re:Invent 2025: NBAとAmazonが語るメディア業界のサイバーセキュリティとGen AI活用
はじめに
海外の様々な講演を日本語記事に書き起こすことで、隠れた良質な情報をもっと身近なものに。そんなコンセプトで進める本企画で今回取り上げるプレゼンテーションはこちら！
re:Invent 2025 の書き起こし記事については、こちらの Spreadsheet に情報をまとめています。合わせてご確認ください
📖re:Invent 2025: AWS re:Invent 2025 - The Next Cyber Frontier: AI, Fans, and Global Platforms (SPF208)
この動画では、NBAのChief Information Security OfficerであるSteve GrossmanとAmazonのGlobal Media and EntertainmentおよびAdsのDirector of SecurityであるBrian Lozadaが、メディア・エンターテインメント業界におけるサイバーセキュリティの課題について議論しています。NBAアプリのAWSへの移行、Prime Videoのマルチビュー機能などのイノベーションにおけるセキュリティの組み込み方、DevSecOpsアプローチによるシフトレフト戦略、30以上のNBAチームに対するISOコントロールのサブセット展開、ファンデータ保護のためのSOC 2認証、サードパーティベンダー管理におけるSSPM技術の活用、Gen AIを活用した脅威検出の自動化と脆弱性管理の高速化、ディープフェイク対策としてのAWS Recognitionの活用、そしてエージェント的AIの今後の展開について具体的な実践例と共に語られています。
※ こちらは既存の講演の内容を最大限維持しつつ自動生成した記事になります。誤字脱字や誤った内容が記載される可能性がありますのでご留意下さい。
本編
パネル開始：NBAとAmazonのセキュリティリーダーが語る24時間365日のエンターテインメント環境
こんにちは、こんにちは、こんにちは。 皆さんがre:Inventを楽しんでいて、良いランチを取られたことを願っています。メディアとエンターテインメントにおけるサイバーセキュリティパネルへようこそ。私の名前はOlga Bermantです。イスラエルでサイバービジネス開発プラクティスをリードしており、本日は2人の素晴らしいセキュリティエグゼクティブ、AmazonのBrianとNBAのSteveをお迎えできて、とても興奮しています。私たちは、終わりのない脅威の世界において今日CISOが直面しているいくつかの課題、そしてもちろん、決して眠ることのないエンターテインメントとスポーツのエコシステム、24時間365日の環境について掘り下げていきます。
それでは、お二人とも自己紹介をしていただき、それと併せて、短期的および長期的なセキュリティの課題について、そして最近特に気になっていることについて少しお話しいただけますか。いいですよ、私から始めましょう。素晴らしい。皆さん、こんにちは。私の名前はSteve Grossmanです。NBAのChief Information Security Officerを務めています。リーグオフィスには過去25年間在籍しており、この5年ほどはセキュリティの責任者を務めています。
NBAについて少しお話しします。私たちはグローバルな組織です。他のスポーツリーグと比較した大きな差別化要因は、グローバルな視点からの成長に非常に重点を置いているということだと思います。つまり、私たちは米国が世界の人口の約5%であることを理解しており、多くの成長機会があると考えています。上海、香港、北京、ロンドンに拠点があります。1月にはいくつかのグローバルゲームが予定されており、実際に私の20年以上の在職期間において、国際的な展開と中国との関係構築に非常に注力してきました。
ありがとうございます。私はBrian Lozadaです。Amazonに所属しており、Global Media and EntertainmentとAdsのDirector of Securityを務めています。冗談めかして言っていますが、本当にそう思っているんです。Amazonは、誰もが実際には気づいていない世界最大のメディア企業なんです。すべてのメディアコンテンツを合わせると、Prime Video、Audible、Twitch、Games、Music、Luna、Wonderyと、非常に大規模なメディアポートフォリオを持っています。私の責任は、そちら側のセキュリティと広告セキュリティです。Amazonには4年近く在籍しており、ここに来られて嬉しく思っています。皆さんが素晴らしいre:Inventを過ごされていることを願っていますし、SteveとOlgaとの会話を楽しみにしています。
グローバルストリーミングの新時代：NBAアプリのAWS移行とマルチビュー体験のセキュリティ
素晴らしいですね。それでは早速本題に入りましょう。NBA、Amazon Primeは、すべてファンや視聴者に関わるものですね。お二人は、ファンがスポーツを消費し、スポーツを視聴する方法を本当に革新し、再発明しています。Steve、あなたは最近、グローバルにストリーミングをサポートするNBAアプリをAWSに移行されましたね。先ほど言及されたグローバルな展開を考えると、どのような新しいセキュリティの課題が見えてきますか?
