製品セキュリティのAIトランスフォーメーション（AX）

製造業では、昨今の目まぐるしいデジタル技術の進化を背景に、市場ニーズを捉えた新製品・新機能を迅速に開発・市場投入することが競争力の源泉となっています。

一方で、デジタル技術の搭載による製品の高度化・複雑化は、サイバーリスクを増大させています。製品に起因したインシデントや脆弱性への対応の重要性が高まる中、製品セキュリティに対する社会・顧客からの要請も年々強まっています。

特に、欧州Cyber Resilience Act（CRA）は、EU市場に投入されるデジタル要素を含む製品に対し、設計・開発・生産・保守を含むライフサイクル全体でサイバーセキュリティを確保することを求めており、今後も各国・業界において同様の法規制・標準の制定が予想されます。

このように、企業には製品セキュリティや市場投入後のセキュリティリスクへの対応が求められる一方、事業減速や不要なコスト増が許容できない状況において、特定の組織や個人の経験・知識・努力に依存した従来の業務モデルには限界があります。事業成長と製品への信頼を持続的に両立するためには、AIを前提とした製品セキュリティの再設計、すなわち「製品セキュリティのAIトランスフォーメーション（AX）」が必要です。

本稿では、AIエージェントと人間の協働を前提に、製品セキュリティのAIトランスフォーメーションのあり方について考察します。AIエージェントは、単に業務を効率化させるためのツールではなく、組織内に分散する製品セキュリティ情報を統合・循環させ、人間による意思決定を支えるリスクの分析や一次判断を行う「組織の神経系」として機能することが期待されます。これにより人間は、AIエージェントが生み出した時間と知見を活用し、企業としての重要な意思決定や信頼に関わる説明責任の遂行、市場洞察・価値創造といった、より高付加価値な活動に注力することが可能になります。

1. 製品セキュリティにおける個人依存の限界

製品セキュリティの重要性が高まる一方で、多くの企業では、製品セキュリティに必要な情報が各開発プロジェクトや各部門・組織に分散し、十分に接続されていません。製品セキュリティ脆弱性対応体制（PSIRT）を例に取ると、製品への影響有無や対応方針を判断するためには、製品の設計・構成情報、セキュリティ対策状況、脅威・脆弱性情報、製品の運用環境、顧客との契約状況や法規制要件などの幅広い情報を突き合わせて確認できる必要があります。しかし、実務ではこうした情報が企業内で分散しているため、必要な情報を収集・分析し、判断材料として整理するだけでも大きな負荷がかかります。

その結果、必要な情報を横断的に把握し、関係者との調整を行いながら判断できる一部の有識者や特定の組織へ業務が集中してしまいます。さらに、製品の高度化・複雑化の進展やデジタル法規制要件の拡大に加え、攻撃者によるAIの活用などを背景に、企業が取り扱うべき情報量や実施すべき製品セキュリティ対応は今後も増加し続けることが想定されます。こうした状況において、個人の経験・知識・努力に依存した業務モデルは、いずれ限界を迎えることになります。

2. AIエージェントは組織の「神経系」となる

製品セキュリティのAXにおいて、AIエージェントが果たすべき役割は、単なる業務の自動化にとどまりません。人間の神経系が、身体の各部位から情報を集めて脳に伝達し、状況に応じて反射的な対応を行いながら、最終的な脳の判断や行動につなげるように、AIエージェントは、製品セキュリティ情報の統合・循環やセキュリティリスクの分析・一次判断を担います。なお、ここで重要なのは、意思決定およびその説明責任の主体は、あくまで人間であるという点です。AIエージェントは人間の代替ではなく、人間による意思決定や説明責任の遂行を支える基盤として機能します。

この考え方は、近年注目される「Human-in-the-Loop（HITL）」の考え方とも一致します。HITLの本質は、人間の介在を増やすことではなく、「どの意思決定に対して、人間がどのような形で関与するか」を適切に設計することにあります。過剰な関与は運用上のボトルネックとなり、逆に関与が不十分であれば適切な統制や説明責任を果たすことができません。

