AI時代のセキュリティ運用の現実と、それに対応するためのF5の支援

Michael Montoya最高技術運用責任者 | F5

編集者注（2026年10月14日）： F5では、「hardened releases」を「critical releases」と呼ぶようになりました。この用語変更は、これらのリリースの重要性と、最新バージョンをできるだけ早く導入することの重要性を反映したものです。

私はこれまで、サイバーセキュリティ分野でキャリアを重ね、セキュリティ運用の責任者やCISOを務めてきました。現在はF5で、AIおよびテクノロジー運用全般を統括しています。こうした視点が重要なのは、私たちが直面している課題が、セキュリティと運用の両方に関わる問題だからです。

取締役会を前にして、四半期前には存在しなかった脅威に組織として備えられているのかと問われる。そのときの心境は、私にもよく分かります。パッチを適用する運用上のコストと、適用しないリスクを比較検討する難しさも理解しています。そして、セキュリティにおける最も困難な問題は、ツールをもう1つ導入すれば解決できるようなものではありません。組織の運営方法そのものを変える必要がある問題なのです。

フロンティアAIは、防御側にソフトウェアを強化するための強力な新手法をもたらす一方で、攻撃者にも、発見された脆弱性をより迅速に特定して悪用する手段を与えます。業界全体で多くのベンダーがリリース頻度を高めています。これは、従来の脆弱性開示・パッチ適用モデルでは対応しきれないペースで、AIが問題を顕在化させているためです。

F5の最高製品責任者であるKunal Anandは先日、リリース頻度の変更について説明しました。これは、強化版リリースを毎月提供し、その後にセキュリティ通知も毎月発行するという変更です。その最初の強化版リリースが本日より利用可能になりました。ここで取り上げたいのは、CISOにとって大きな懸念となる点です。より速いペースで提供されるようになった修正を、組織が実際に適用できるかどうかです。

脆弱性をより迅速に発見して修正しても、その修正を自社環境に適用できなければ意味がありません。組織がパッチを展開するまでにかかる日数の中央値は20日です。一方、攻撃者は今や数時間で脆弱性を攻撃に利用できる状態にしており、一般公開前に悪用することも少なくありません。各ベンダーがリリース頻度を高めるにつれ、この隔たりはさらに広がります。限られた同じチームに、より多くのベンダーから、より多くのリリースが、より頻繁に押し寄せるのです。

これが、リリースサイクルの短期化によって生じる運用上の負担です。新しいリリースへの対応を支援せず、単にリリースの頻度を増やすだけでは、解決策ではなく問題を押し付けることになってしまいます。

より速いリリースサイクルを持続可能にする

修正を展開できるスピードは、今やセキュリティ態勢と切り離されたものではなく、その一部です。F5は、これを無理なく管理できるようにするための機能を構築してきました。

本日、初のセキュリティ強化リリースと併せて、新たなフリート管理機能を導入します（F5 Insight for ADSP）。これらのワークフローにより、セキュリティチームと運用チームは、フリート全体の可視性、ガイド付きのアップデート管理、および大規模な分散型F5 BIG-IP環境全体でリスクの特定から説明責任を伴う対応へと移行する機能を利用できます。具体的には、最新の状態にあるデバイス、リスクにさらされているデバイス、対応が必要なデバイスを1つの画面で確認し、ガイド付きワークフローと実行前の準備状況チェックを使用して、大規模環境でも安全にアップデートできます。

規制対象業界では、もう1つ重要な観点があります。AIが日常業務に組み込まれるようになると、AIが何にアクセスし、何を推奨し、誰がその対応を承認し、どのような結果になったのかを記録する必要があります。F5 Insightには、エンタープライズ認証、ロールベースのアクセス制御、改ざんの痕跡を検知できるAI監査証跡など、ガバナンスに対応した制御機能が追加されました。人とAIのどちらが実行したかを問わず、すべての運用上の対応について、説明責任を果たすための情報が記録されます。

F5が目指すのは、毎月の対応を運用上の負担から、定型的でリスクが低く、大部分が自動化されたプロセスへと変えることです。その準備として、今から取り組むことを推奨する3つのステップをご紹介します。

• F5 Insight for ADSPのトライアルを入手する。今すぐ導入して、現在のフリートの状況を可視化し、新しいフリート管理機能をご利用ください。可視化は、ほかのすべての取り組みの前提条件です。
• アップデートの自動化についてF5 Professional Servicesにお問い合わせください。F5のチームがお客さまと連携し、お客さまの環境に合わせた、自動化された低リスクのアップデートワークフローを設計・実装します。認定済みのAnsibleコレクションを使用し、規制要件、高可用性構成、トラフィックフローに対応するとともに、検証とテストを組み込みます。
• F5 AI Red Teamのガイド付きデモを設定する。攻撃のあり方を変えつつある最先端のAI機能は、防御にも活用できます。F5のチームにお問い合わせいただき、AI Red Teamを使用して、攻撃者より先に自社アプリケーションの潜在的なエクスプロイトを特定し、セキュリティ対策が実際に有効であることを検証する方法をご確認ください。

お客さまとF5に求められること

ここで最も重要なのは、意識を変えることです。攻撃者が深刻度の低い脆弱性を組み合わせて新たなエクスプロイトを生み出す状況では、個々の修正の深刻度だけで、その重要性を適切に判断することはできません。今後も成長を続ける組織は、最新のセキュリティ強化済みリリースを常に使用することを、単なる保守作業ではなく、セキュリティの中核的な規律として捉える組織です。そのためには、負担がピークに達する前の今、自動化と可視性に投資する必要があります。

F5もまた、自らに同じ基準を課しています。F5は、自社製品を最も効果的かつ先進的に活用する顧客となることを目指しています。お客さまに求めるのと同じ厳格さ、ツール、緊急性をもって、自社のインフラストラクチャを運用しています。F5自身が採用していない体制への移行を、お客さまに求めることはありません。

これは、ソフトウェアに対する攻撃と防御のあり方が恒久的に変化したことへの構造的な対応です。脅威の状況は今後も進化し続けます。F5も、脆弱性の発見と修正、その修正の適用支援、そしてパッチが適用されるまでの間お客さまを保護するランタイム防御を進化させ続けます。

世界最大規模の組織は、最も重要な経路にF5を導入しています。F5はその責任を重く受け止め、あらゆる意思決定の出発点としています。

F5のフロンティアAI防御に対するアプローチについて詳しくは、こちらをご覧ください。

著者について

Michael Montoya最高技術運用責任者 | F5

Michaelは、セキュリティとレジリエンスを中核に据えた全社的な事業運営に向け、戦略の策定と実行を担っています。F5のセキュリティ、リスク、デジタルオペレーションの各組織を統括し、お客さま、パートナー、従業員に対するエンドツーエンドのオペレーショナル・トラストを推進しています。 Montoyaは、2021年から2025年までF5の取締役を務めた後、2025年10月にF5の経営幹部チームに加わりました。F5入社以前はBlueVoyantの最高執行責任者を務め、それ以前にはEquinixおよびDigital Realtyで最高情報セキュリティ責任者を歴任しました。また、Microsoftに10年以上在籍し、最高サイバーセキュリティ責任者、EMEAおよびアジア地域のCIO/CISO、データセンター運用のグローバル責任者など、グローバルなリーダー職を務めました。

Michael Montoyaのその他のブログ記事