「保守」で「リベラル」な情報セキュリティ

衆議院議員総選挙の真っ最中です。来週10月27日が開票日です。

今回の選挙のいちばんの関心は、自・公で過半数を確保出来るか否かです。確保できれば、大した政局にはならないと思います。でも、過半数割れしたら、政党の枠組みが変わります。

政治が変化するしないは、投票率が影響するでしょう。投票率が低ければ、おそらくあまり変わりません。一方、第４５回のような高い投票率（下図）になれば、大きな変化もあり得るんだろうと思います。

政治的な思想を「保守」と「リベラル」の括りで大別することがよくあります。保守は「旧来の風習・伝統を重んじる」思想です。リベラルは「変化を許容し、個人の権利を重んじる」思想です。

「保守」と「リベラル」は、よく二項対立として取り上げられるのですが、これは政治特有だと思います。政党政治は、複数の政党が争い、獲得議席数によって交替しながら、政権を担当する政治形態ですので、国民は「保守的な政党」か「リベラル的な政党」かを選択する必要があります。

選挙は勝ち負けの世界です。「保守」と「リベラル」は、二項対立と捉えられやすくなるんでしょう。

「保守」という言葉は、ビジネスでもよく使います。

ＩＴ業界では、文字通り「運用保守」という仕事があります。これは、情報システムが正常に稼働を続けるようにするための業務の総称です。厳密には運用と保守は違います。運用はシステムが問題なく動作するように管理する仕事です。ネットワークの稼働監視や、データバックアップ作業などが代表的です。保守はシステムの障害を未然に防ぐためのアプローチです。稼働中のソフトウェアの修正や、脆弱性対応などが例です。

「情報セキュリティ」は、運用保守の一貫として捉えられることが多いと思います。わたしのアタマなかでは、保守のなかでも、もっとも保守的（極右？）なイメージさえあります。

これは、情報セキュリティが企業経営で起きる最悪のリスク（顧客情報の漏えい）を防ぐことを担っているからです。

情報セキュリティに限らず、リスクをゼロにする取り組みは、どれも「保守的な側面」が強く出ます。

一方で、ビジネスの世界では「経営革新」とか「イノベーション」といった、力強いメッセージが飛び交います。これらの言葉は、変化を促す意味で「リベラル色」の強い言葉です。その枠組みで「業務ＤＸ化」も依然としてトレンドです。

情報セキュリティに携わるメンバーは、新しい技術やシステムを導入する際には、その安全性が確立されるまでかなり慎重な立場をとります。ある意味でＤＸは脅威と感じます。

会社の流れがＤＸ化に向いているなか、急激なＩＴ導入よる「情報セキュリティリスク」を回避するため、保守的な立場を取り続けると、組織のなかでアウェイ感さえ覚えます。

ただ、リスクは「ゼロ」が最適解ではありません。

リスクは「不確実性」です。

「不確実性」は、期待する結果から乖離する事象です。下図の如く、乖離の事象は期待値を中心として、「期待以下の好ましくない結果」もあれば「期待以上の好ましい結果」もあります。リスクをゼロにすると「期待以上の好ましい結果」を実現するための「機会」を奪うとも解釈できます。

ビジネスの現場で、顧客情報の漏えいは、絶対に避けなければなりません。しかし、顧客情報はビジネスを革新し、イノベーションを起こすための貴重な情報源であることも事実です。

そのためには、リスクはゼロにするのではなく、ある程度の許容をしながら、軽減していくアプローチが適切です。

ＤＸ化をすすめると、仕事にＡＩを活用する動きが広がります。人間では予測できないアプローチをＡＩが提供することで、期待を超える成果を発揮する機会が得られるでしょう。

ただ、ＡＩによる深層学習は、顧客情報の取扱いに触れる可能性があります。深層学習モデルは、大量のデータを学習に使用します。学習データに顧客情報が含まれていると、個人のプライバシーが侵害され、情報セキュリティ事故に発展するかもしれません。

その事故を未然に検知するのも、またＡＩの役割として期待できます。

顧客情報を奪うマルウェアの検知を例にあげます。

その伝統的な手法は「パターンマッチング」と呼ばれる方法です。

パターンマッチングは、既知のマルウェアの「シグネチャ（特徴的なパターン）」をデータベースに登録し、システム内にあるファイルや、動作をシグネチャーと照合することで脅威を検出する方法です。検出に間違いはないのですが、過去のデータに基づいて検出を行うため、未知の脅威に対しては対応が遅れる可能性が高い方法です。

いまは、従来型のパターンマッチングに加え、「ビヘイビア法（振る舞い検出）」が注目されます。

ビヘイビア法では、ＡＩがユーザーやシステムの正常な動作パターンを学習します。そこから逸脱する動きを異常として検知します。パターンマッチングと異なり、未知のウイルスやゼロデイ攻撃に対しても対応可能です。過去の攻撃パターンに依存せず、リアルタイムで新しい脅威に対応することも期待できます。ただ、本来は攻撃でないものを攻撃とみなしてしまう誤検知を否定できません。技術的な課題は残ります。