了解しました。私たちは非常に長い間グローバルに展開してきました。重要なのは、実際に展開を広げたりスケールしたりする際に、アプリケーションの観点から何をしているかということです。それは、セキュリティプログラムを構築する際に本当に必要な核となる原則を確実に守ることなんです。ですから私たちにとっては、展開する規模に関係なく、リーチの範囲に関係なく、サイバーセキュリティの観点から核となる原則を守ること、適切なツールセットを持つこと、ログの観点から適切な可視性を確保すること、そして基本的に正常な状態がどのようなものかを理解し、異常を識別できるようにすることが重要なんです。
素晴らしいですね。移行中にチームが驚いた具体的なセキュリティの課題で、克服に成功したものはありますか?ええ、つまり、驚きという観点から言えば、幸いなことに、実際にはあまり多くはありませんでした。その多くは、サポートチームとAmazonとの協力関係によるものでした。明らかに、私たちはAmazonベースのテクノロジーを活用してこのインフラとアプリを構築していました。Amazon社内の専門知識と協力することで、適切な多層防御戦略を設計し、構築する方法を本当に理解する機会を得ることができました。それに対処するために、Amazonベースのテクノロジーと、以前使用していた他のテクノロジーの両方を活用して取り組みました。
素晴らしいですね。そしてBrianさん、あなたのチームはマルチビュー、インタラクティブな統計など、たくさんの新しいイノベーションに積極的に取り組んでいますが、それについても触れていただけるかもしれません。それによって脅威ベクトルはどのように変化しますか?セキュリティに対する認識はどのように変わりますか?ええ、私たちはNBAとのパートナーシップを本当に高く評価しています。今年はPrime VideoでNBAの試合をストリーミング配信する最初の年で、大成功を収めています。このパートナーシップを大変気に入っています。しかし、私たちはお客様に異なる体験を提供したいと考え、マルチビューを導入しました。1つの画面から、お客様は複数の試合を見ることができます。これは本当にユニークなお客様体験だと考えています。
私たちはお客様を体験に引き込み続けたいと考えています。Amazonでは、お客様から逆算して考えます。私たちはそれを見て、どうすればお客様のためにそれを実現できるか逆算して考えましたが、ライブストリーミングに関しては、セキュリティもその一部なんです。
先ほど言及されたように、セキュリティの核となる基盤に立ち返ります。私たちはCIA、つまり機密性、完全性、可用性について考えます。しかし、ライブストリーミングでは、後者の2つが非常に重要です。ストリームの完全性とストリームの可用性です。マルチビューのようなユニークな体験を提供するのであれば、それがお客様のために確実に存在することを確認しなければなりません。繰り返しになりますが、DDoSやライブストリームを中断させ、完全性に影響を与える可能性のある何らかの脅威に関する脅威、それが私たちが注力している部分です。お客様のためだけでなく、NBAとのパートナーのためにも、ファンが望むものを提供し、パートナーが製品を世に出すために必要なものを提供することを確実にするためです。
DevSecOpsの実践：プロダクト開発サイクルにセキュリティを組み込む方法
