AIエージェントがもたらす「ガバナンスの危機」：OktaのCISO調査が示す課題と対策

AIガバナンスの現状とグローバルな課題

これまでの企業のセキュリティやアクセス管理は、人間の従業員に対してアイデンティティ（身元情報）を付与し、その権限を管理することを前提に構築されてきました。しかし、自律的にタスクをこなす非人間であるAIエージェントの台頭により、この常識が通用しなくなっています。人間用に作られた既存のルールやインフラをAIに流用しようとした結果、企業の中枢で深刻なガバナンスの危機が起きていると指摘されています。

具体的には、以下のような課題が浮き彫りになっています。

AIアクセスのスプロール化への懸念: グローバルのCISOの81%が、AIへの過剰なアクセス権限がレビューされないまま放置されることに強い懸念を抱いています。
人間用ルールの流用が生む「盲点」: 多くの組織がきめ細かい制御ではなく広範なアクセス制御を使用しており、21%の組織が共有認証情報やサービスアカウントをAIエージェントに使い回しています。AIを人間用の枠組みに無理やり当てはめることで、「個々のAIがどこで何をしているか」を識別できなくなり、広大な盲点が生まれています。
AIの可視化と制御の欠如: 自社の環境内にあるすべてのAIエージェントを「所在を特定できる（47%）」、「接続先を制御できる（46%）」、または「アクションを承認できる（45%）」と自信を持っているCISOはいずれも半数未満にとどまっています。
シャドーAIの蔓延と受動的な対応: CISOの68%が、組織内に未承認のAI（シャドーAI）が少なくとも一部存在すると認識しています。しかし、発見時の対応は「アクセスをブロックする（35%）」が最多であり、これは従業員の利用ニーズを満たさず、かえって水面下での利用を助長してしまうため、根本的な解決にはつながっていません。
経営陣および取締役会との連携不足: 許容できるAIリスクレベルについて、経営層および取締役会と「完全に認識が一致している」と感じているCISOはわずか31%です。この意思統一の欠如が、責任あるAI導入に必要なセキュリティ投資を確保する上でのハードルとなっています。

日本のCISOが直面するパラドックス：「セキュリティ第一」と「ツール不足」

日本の調査結果からは、世界とは異なる独自の実態が浮き彫りになりました。日本のCISOは世界で最も「セキュリティを重視」する姿勢を示している一方で、実際のガバナンスツールの導入においては深刻な遅れを取っているというパラドックスです。

グローバル全体では約半数（49%）の組織が「セキュリティよりもイノベーション（AIの迅速な導入）を優先する」と回答しているのに対し、日本では「セキュリティ優先（34%）」が「イノベーション優先（約30%）」を上回りました。しかし、この高いセキュリティ意識とは裏腹に、以下のような課題が見られます。

シャドーAI検出能力の深刻な遅れ: 日本のリーダーの14.5%が「自組織にはシャドーAIの効果的な検出機能がない」と回答しており、グローバル平均の5.2%と比較して突出しています。
一貫したガバナンスの不在: 日本のリーダーの約12%が、AIエージェントのアイデンティティおよびアクセスガバナンスに対して「組織として一貫したアプローチをまだ持っていない」と回答しており、グローバル平均（6%）の約2倍に上ります。

AIガバナンスを強化する4つの方法

このような状況に対し、OktaはAIガバナンスを強化するための4つの実践的な方法を提言しています。

AIエージェントの全体像を完全に把握する: 見えないものは統制できません。AIエージェントが「どこで稼働し、何に接続でき、何ができるか」をマッピングし、発見（ディスカバリー）することを戦略の基盤として優先することが重要です。
共有アカウントを廃止し「正規のアイデンティティ」を付与する: AIを人間用の枠組みに無理やり当てはめたり、共有アカウントを使い回したりするべきではありません。すべてのAIエージェントを、独自のライフサイクルとアクセス権限を持つ正規のアイデンティティとして扱う必要があります。
シャドーAIは単にブロックせず、ガバナンス下に置く: シャドーAIのアクセスを単にブロックするだけでは、水面下での利用をさらに助長してしまいます。新しいAIツールを迅速に評価・導入するプロセスを構築し、安全な選択肢を従業員に提供することが求められます。
取締役会との連携ギャップを埋める: AIのセキュリティを「ビジネスのスピードを遅らせるもの」ではなく「ビジネスを加速させるもの」として経営層に位置づけてください。ガバナンスの成熟度を根拠に、AI導入に必要なセキュリティ投資を確保します。

Oktaのアイデンティティ管理サービスが提供できる価値

Oktaは、AI、マシン、人間のアイデンティティを保護し、すべての人があらゆるテクノロジーを安全に利用できるアイデンティティ管理サービスを提供しています。これは、AIエージェントがもたらす「ガバナンスの危機」を解決するための重要な基盤となります。

AIエージェントへの「正規のアイデンティティ」付与: AIエージェント一つひとつに固有のアイデンティティを付与し、そのライフサイクルとアクセス権限を一元的に管理することで、AIの無秩序な拡大を防ぎ、可視性を高めます。
一元的なアクセス管理と制御: 人間とAIエージェントの両方に対して、きめ細やかなアクセス制御を適用できます。これにより、「誰が（どのAIエージェントが）」「いつ」「どこで」「何に」アクセスしたかを明確にし、不正アクセスや情報漏洩のリスクを低減します。
セキュリティとDX推進の両立: 企業はOktaのサービスを活用することで、AIのイノベーションを安全に推進できます。セキュリティがビジネスの足かせとなるのではなく、むしろDXを加速させるための強固な基盤となります。

Oktaのアイデンティティ管理サービスは、クラウドベースで提供され、様々なアプリケーションやシステムとの連携が可能です。企業規模を問わず導入でき、AI時代のセキュリティとガバナンス強化を支援します。詳細な機能や導入方法、料金体系については、Oktaの公式サイトにてご確認ください。