初めまして、ITサービス＆エンジニアリング事業本部 デジタルプラットフォーム事業部 セキュリティソリューション部の大竹です。セキュリティサービス企画を担当しています。デジタルワークプレース分野には長年携わっており、特にID管理領域やサイバーセキュリティ領域において経験を積んできました。この度、現地時間2025年4月28日（月）〜5月1日（木）にサンフランシスコのモスコーン・センターで開催されたRSAカンファレンス2025（以下「RSAC」）に参加してきました。このカンファレンスは「Many Voices. One Community.」をテーマに、600社以上の展示企業と約45,000名が参加する世界最大級のセキュリティイベントです。NSSOLからはUS駐在員を含め、4名のエンジニアが参加してきました。セキュリティ業界の最新動向をキャッチアップする貴重な機会となりましたので、このブログを通じて、私がRSAC 2025で得た最新情報を共有したいと思います。
まず、RSACの概略について簡単にお伝えさせて頂きます。 RSACは、RSA社（現「RSA Conference LLC社」）が主催するセキュリティカンファレンスです。第一回は1991年に開催されており、当時は同社の主事業であった暗号技術に関する小規模なカンファレンスでしたが、サイバーセキュリティの重要性の高まりとともに業界を代表する専門家が登壇するようになり、現在はBlack Hatに並ぶグローバルで最大規模のセキュリティカンファレンスとなっています。今年は開催時期がちょうどゴールデンウィークと重なったこともあり、観光客も多く、市内は一層の盛り上がりを見せていました。RSACは基調講演（Keynote）と展示会（Expo）で主に構成されており、講演では業界のリーダーや各セキュリティベンダーが登壇し、セキュリティ脅威や対策動向についてセッションを行います。今年は、AIの登場によるセキュリティへの影響をテーマとする講演が多かった印象でした。日本でもAIの活用が広がっている中、AIを狙った攻撃が広がるのも時間の問題と感じました。RSACは毎年カンファレンスのテーマがあるのですが、2025年のテーマは「Many Voices. One Community.」でした。組織化され高度化されるセキュリティ攻撃に対して、私たち防御側も連携してコミュニティを形成していく必要があり、コミュニティへの貢献と交流、そして相互に得た新しい情報をもとに前に進んでいくことが重要というメッセージでした。
今年のRSACで特に注目を浴びていたのは、AIセキュリティとCTEM（Continuous Threat Exposure Management）でした。
ここからは AIセキュリティとCTEMについてもう少し詳しくご紹介します。
AIセキュリティの領域は昨年に引き続き注目を集めています。「AIセキュリティ」とひとことで言っても、2つの意味を持ちます。1つはセキュリティ対策にAIを用いる「AI for Security」で、2つ目はAI活用のセキュリティリスクに対応する「Security for AI」です。RSACではどちらもテーマとして頻繁に取り上げられていました。
AIを活用する企業は年々増えており、同時にセキュリティリスクも大きくなっています。こうした背景の中で、「Security for AI」の側面ではAI活用に伴うセキュリティ脅威を体系的に論じているセッションが多く見られました。そして「AI for Security」の側面では防御側のAI活用について紹介されていました。両方の意味を持つAIセキュリティは、日進月歩であるセキュリティ業界でも特に目が離せない領域と感じました。
ここでは簡単に、「AI for Security」「Security for AI」で興味を持った内容を紹介します。
発生したアラートの要約をAIが行う機能や、セキュリティアナリストが自然言語でログを調査分析できる機能、というような現在のセキュリティオペレーションの延長にある利用から、AIが自律的にセキュリティインシデント対応を行う機能の展望まで議論されていました。攻撃者がAIを使い攻撃を高度化していく中で、防御側もいかにAIを活用して効率よく迅速に脅威へ対応するかが、これからの重要になると感じました。
従業員が生成AIをツールとして使うことに対するセキュリティリスクだけでなく、各企業がAIをアプリケーションに組み込んでいくことに対するセキュリティリスクについても同時に議論されていることが印象的でした。AIをアプリケーションに組み込むことに対するリスクについては、AIモデル自体の侵害や、それを稼働させるインフラへの侵害、アプリケーションからAIへの接続点となるプロンプトや権限管理への侵害など、多くの侵害リスクが体系的に議論されていました。AI活用における主なセキュリティリスクは、下記が挙げられます。
2024年頃にGartner社が提唱した、CTEM（Continuous Threat Exposure Management、継続的脅威露出管理）をテーマとした展示も盛り上がりを見せていました。CTEMは、企業のIT環境におけるサイバーセキュリティリスクを継続的に監視・管理するプロセスを指します。これを実現するためにはさまざまなセキュリティ要素を組み合わせ、継続的に運用していくことが重要となります。
ExpoではCTEMの各サイクルステップを実現するための様々な製品が展示されていました。その中でも特に印象的であったAEV（Adversarial Exposure Validation）の領域についてここでは触れたいと思います。
AEVは、2023年頃から提唱されている比較的新しいカテゴリで、現実のサイバー攻撃を継続して疑似的に再現し、組織のセキュリティ体制を検証する製品群です。主に「③Prioritization」や「④Validation」のプロセスに大きく寄与する製品群です。AEVのポイントは「継続的に検証する」という部分です。CTEMの目指すサイクル型プロセスを達成するために、プロセスを自動化し検証を継続的に行う部分に主眼が置かれます。また、この製品群には見つけたセキュリティの脆弱性や不備の「優先順位付け」という要素も含まれています。多くのシステム・サービスを活用する現在のIT環境においては、全ての脆弱性に等しく対応することは困難です。そのため、実際に攻撃に悪用されてしまう、いわばシステムの弱い所から優先的に対処することが求められており、その観点でAEVはCTEMの中で重要な位置づけになると考えます。RSAC2025においても多くのAEV製品が出展されており、今後、日本市場でも浸透する製品カテゴリになると感じました。NSSOLでもAEV製品の調査・検証を進め、今後のソリューション展開を検討していきたいと思います。
RSAC2025は、「AIを主役としたセキュリティ新時代への突入」と、「組織化・高度化しつづける脅威に私たちがコミュニティとしてどう立ち向かうのか」という二大テーマであったと感じています。またその中で、AIセキュリティやCTEMといった領域が注目され、今後も盛り上がっていくものと感じました。RSAC 2025で得た知見も踏まえ、NSSOLでは今後のセキュリティ戦略を日々検討しており、2025年度中にサイバーセキュリティサービスのローンチを予定しております。本サービスにAIをはじめとする最新アーキテクチャを適用するため、現在市場分析・検証などを実施しております。最新アーキテクチャの組み込みを積極的に進め、競合他社との競争力を高めて、お客様に高品質なサービスを提供していきます。今後もブログを通じて、最新のIT動向や技術についての情報を引き続き発信していきますので、ぜひご期待ください。次回は、DataBrickのレポートでお会いしましょう！
私自身、今回初めて海外カンファレンスに参加し、トレンドを肌に感じることができ、非常に刺激的な海外出張となりました。（事前準備・報告業務もとても大変ではありましたが…）来年のRSACは、2026年3月23日～3月26日の期間で開催されることが発表されました。会場は今年と同様にモスコーン・センターとなります。今年はゴールデンウィーク期間での開催だったため、空港が混雑しており、移動が大変でした。。。来年も私は参加予定となりますので、来年のブログもどうぞお楽しみに！