素晴らしいですね。このような厳格なセキュリティコントロールをどのように実装してきたか、ベストプラクティスをいくつか共有していただけますか？まず、プロダクトチームが何を実現したいのかを正確に理解する必要があります。そこから逆算して取り組みます。どのようにやりたいのかを聞いて、その後、構築サイクルの中でセキュリティをそのプロセスに組み込んでいきます。プロダクトの最後にセキュリティを付け足すというのは、おそらく最も難しいことの一つで、必要なレベルのセキュリティを実現することはできません。そして、ビジネスのスピードを遅くしてしまいます。しかし、プロダクト開発者が作成しようとしている機能について、最初の段階から一緒に取り組むことで、セキュリティを組み込むことができます。それが私たちが実際に採用したアプローチです。
私たちには、プロダクトリーダー専任のアフィニティエンジニアがいて、NBAのようなパートナー向けの機能を考案する際に、ライフサイクル全体を通じて組み込まれています。これにより、はるかに容易になり、セキュリティのコストが下がり、セキュリティのスピードも上がります。これが開発者にとって非常に効果的で、パートナーにとっても非常に効果的なものになっています。
Steveさん、あなたはどうですか？新機能、新製品、イノベーションに関して、プロダクトチームとセキュリティチームはどのように協力していますか？私たちには非常に革新的なチームがあり、テクノロジーの観点から非常に先進的な考え方をしています。私たちは長年にわたってDevSecOps組織として活動してきました。私たちにとって、シフトレフトの範囲や考え方、そして基本的にはパイプラインを構築する際に、SASTの観点から、DASTの観点から、セキュリティテクノロジーを本質的にそのプロセスに組み込むことで、脆弱性をより簡単に特定できるようにし、開発者の観点からできるだけ摩擦のない体験を作り出すようにしています。そして、実際に開発者の観点から多くのコラボレーションを行っています。明らかに、開発者ほどアプリケーションを理解している人はいません。
ですから、セキュリティの観点から何が必要かを彼らに教育し、ツールの観点から私たちがパイプラインに組み込んだものを理解してもらい、そして最終的にどのように対応し反応する必要があるかを理解してもらいます。私たちにとって、セキュリティの問題は、予備的に、あるいは少なくとも最初の段階では、ガードレールを設定し、テクノロジーを提供し、プロセスの観点から何が必要かを示します。しかし、個々のオペレーションの観点から、コードがデプロイされる際、そしてBrianが少し触れたように、機能の観点からかなり頻繁に行われます。プログラムを適切な方法で構築したことを前提として、そこでの第一の防衛線は、実際には開発者がパイプラインで検出された脆弱性の観点から何かを確認することです。そして、必要に応じて協力して、ここで問題ないか、私たちが懸念している閾値を超えているかどうかを判断できます。
このモデルで、ここ数年、非常に高いレベルの成功を収めてきたと言えます。そして、Amazonと協力することで、実際にそれを強化し、AWSの皆さんの熟練したチームと協力して、今日アプリで使用している新しいテクノロジーにそれを移植することができました。
ファンデータの保護：パーソナライゼーションとセキュリティのバランス
素晴らしいですね。つまり、まだあまり話していないことの一つがデータです。明らかに、イノベーションの多くは、お二方の組織がファンに対して実現しているパーソナライゼーションによって推進されています。データの保護についてはどのようにお考えですか?ファンに関する非常に機密性の高いデータ、そしてアスリートやサードパーティに関するデータについて、どのように考えていらっしゃいますか?
