AIセキュリティの需要は、これから大きく伸びると思っている。AIで攻撃がやりやすくなり、大手でも顧客情報が漏れる今、既存の対策の延長では追いつかない。元警察官でシステム会社を経営する私が、ローカルAIで攻撃を試す考えと、小さなプロダクトを出す人が先にやるべき守りを整理した。プロダクトを作る個人・経営者向け。
この記事の要点
先日、前職に関わる、とても大きな公共の組織に行ってきた。そこで、セキュリティについていろいろな観点の話をしてきた。
帰り道、暑い中を歩きながらずっと考えていた。これから、セキュリティを考えないといけない会社は間違いなく増える。大手もそうだし、いろいろな企業もそうだ。
最近は、AIの脆弱性や情報漏洩のニュースが日本でめちゃくちゃ出てきている。日本だけかと思っていたら、海外でも同じように漏洩が起きている。
先に断っておくと、私はセキュリティにめちゃくちゃ詳しいわけではない。システム開発の会社を経営していて、Claude Codeなどを日々使っている側の人間だ。同じようにAIで何かを作っている人に向けて、思うところを書いておきたい。
情報漏洩が増えている根っこは、AIの進化にある。
AIが進化したことで、ハッキングや情報への攻撃がやりやすくなった。これは世界的にも言われていることだ。
私たちがAIでシステムを速く作れるようになったのと同じで、攻撃する側もAIで強くなっている。守る側の前提が、AIの登場で変わってしまった。
大手はみんなセキュリティをちゃんとやっている。多くの人はそう思っているはずだ。
ところが、GMOのように、インターネットの最先端を走っている会社でも顧客情報が流出している。そう考えると、どこで漏れてもおかしくない。
だから私は、セキュリティの考え方そのものを根本から改めないといけないと思っている。
従来のやり方のままでは、到底かなわないと思う。
セキュリティの基礎はもちろん大事だ。そこを捨てろと言いたいわけではない。ただ、考え方は大きく変えないといけない。
「セキュリティのサービスなら、もうたくさんあるだろう」と思う人もいるはずだ。それでも、今あるサービスを使っているだけでは、たぶん無理だと思っている。
最先端の会社でも漏れている以上、今ある対策の延長線では追いつかない。そこはいったん切り離して考えた方がいい。
最近は、Claude Securityのようなものも出てきた。そうした仕組みを使ったシステムが情報漏洩しているのかというと、たぶんそうではないと思う。
攻撃を受けて漏れているのは、既存のSaaSや大きなシステムの方だ。だから、既存のSaaSを使っている企業は、全部が対象になると思っている。
対策は絶対に必要だ、というのが私の率直な感想だ。
ここにこそ、大きなチャンスがあると思っている。
AIが出てきたことで、セキュリティの守りには新しい波が来るはずだ。新しい根本的なやり方や市場が、間違いなく出てくる。
セキュリティの市場は、今でもかなり大きいと思う。それがさらに飛躍的に伸びると感じている。新しいモデルがどうこうという話より、ここが根幹になってくるはずだ。
AIを使えば、ホームページやSaaSはめちゃくちゃ作れる。ただ、それだけをやっても、正直あまり意味がないと思っている。
私たちもプロダクトをいろいろ作っているが、難しいと感じることが多い。今の事業から派生させて仕組み化するか、業務効率化に使うか。そうでないと、ゼロから作って広めるのは根本的に難しい世界になっている。
だから、本当にゼロから始める人なら、AIセキュリティのようなサービスの方がいい。ワンチャン、結構需要がありそうだと思っている。
私の会社はソフトウェアの会社なので、作ることにはかなり長けていた。脆弱性診断を頼まれてやったこともある。
ただ、それを本業にしていたわけではない。がっつり考えて支援してきたかというと、そうではなかった。
私はもともと警察官だった。だからこそ、これからはセキュリティに特化して何かをやっていこうと思っている。ここはしっかり対応しないといけないと感じた。
守りを考えるなら、まず自分で攻めてみるのがいい。
そもそもセキュリティの概念とは何か。それを理解するために、自分のパソコンで攻撃するシステムを作ってみた方がいいと思っている。私もこれから実験してみるつもりだ。
やりたいことは単純だ。
これを自分の中で把握することが、すごく重要だと思う。そこからリスクを考え、「これならこう対策した方がいい」と根本から見直していく。
難しいのは、攻撃するものを作ろうとしても、ClaudeやChatGPTではたぶん作れないことだ。
そこで、オープンソースのローカルAIを組み込んで、攻撃するものを作る形になると思う。それなら、自分で実験して検証できるはずだ。
AIという最先端を使って、AIでセキュリティを制御していく。ここがすごく重要だと思っている。
クラウドは結構危ない、というのが私の感覚だ。オンプレで実行する仕組みを作り、セキュリティに強いAIを社内に構築する。そういう方向に需要があると思っている。
前に「AI時代のセキュリティ対策は守る情報選びから」で、ローカルAIでもWi-Fiに繋がればリスクはゼロにならないと書いた。その考えは変わっていない。