製品セキュリティにおいて、AIエージェントは広範かつ複雑な情報の収集・分析・整理、リスクの一次判断、定型業務の自律的推進に強みを発揮します。一方、人間は企業としての重要な意思決定や信頼に関わる説明責任の遂行を担います。さらに、AIエージェントにより生み出された時間や蓄積・可視化された知見を、市場洞察・価値創造といった、より高付加価値な活動につなげることが可能になります。AIエージェントと人間のそれぞれの強みや社会通念を前提に、役割・業務を再設計することこそが、製品セキュリティのAXです（図表1）。

図表1：製品セキュリティにおけるAIエージェントと人間の役割分担

3. 製品セキュリティのAXアーキテクチャ

製品セキュリティのAXは、「製品セキュリティオペレーション」と「製品セキュリティオーケストレーション」の2つの機能によって実現されます。

製品セキュリティオペレーション

製品セキュリティオペレーションは、セキュア開発や脆弱性管理など、日々の製品セキュリティ業務を実行する機能です。

AIエージェントは、組織内に存在する製品情報、脅威・脆弱性情報、セキュリティ事象などのさまざまな情報を継続的に収集・分析し、脅威・脆弱性の分析やリスク評価、各種ドキュメント作成などの定型・反復・高度分析業務を実行します。一方、人間はAIエージェントが提示した分析結果や対応方針の提案を踏まえ、意思決定や対外的な説明・コミュニケーションの主導、必要に応じて関係各所との合意形成を行います。

製品セキュリティオーケストレーション

製品セキュリティオーケストレーションは、各開発プロジェクトや各組織・部門に分散する情報を統合し、組織全体として製品セキュリティを最適化する機能です。

AIエージェントは、各所で実施される製品セキュリティオペレーションの状況や情報の全体像を常に把握・分析し、組織間または業務間の連携強化、ボトルネックの特定、標準化や自動化といった業務品質・効率の改善機会の抽出を行い、製品セキュリティオペレーションの最適化を支援します。例えば、「どの製品において脆弱性対応が遅延しているか」や「どの組織や工程で意思決定が滞留しているか」といった状況を可視化し、その要因を分析することで、組織全体として優先的に対処すべき課題の把握や意思決定を支援します。一方で人間は、事業戦略や事業・製品特性などを踏まえた優先順位付けや意思決定を主導するとともに、業務プロセス・AIエージェントの継続的改善や組織横断の合意形成を通じて、組織としての製品セキュリティ能力の継続的な向上を推進します。

このように、AIエージェントが製品セキュリティオペレーションと製品セキュリティオーケストレーションの両面で人間と協働することで、各開発プロジェクトや組織・部門に分散していた情報が組織全体で継続的に活用されるようになります。また、業務を通じて得られた知見は標準化・自動化を通じて業務へ還元され、組織能力として蓄積されます。これにより、業務量や情報量の増加を特定の組織・個人の経験・知識・努力によって吸収するのではなく、組織全体として継続的に対応能力を向上させながら、持続可能な製品セキュリティの実現が可能となります（図表2）。

図表2：製品セキュリティのAXアーキテクチャ

4. おわりに

製品セキュリティは、もはや法規制への対応のみを目的とする活動ではありません。市場ニーズを捉えた新製品・機能を迅速に提供し、顧客や社会からの信頼を獲得し続けるための重要な事業基盤となりつつあります。持続可能な製品セキュリティを実現するためには、従来の業務や組織の延長線上でAIエージェントを活用するのではなく、AIエージェントと人間の役割を再定義し、AIエージェントを前提に製品セキュリティのあり方を再設計することが求められます。私たちは、この製品セキュリティのAXが、製品セキュリティを「コスト」から「競争力」や「価値創造」へと進化させる契機になると考えています。