では私たちから始めます。データの観点から言うと、Olgaさん、おっしゃる通りです。私たちは最近、非常にダイレクト・トゥ・コンシューマーのビジネスになっており、ファンが誰であるかを理解し、収集しているデータを通じてビジネスを推進する方法を理解することに重点を置いています。ビジネスの観点からクロスマーケティングを行えるようにするためです。何試合観戦しているのか?どんなグッズを購入しているのか?アプリを頻繁に利用しているか、もしそうなら、どの機能を活用しているのか?そういったことを
全体像としてまとめようとしています。これにより、一つには顧客を最もよく理解し、彼らに何を提供すべきかを知ることができますが、同時に彼らへの提供内容を本当にさらに拡大する機会も得られます。そして私たちにとって、そうすることで、環境内にかなり多くのデータを取り込むことになります。もちろん私たちの立場からすると、そこにあるリスクの側面について懸念しています。つまり、本質的にセキュリティの観点から、可能な限りリスクを軽減するために何をする必要があるのかということです。
そして私たちにとって、それをフレームワークにマッピングしています。NBAでは、私たちはISOショップであり、それが実際に運用面で、バックオフィスの多くやアプリとファンをサポートするシステムを運営している方法です。そして消費者の観点からのデータセットに特化して言えば、私たちはSOC 2認証への道を歩んでいます。それは重要な要素であり、明らかに私の立場からすると、SOC 2の観点からそのデータを保護し守ることがすべてです。そして私たちがその道を選んだ理由は、エビデンスを収集しなければならないという点で非常にユニークだからです。そしてそのエビデンスは本質的に、適切なレベルのセキュリティで運用していることを示すものです。
そして私たちにとって、それは確かに私が、もし少しでも夜眠れるとしたら、役立っています。わかりませんが、開発の観点から、エンジニアリングの観点から、そして管理の観点から、私たちが適切なレベルで運用していることを知っているという点で、少しは夜眠れるようになります。そのエビデンスを提示する能力があり、それがビジネスの観点から最もリスクを軽減し、サイバーセキュリティプログラムの観点から必要とされる適切なレベルで運用していることを確実にしています。
Brian、あなたの見解もぜひ聞きたいですし、Steveが話していた成功の測定について一言いただけますか。ええ、もちろん、素晴らしい指摘ですね。聞いてください、Amazonでは、先ほども述べましたが、私たちはお客様から逆算して考えます。私たちはお客様に執着しています。ですから、お客様が私たちに寄せてくださる信頼に関しては、データの側面に重点を置いています。私たちは体験におけるカスタマージャーニーの観点からすべてを見ています。つまり、お客様がPrime Videoにログインし、コンテンツを選択し、再生ボタンを押すとき、私たちはそのサービスパイプライン全体を見て、ここがデータが通過する場所だと言っているわけです。データが永続化される場所まで追っていき、そこで実際にセキュリティコントロールを推進しています。そこに監視を配置し、アラートを配置し、そして何か異常があれば、かなり迅速に対応できる対応チームを配置しています。
しかし、私たちは適切なセキュリティコントロールを実現できるよう、データマッピングに注力しており、これはお客様側の話です。しかし、イノベーション側の体験についても考えています。マルチビューのようなことを行い、そのビューにゲームの分析データを重ねるとき、それもまた消費者に提供する非常に重要なデータであり、彼らをゲームに近づけ、体験をもう少し楽しんでもらうためのものです。私たちはそれについても考えています。つまり、永続化されるまでの消費者データがありますが、消費者に送信されるゲームデータもあり、そこにもセキュリティを配置して、完全性と可用性を確保し、消費者が受け取っているデータがゲームタイムで実際に起こっていることと正確に一致していると安心できるようにしています。
30チームの統一基準：NBAにおけるマルチエンティティセキュリティプログラムの構築