オンプレでも、繋がれば攻撃される可能性はある。それでも、リスクは若干下がると思う。
ローカルAIを組み込むなら、オンプレの環境もどうしても要る。サーバーや半導体のニーズが上がっているのも、その流れだと思う。
私は今、メモリ512GBのMac Studioを買おうとしている。ところが、なかなか出てこない。噂では1か月遅れるとか、また遅れるとか、そんなニュースも出ている。
前に「Mac Studio 512GBは必要か？」で、業務の自動化なら今は不要だと書いた。その考えは変わっていない。今回はその例外だ。
攻撃を自分で試し、守りを検証するための環境としてなら、手元に置く意味がある。オンプレのローカルAIで、セキュリティに特化したものを作る。これは今後ニーズが増しそうなので、興味がある人はぜひ試してほしい。
作りやすくなった分だけ、リスクも高まっている。
今は個人でもサービスをリリースしやすくなった。そうなると、決済やお客様の情報を、個人でも握ることがある。
顧客の情報をしっかり持っておく仕組みと、そのセキュリティ対策は、間違いなくやるべきだ。
セキュリティが分からない人でも、できることはある。
正直に言うと、プロダクトを大きく成功させる人はあまりいない。マーケティングが重要で、人が集まらず過疎っているプロダクトも多い。
そういうプロダクトに、わざわざサイバー攻撃を仕掛けるか。今のところは、たくさんの情報が集まったSaaSが狙われている。
ただ、大きなSaaSの対策がうまく進んだとする。すると次は、小さなプロダクトが狙われるかもしれない。
こうした小規模なプロダクトが攻撃される可能性は、全然ゼロではないと思う。マーケティングをやりつつ、情報漏洩のリスクを考えてシステムを組む。それが自分の身を守ることに繋がる。
ソフトウェア会社の人たちと話していると、情報漏洩のリスクを保証する保険も出てきていると聞く。最近すごくニーズが高そうだ、という話もあった。
保険として入っておくのは大事だと思う。ただ、一番大事なのは漏れないことだ。漏れない対策をしっかりやるのが先にくる。
漏洩の原因は、仕組みよりも人の方が大きい。
セキュリティにはいろいろな観点がある。その中で、漏洩のほとんどは人的なものらしい。ほとんど、というか半分くらいだと聞いた。
それなら、まずは人のセキュリティの考え方、リテラシーを上げるしかないと思う。
日本では、ITリテラシーがそもそも高くない人がめちゃくちゃ多い。そこを手助けするサービスには、間違いなくニーズがありそうだ。どの企業も、これからやっていかないといけない。
大手でもとんでもない規模で情報が漏れて、大変なことになっていると思う。だからこそ、人のところから手を入れることが大きな波になる気がしている。
エンジニアが独立して、1人で会社を立てるケースはめちゃくちゃ多いと思う。ただ、セキュリティの観点では、なかなか危ないと感じている。
自社のプロダクトでも、「信用できない」という問い合わせが来たことがある。実際にプロダクトをやると、そういう声は届くものだ。
信頼を作るには、会社の形をしっかり作っておきたい。「こういう形で運用しています」と言える状態にしておくことだ。
1人でガンガンやってうまくいくこともあるし、海外ではうまくいく例もある。ただ、日本ではなかなか難しいと、個人的には感じた。
セキュリティの勉強は、正直めちゃくちゃ大変だ。それでも、ネットワークまで踏み込んで学んでおくと、いい未来が間違いなく見えてくると思う。
私もしっかり勉強して、分かったことを伝えていきたい。私はセキュリティの専門家ではないので、違う考えがあればぜひ教えてほしい。
AIで作る力と守る力は、セットで身につけたい。研修ではそこを一緒にやっている。
個人でプロダクトを作っている人には、AI駆動開発育成所もある。作るだけで終わらせず、守りまで含めて形にしたい人向けだ。
自社のSaaSやプロダクトの守りが、今のままで大丈夫か気になっている。そんなときは、今の状況を聞かせてほしい。無料相談はこちらから気軽に連絡してほしい。
この内容は動画でも話しています: https://youtu.be/MZ7o6tJ1zuk
AI時代に勉強は必要か。AIに聞けば何でも答えが返る今こそ、聞く側の人間の知識が問われると思う。新聞を取り始めた私が、ネットの情報の偏り、広く浅くの知識、伝える力、子供のAI教室で見た長文を読めない現実から考えた。AI導入を進める経営者・会社員と子を持つ親向け。
AI人材の市場価値は、発信より他者評価と自動化で決まると思う。横浜でAIと詐欺のイベントを開いた元警察官の私が、参加者のほとんどがAIを使っていなかった現実から、FDE人材がいない理由と、24時間エージェントより先に今の仕事を自動化する順番を書いた。経営者・会社員向け。
IT業界への転職は、AI時代の今はおすすめしない。保育士の姉からIT企業に移りたいと相談を受け、システム会社を経営する私は止めた。キラキラに見える業界の中で、AIを使うほど仕事が増え、労働時間も減らない現実と、AIの知識を活かすならどこか、システム会社が向かう先を書いた。転職を考える人と経営者向け。