のアプリケーションデリバリを実現する鍵
Model Context Protocol（MCP）は、最新のアプリケーションにおける安全で低遅延なAI統合を可能にします。将来を見据えたアプリケーションデリバリ戦略にMCPが不可欠な理由をご覧ください。
AIガードレールとは？基盤モデルプロバイダーの枠を超えて進化する安全対策
急速に変化する組織の脅威領域におけるリスクをより包括的に捉えるために、AIガードレールの進化が必要な理由をご覧ください。