ですから、私たちはデータの追跡と、そこにセキュリティが組み込まれていることを確認することに非常に重点を置いており、繰り返しになりますが、アラートと監視です。私たちはそれを確実に実施するための非常に、非常に、非常に厳格なメカニズムを持っています。非常に興味深いですね。そして組織について話すとき、規模について話し、データについて話しましたが、皆さんがマルチエンティティ組織であることに触れないわけにはいきません。Steve、あなたは30以上のNBAチームを統括しているとおっしゃいましたね。ベストプラクティスについて少し共有していただけますか。技術的な成熟度や技術的能力が異なる様々なチームに対して、組織全体の標準をどのように実際に作成しているのでしょうか。セキュリティは、AWSやAmazonで言うように、day zero、job day zeroでなければなりません。それをどのように実施していますか。チームが基準を満たすのをどのように支援していますか。
確かに、それはこのポジションの興味深い側面です。なぜなら、リーグ本体、つまり基本的にリーグテクノロジーの観点から、最終的に私たちが運営し、責任を持ち、完全な可視性を持っているものがあるからです。そこで、私はそれを3つの中核領域に分けています。NBAファイナルのゲームやオールスターゲーム、レギュラーシーズンのゲームのようなイベントを開催するためです。実際、ネットワークの観点からは、3つの異なる階層に分けています。つまり、最終的にはリーグが運営するネットワークがあり、もちろん私たちはセキュリティの観点から完全な可視性を持っています。
防御の観点から、期待されるすべてのツールが実際に配置されており、さらに私たちが実施しているレッドチーミングやペネトレーションテストもあります。これが技術環境の3分の1です。次に、実際のチームのインフラストラクチャ、チームのネットワーク、チームのテクノロジーもあります。これがこのパズルの2つ目のピースです。そして3つ目のピースがあり、それは実際にこれらすべてのゲームが行われる会場です。最終的に、それはその会場を管理または運営する別の第三者です。
いくつかのシナリオでは、NBAチームのオーナーが実際にその施設の維持、管理、運営に責任を負っています。他のシナリオでは、それは外部委託されています。会場を運営する管理会社があるわけです。多くの場合、これらの会場はNHLチームや、年間を通じてその会場で行われる他のライブイベントと共有されています。基本的にこれら3つの構成要素、つまり3つの側面、リーグ、チーム、そして会場を組み合わせると、それが最終的に試合を開催するものとなります。
私たちNBAにとって、リーグが必要とするネットワークについては完全な可視性を持っていますが、シナリオの他の2つの側面、つまりチームのインフラストラクチャと会場のインフラストラクチャについては、セキュリティの観点から、私たちがリーグで運用しているのと同じレベルのセキュリティ基準に達していることを確認する必要があります。数年前、私たちは本当にこの状況を見直しました。私たちは実際に30チーム、30の異なる成熟度レベル、そしてセキュリティの観点から文化的に30の異なる視点や見解を扱っているのです。私たちにとって、私たちの役割は本当にこれらのチームを支援し、適切なサイバーセキュリティコントロールが整っていることを確認することで、私たち全員が協力してパートナーシップのもとで安全なイベントを開催できるようにすることです。
私たちがそれを管理または処理する方法は、本当に要件を設定することによってです。NBAのチームは、リスクの観点から最も重要だと考えたもの、つまり本当に確実に整備しておきたいコントロールを基本的に検討しました。最終的に私たちが行ったのは、ライブイベントの観点から私たちが行っていることに基づいて、本当に最もリスクが高いと考えたISOコントロールのサブセットを取り出すことでした。それを150のコントロールにまとめ、そして要件を設定してチームに配布しました。
現在、基本的にこれらの縮小されたISOコントロールと、アリーナ自体に対する年次ペネトレーションテストの組み合わせとなっています。これにより、サイバーセキュリティの観点から通常必要とする完全な可視性を持っていない残りの3分の2についての視界が得られます。私たちが行った方法は、基本的に最初に要件を導入しました。これがステップ1です、ご想像の通りです。そして本当に30の異なる組織全体でベースラインを収集しに行く必要がありました。基本的に「これが私たちがあなたに到達してほしい場所、または到達する必要がある場所です。そこからどれくらい離れていますか？」ということを理解するためです。
サイバーセキュリティの分野で実際に働いている人なら誰でも、これら30チームが互いに近い状態にあるはずがないことを理解するでしょうし、ほとんどの場合そうではありませんでした。もちろん、いくつかのチームは素晴らしい状態で、投資を行ってきていました。他のチームはより多くのガイダンスが必要で、実際に何をする必要があるかを理解する必要がありました。確かにそれはこのプログラムを実施するための一つの側面でした。そしてもちろん、皆さんのお気に入りの部分ですが、私たちはそれに対して監査を行います。基本的にそれは本当に私たちに証拠や情報を与えてくれるので、「このチームはこのチームと比べてこのような状態で、要件に到達するためにどのように支援または援助できるか？」ということを理解できるのです。
