# マシンスピードの脅威にセキュリティ責任者はどう対応するか――MassMutual Sridhar Boddula 氏

- 番組: [The AI in Business Podcast](https://ai-curator.jp/podcasts/shows/cmv3z5c32001o5o100ot70lmn)（Daniel Faggella）
- 元のタイトル: How Security Leaders Are Responding to Machine Speed Threats - with Sridhar Boddula of MassMutual
- 配信日: 2026年10月28日
- 長さ: 22分
- 要約作成日: 2026年10月28日
- トピック: [#サイバーセキュリティ](https://ai-curator.jp/topics/%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3) [#AI脅威](https://ai-curator.jp/topics/AI%E8%84%85%E5%A8%81) [#継続的検証](https://ai-curator.jp/topics/%E7%B6%99%E7%B6%9A%E7%9A%84%E6%A4%9C%E8%A8%BC) [#DevSecOps](https://ai-curator.jp/topics/DevSecOps) [#ゼロトラスト](https://ai-curator.jp/topics/%E3%82%BC%E3%83%AD%E3%83%88%E3%83%A9%E3%82%B9%E3%83%88) [#ガバナンス](https://ai-curator.jp/topics/%E3%82%AC%E3%83%90%E3%83%8A%E3%83%B3%E3%82%B9)
- URL: https://ai-curator.jp/podcasts/cmvrs63ho00026211ykr4zdr5

## 要約

MassMutual のセキュリティプラットフォームエンジニアリング責任者 Sridhar Boddula 氏が、AI によって攻撃に必要なコストとスキルが急低下した現状を語る。定期的なテストでは追いつかず、継続的な検証、セキュリティのエンジニアリング組み込み、人員増ではなく自動化という三本柱が必要だと述べている。最初の一歩はデータ分類と資産インベントリを軸にしたガバナンスで、予算承認を待たず最重要システム1つから検証を始めるよう勧めている。

## ポイント

- 攻撃者の目的は変わらないが、AI により必要な専門性とコストが大きく下がり、低スキルの者でも高度な攻撃者のように振る舞えるようになったと述べている。
- 同氏は、特に直近6か月で状況が一気に現実化したとの認識を示し、安価なモデルで多数の企業に同時攻撃できる点を例に挙げた。
- 年次や半期のペンテストでは不十分であり、音声合成によるヘルプデスク騙しなど最新シナリオに基づく継続的な検証が必要だとしている。
- セキュリティは審査待ちの門番ではなく、DevSecOps に組み込まれたエンジニアリング機能になるべきで、ポリシーのコード化やゼロトラストが鍵になるという。
- アナリストを増やしても手作業のためアラートが増えるだけなので、自動化を中核に据え、優先順位付きの是正経路を提示すべきだと述べている。
- 最初の一歩はデータ分類、規制マッピング、ID まわりの可視化、資産インベントリで、最重要システム1つの集中テストを即実施することを勧めた。

## 章立て

- [01:04] **攻撃の経済性が変わった** — AI により攻撃に必要なスキルとコストが崩壊し、規制産業ではリスクが非対称に拡大している状況を説明する。
- [06:22] **この半年での急変** — 脅威は2年ほどかけて高まり、直近6か月で現実化したという認識。安価なモデルで大量の同時攻撃が可能になった点に触れる。
- [08:25] **チームに必要な三つの変化** — テスト頻度の見直し、セキュリティのエンジニアリング組み込み、人員増ではなく自動化という三点を語る。
- [12:43] **ノイズと本物のリスクの見分け方** — 資産の重要度に基づくリスクランク付けと、自動パッチ適用・検証による優先順位付けを説明する。
- [14:50] **規制産業が踏み出す最初の一歩** — データ分類、規制マッピング、ID の可視化、資産インベントリ、そして1システムからの即時テストを提案する。
- [19:03] **まとめと予算への現実的な視点** — 継続的な検証の必要性を再確認し、限られた予算内で自動化によりチームを強化すべきだと述べる。

## 解説記事

MassMutual でセキュリティプラットフォームエンジニアリングを率いる Sridhar Boddula 氏が、The AI in Business Podcast で、AI により加速する脅威への備え方を語った。攻撃のコストとスキルの壁が崩れた今、検証の頻度やチームの作り方をどう変えるべきかが主題である。なお、発言は同氏個人の見解で、所属企業を代表するものではないと断りが入っている。

#### 攻撃の経済性が変わった

Boddula 氏は20年以上の経験で、境界防御からクラウド、組織的ランサムウェアへの移行を見てきたが、それらは備える時間があったと振り返る。ここ2年は攻撃の経済性そのものが変わったという認識だ。攻撃者の動機は金、データ、アクセスで変わらない。一方、かつては熟練者が環境を理解し、独自コードを書いて静かに侵入する必要があったが、AI を使った探索、自動化されたフィッシングキット、音声・映像合成、コード生成支援によって、平易な指示から説得力のある攻撃キャンペーンを作れるようになったと述べている。

