BlackFog調査、英米企業のITセキュリティの意思決定者の47%が、AIツールで自社の機密データが露出したと回答
データの社外への持ち出しを防ぐセキュリティ製品を手がける米BlackFogは11月4日、英米の企業でITセキュリティの意思決定を担う人への調査結果を発表した。回答者の47%が、AIツールの利用で機密データが露出するインシデントが自社で起きたと答えた。
調査は同社の委託で調査会社のSapio Researchが9月に行い、従業員500人を超える企業のITセキュリティの意思決定者400人から、英国と米国で200人ずつ回答を集めた。
機密データの露出を経験した組織に限ると、77%が、会社が利用を認めたAIツールが関わっていたと答えた。
回答者の39%は、AIの導入が自社でAIの利用を統制できる速さを上回って進んでいると答えた。この39%のうち、AIの利用を幅広く統制する仕組みを整えているのは27%にとどまった。
AIの利用方針は98%の組織にあるが、従業員に守らせる方法には差があった。35%の組織は、従業員がプロンプトに入れてはならない情報を書面の方針で定めているが、入力を技術的に止める仕組みはない。利用方針の全体について、幅広い技術的な統制を整えている組織は56%だった。
営業データや自社のソースコード、知的財産などを従業員がAIツールに入力・アップロードするのを技術的に防げる組織は約半数だった。統制が最も弱かったのは、従業員が自社のデザインやクリエイティブ、マーケティングの制作物をAIツールに入力・アップロードする場合だ。こうした制作物の入力・アップロードについて、32%は検知や監視はできても一貫して防ぐことはできないとし、別の20%は主に書面の方針や研修に頼っていると答えた。
AIツールにデータを送っている利用者や部署を特定できるのは62%だった。一方、AIツール経由で組織の外に出たデータの種類を何らかの記録で示せるのは、回答者全体の48%にとどまった。
従業員に代わって自律的に動くAIエージェントについては、56%が自社の既存の統制の外にあると答えた。業種別では、テクノロジー・通信の回答者で、AIエージェントが統制の外にあると答えた割合が70%と最も高かった。
会社が認めていないAIツールを従業員が使う「シャドーAI」については、こうしたツールを遮断・制限できると答えたのは54%だった。別の32%は、シャドーAIの利用を検知はできるものの、一貫して止めることはできないと答えた。
