Gartnerは3月18日、2026年以降のサイバーセキュリティにおける展望を発表した。2028年までに企業のサイバーセキュリティ・インシデント対応の50%が、カスタム構築されたAI駆動型アプリケーションに関連するインシデントへの対応に集中すると予測している。
同社は、セキュリティ・リーダーがカスタム構築されたAIアプリケーション・プロジェクトに早い段階から関与し、十分な時間とリソースを確保し、期待値管理をすることを推奨している。また、サイバーセキュリティ・リーダーが今後2年間のセキュリティ戦略にこれらの予測を組み込むことも推奨している。
2028年までに、50%を超える企業が、サードパーティ製AIサービスの利用をセキュアにし、カスタム開発されたAIアプリケーションを保護するためにAIセキュリティ・プラットフォームを利用するようになる
AIセキュリティ・プラットフォームは、プロンプト・インジェクションやデータの不正使用など、急速なAI導入に伴う新たなリスクを一元的に管理する手段を組織に提供する。
可視性とコントロールを中央集権化することで、これらのプラットフォームはCISO（最高情報セキュリティ責任者）が利用ポリシーを適用し、AIの活動を監視し、サードパーティおよびカスタムAIアプリケーション全体に一貫したセキュリティ・ガードレールを適用することを支援する。
セキュリティ・リーダーは、両方の形態のアプリケーションを確実に保護できるよう、AIセキュリティ・プラットフォームを評価する必要がある。
2027年末までに、手動によるAIコンプライアンス・プロセスにより、規制対象となる組織の75%が、全世界売上高の5%を超える罰金リスクにさらされる
世界各地で規制へのアプローチは異なるものの、AI規制においては、体系的なリスク・マネジメント・アプローチが普遍的に求められる。
CISOがセキュリティ、プライバシー、サイバーリスク・マネジメントに関する規制や基準を先取りできたとしても、新たなAI安全性に関する規制によって、既存の前提は再考されることになる。
より確かな成果を得るために、GartnerはサイバーGRC（ガバナンス／リスク／コンプライアンス）の確立と、テクノロジを活用したコンプライアンス推進を推奨している。
2030年末までに、IT業務の33%はAIのセキュリティ確保のためにAIデータ負債の解消に費やされる
多くの組織では、データがAI対応になっておらず、十分なセキュリティ対策が施されていない非構造化データがAI導入の大きな障壁となっている。
これを受けて、サイバーセキュリティ・リーダーは情報漏洩防止策を拡大し、生成AIやエージェント型AIによるデータ・アクセス・イベントやリクエストに伴うデータフローの監視・制限を強化している。
Gartnerは、データ／アナリティクスおよびAIリーダーと連携し、データの発見・評価・アクセス制御の是正に関する体系的なプログラムを定義することを推奨している。
2027年までに、30%の組織は継続的な地政学的混乱への対応としてクラウド・セキュリティ・コントロールの包括的な主権を要求するようになる
地政学的混乱や地域規制の影響により、組織はサイバー・レジリエンスの一環として主権を重視せざるを得なくなっている。
これにより、クラウド連携型サービスのベンダー選定や優先順位付けに変更が生じ、ジオパトリエーションが強化される。サイバーセキュリティ・リーダーは、地域規制を含む組織の主権要件を定義する上で積極的な役割を果たす必要がある。
2028年までに、CISOの70%はアイデンティティの可視化とインテリジェンス機能を活用し、IAMアタック・サーフェスを縮小して認証情報漏洩リスクを低減するようになる
組織が人間およびマシンのアイデンティティ（ID）管理の急速な拡大と複雑化に苦慮する中、IDは主要なアタック・サーフェス （攻撃対象領域）となっている。
これにより、個別のアイデンティティ／アクセス管理 （IAM）ツールでは可視化できないギャップが生じ、設定ミスによるリスクが高まる。Gartnerは、こうした見落としを解消するために、ID可視化／インテリジェンス・プラットフォームでAIを駆使しながら統合管理を行い、検知／修復力を強化することを推奨している。
［i Magazine・IS magazine］