脅威の本質は攻撃者が賢くなったことではなく、高度な攻撃者のように振る舞える人が大幅に増えたことだという。1人の攻撃者が同じ手口を数百の組織に追加コストほぼゼロで試し、守りの弱い標的を見つけて素早くエスカレーションできる。境界にはノイズが増え、危険な信号がその中に埋もれる。成功した1件の攻撃の影響は依然として大きく、規制下ではさらに重くなる。この非対称性の拡大が現在の脅威環境の特徴だと同氏は整理した。

#### 直近6か月で現実になった

兆候は約2年前から見えていたが、特に直近6か月で一気に現実化したと同氏は述べる。特定企業名は挙げなかったものの、高度な AI モデルの登場により大量のリクエストでの攻撃が容易になったという見方だ。同氏は、約50ドルでモデルを入手し、多数の企業に同時に攻撃できる例を挙げ、人手も資金も大きくは要らなくなった点を強調した。

#### チームの働き方を三つ変える

ツールの追加だけでは足りないというのが同氏の立場である。クラウドネイティブ保護、ソフトウェアサプライチェーン、AI エージェントの権限管理などのツールは重要だが、答えの一部にすぎない。

第一はテスト頻度の見直しだ。年次・半期のペンテストは、新しい認証情報攻撃が数週間、場合によっては数日で現れる状況には遅すぎる。音声合成でヘルプデスクを動かし、休眠サービスアカウントを侵害し、IdP 経由で権限昇格するといった現在のシナリオで、より頻繁に、理想的には毎日制御を検証すべきだとしている。

第二はセキュリティの位置づけだ。変更を遅らせる審査キューではなく、DevOps/DevSecOps パイプラインに組み込まれたエンジニアリング機能になる。ポリシーをコードで表現し、リスクが持ち込まれた時点で検知する自動ガードレールを築く。ID は静的な承認から継続的なゼロトラスト評価へ移し、侵害を前提に被害範囲を設計で限定する。

第三はチーム構成である。攻撃が自動化される中でアナリストを増やしても、手作業のままではアラートが増えるだけだと同氏は述べる。自動化エンジニアリングをセキュリティの中核に据え、検出結果は優先度の文脈と是正案つきで届け、チケット待ちを減らすべきだという。

#### ノイズの中から本物のリスクを選ぶ

継続的検証では指摘件数も増える。同氏は、AI 時代にはゼロデイ脆弱性が数百から数千規模になり得るため、AI による自動化された脆弱性管理とパッチ適用が必要だと述べた。優先順位は資産価値で決める。EC サイトなら購入・決済に関わるシステムが最重要で、そこでの指摘は最優先になる。インターネットに公開されていない社内システムの脆弱性は、重大度が高くても優先度は低くなり得る。自動パッチと検証を組み合わせる考え方である。

#### 規制産業の最初の一歩はガバナンス

同氏が最初の一歩として挙げるのは、新たな方針文書ではなく実務的なガバナンスだ。どの機微データを持ち、どの規制義務が適用され、どこにあり、誰が保護責任を負うのかを把握する。データ分類と規制マッピングは複数年計画ではなく直近の優先事項とすべきだという。次に、休眠サービスアカウント、過剰な権限のロール、管理されていない API キー、常時の管理者権限、第三者連携などのID周りの可視化の穴を洗い出し、アクセスの廃止や縮小まで実行する。あわせてハードウェアを含む全デジタル資産のインベントリを整備し、リスクの高いものに集中する。「持っているものを知らなければ守れない」という原則が繰り返された。

監査や予算サイクルを待つ間も攻撃者は待たない。そこで同氏は、最も機微な規制データを持つシステムを1つ選び、集中的にテストして結果と対応計画を作り、その材料で2027年の予算承認を取りに行くよう勧めた。また、どの組織もコスト圧力下にあり、巨額の予算承認は期待しにくいので、限られた予算で自動化によりチームを強化することが重要だとも述べている。

#### まとめ

本エピソードの主張は、AI 時代の防御は人間を前提にした年次・四半期サイクルから、毎日回る継続的検証へ移るべきだという点に集約される。日本の金融・保険など規制産業の読者にとっても、ツール導入より先にデータ分類、資産台帳、ID の棚卸しを進めること、そして最重要システム1つから小さく検証を始めるという実践的な示唆は取り入れやすい。ただし具体的な数値や事例は本人の発言であり、裏づけは番組内では示されていない点には留意したい。

> この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: The AI in Business Podcast「How Security Leaders Are Responding to Machine Speed Threats - with Sridhar Boddula of MassMutual」