「人工知能（AI）を活用したサイバー攻撃が高度化する中で、『AI攻撃はAIで防ぐべきだ』という意見が出ています。私はこの意見が半分正しく、半分間違っていると考えます。AIを活用したセキュリティ対策も必要ですが、基本的なサイバーセキュリティ体制を強化し、脆弱性を減らすことが先決です。」
金融業界で相次ぐハッキング事件に加え、ウェブサイト開発に広く使用されるプログラミング言語PHPでも致命的なセキュリティ脆弱性が発見され、企業のサイバーセキュリティ対応に対する懸念が高まっている。AIを活用した脆弱性探索と攻撃の自動化が広がる中、企業が対応すべきセキュリティ脅威も拡大している。
最英哲SGAソリューションズ代表は本紙とのインタビューで、AIを活用したサイバー攻撃が高度化する状況でも基本的なセキュリティ対策が優先されるべきだと強調した。AI技術を活用したセキュリティ対応も必要だが、企業は認証やアクセス制御など既存のセキュリティ体制の脆弱性を改善する必要があると説明した。
最代表は約30年間情報セキュリティ分野に従事している専門家であり、1997年には韓国インターネット振興院（KISA）で研究員として勤務し、現在はSGAソリューションズで統合セキュリティ事業を指揮している。
彼は最近の金融業界の事故が国内企業の認証・アクセス権管理に依然として隙間があることを示していると診断した。特に既存の境界型セキュリティ体制からゼロトラスト型セキュリティ体制に移行するためには、関連するセキュリティ基準を強化し、制度化する必要があると強調した。以下は最代表との一問一答の内容である。
-金融業界でハッキングや個人情報漏洩事件が相次いでいる。最も大きな問題は何か。
「金融業界の事故は高度化したハッキング技術よりも、基本的な認証とアクセス権管理の隙間を利用した攻撃です。攻撃者は漏洩したIDとパスワードを取得した後、AIベースのツールでログインを自動化しました。特に、貸出募集人など金融会社の外部業務システムはインターネットバンキングとセキュリティ基準が異なり、二重認証が適用されていない場合がありました。一部のシステムでは正常なアカウントでログインした後、リクエスト値を変更する『パラメータ改ざん』を通じて他の担当者の顧客情報を照会できることがありました。基本的な認証と権限管理が不十分だったことが最大の問題です。」
-AIがサイバー攻撃に活用されることでどのような変化が見られるか。
「以前はソフトウェアの脆弱性を見つけるために高度な技術と時間が必要でした。今ではAIが脆弱性を見つけ、攻撃を自動化します。初級ハッカーでも高度なハッカー並みの攻撃能力を活用でき、一人が数百人や数千人の役割を果たす効果が現れます。今後、AIが複雑な脆弱性を見つけ出し攻撃に活用するなら、過去の通信会社ハッキングのような高度な攻撃がさらに頻繁に発生する可能性があります。全産業と公共機関が攻撃対象になると考えられます。」
-AI攻撃が高度化する中で企業はどのように対応すべきか。
「『AIを活用したサイバー攻撃はAIで防ぐべきだ』という言葉は半分正しく、半分間違っています。AIを活用した防御も重要ですが、基本的なセキュリティ体制が整っていれば防げる攻撃もあります。今回の金融業界の事故も、認証とアクセス制御が適切に適用されていれば防げた攻撃だと考えます。まずは既存のセキュリティ体制の脆弱性を減らす必要があります。その後、AIを活用したソフトウェアの脆弱性チェックやセキュリティ監視の自動化を通じて対応速度を高めることができます。」
-AIエージェントの普及に伴う新たなセキュリティリスクが報告されている。
「AIエージェントが人間の代わりに内部システムやデータにアクセスして業務を遂行する環境が拡大しています。人間はIDやパスワード、一時的なパスワード（OTP）などで認証しますが、AIエージェントはユーザーの権限を委任されて自動的に接続します。この過程でアクセス範囲の管理が難しくなる可能性があります。AIエージェントも人間のようにアカウントを登録し、アクセス権を管理する必要があります。ただし、AIエージェントごとに技術構造が異なるため、まだ標準化が必要な状況です。ユーザーやデバイスを無条件に信頼せず、アクセスするたびに認証と権限を検証する『ゼロトラスト（Zero Trust）』セキュリティ体制にAIエージェントも含めるべきです。」
-攻撃者の内部移動と被害拡散を防ぐための『マイクロセグメンテーション』とは何か。
「外部からの侵入を防ぐだけでは不十分です。攻撃者がサーバーを一台掌握した後、他のサーバーに移動して重要情報にアクセスする横の移動を遮断する必要があります。マイクロセグメンテーションはサーバーやシステムを細分化し、互いにアクセスできる範囲を制限する技術です。一台のサーバーが侵害されても、他のサーバーへの攻撃が拡散するのを難しくし、被害を減らすことができます。AIで脆弱性探索が容易になるほど、侵害発生を想定したセキュリティ体制が重要になります。」
-国内企業のゼロトラスト導入レベルはどの程度か。
「国内企業も長い間セキュリティ投資を行ってきましたが、個別のセキュリティ製品が相互に接続されずに運用されている場合が多いです。既存の境界型セキュリティモデルで構築した製品を連携させ、ユーザーやデバイス、システムの認証と権限を継続的に確認する構造に変更する必要があります。セキュリティ体制自体をゼロトラスト型に設計する『ゼロトラストネイティブ』アプローチが必要です。」
-大規模ハッキング事件以降、企業はセキュリティ投資を増やしているか。
「まだ大きな変化を実感していない。昨年の通信会社の事故以降もいくつかの対策が出ましたが、根本的な技術の変化は十分ではありません。企業にとってセキュリティ投資は即座に売上を増やす手段ではなく、コストとして認識されています。すでにセキュリティ認証を受け、関連製品を導入した企業に追加投資を説得するのは容易ではありません。事故が発生した後に過料を負担する状況が繰り返されていますが、新たなセキュリティ体制構築のための投資には十分に結びついていません。」
-セキュリティ投資拡大のためにどのような制度改善が必要か。
「ゼロトラストガイドラインと政府の実証事業が整備されましたが、実際の現場導入は限定的です。セキュリティ体制の転換を企業の自主的な判断に任せていては、普及に限界があります。既存のセキュリティ認証や規制の管理項目を最新の脅威に合わせて強化し、ゼロトラストセキュリティモデルを実装・検証する基準を整備する必要があります。一部の機能だけを導入してゼロトラストを構築したと主張する状況も防ぐべきです。セキュリティ基準が変わることで、企業の投資と実際のシステム改善につながることが期待されます。
* この記事はAIによって翻訳されました。