特にサイバーセキュリティの分野では最近、通常は時間や分単位で物事を話しているわけですが、30の組織を集めて「あなた方には時間や分単位で、私たちが必要とすることに足並みを揃えてもらう必要があります」と言うのは難しいんです。この種のエコシステムについて話すとき、私はよく大型客船を操縦することに例えるんですが、「さあ、左に曲がりますよ」と言っても、その旋回が実際に起こるのは、船が曲がるのに何日かかろうとも、その日数後になるわけです。
実際のところ、私たちはチームから素晴らしい協力を得てきましたし、非常にポジティブな経験をしてきました。そこで私たちは、それらのチームに対してある程度の共有サービスを提供し始めるまでになりました。脅威インテリジェンスの共有について考えてみてください、脆弱性管理について、あるいはペネトレーションテストの支援について考えてみてください、
脆弱性の観点からスキャンの可視性を提供することで、それらのチームが要件の観点から確実にそのレベルに到達できるよう支援しているんです。チーム側の観点では、主にそのように対応してきました。過去24ヶ月から36ヶ月の間、非常に高いレベルの成功を収めてきたと言えますね。
ビジネスユニット別アプローチ：Prime Videoにおける多様なセキュリティ要件への対応
素晴らしいですね。そしてBrianさん、あなたの状況もPrime Videoにおいて大きく変わらないと思いますが、さまざまなスタジオ、さまざまなデザイナー、クリエイティブな人々、そしてセキュリティの能力も様々なレベルの方々と仕事をされていますよね。どのようにしてベースラインを作り上げているのでしょうか?
ええ、ここにいるSteveと非常に似ていますね。Global Media Entertainmentを全体として考えたとき、Prime Videoは Audibleとは全く異なります。AudibleはMusicとは全く異なります。MusicはWonderyとは全く異なりますし、他も同様です。私たちが行ったのは、実際にそれらのビジネスユニットに深く入り込むことでした。それらのビジネスユニットの優先事項が何であるかを理解したかったんです。そこが私たちが注力し始めた場所です。集中化できるところは集中化しますが、ビジネスの要件としてそれができない場合は、ビジネスと一緒に構築しているんです。
私が目指したいのは、皆さんが私たちの共有サービスを気に入ってくれるような状態です。私たちはビルダーのために多くのことを行っています。セキュリティを無料で提供したい、つまりこれらのビルダーがパイプライン中に無料でセキュリティを利用できるようにして、彼らのコードやパイプラインにセキュリティが適用されていることすら気づかないレベルにしたいのです。それが私たちが目指している方向です。今、それを推進する多くのメカニズムがありますが、ビジネス特有の非常にユニークなものもあります。
Prime Videoには、明らかにコンテンツの制作と配信があります。パートナーやスタジオとどのように協力するか、彼らには独自の要件があります。ですから私も非常に似たようなことをしなければなりません。それらの制作チームと話をして、どうすればあなたたちにとって物事をシンプルにできるか、コンテンツを作成する際にAmazonのセキュリティファブリックにどうやってオンボードできるか、そしてそのコンテンツを配信できるかを聞くのです。これは交渉の技術であり、説得の技術だと私は言っています。しかし本当に重要なのは、ビジネスがセキュリティを簡単に利用できるようなソリューションを推進し、構築することです。それが私たちが今いるフェーズです。
セキュリティを中央集約化し、セキュリティのコストを削減し、セキュリティのスピードを向上させ、セキュリティの採用を増やす、そういう状態に到達することです。繰り返しますが、ビジネスに非常に特有なものなので、すべての場所でそれを実現することはできませんが、セキュリティチームにそのような考え方をさせる必要があります。もしそれらすべてを一つの領域に入れて、これらの別々の事業部門のセキュリティを同じ箱の中で管理しようとすると、ビジネスに悪影響を与えます。ビジネスからの信頼を失います。適切なセキュリティの採用を得ることができなくなるので、本当にビジネスに没入する必要があると思います。
Wu-Tangが最高の言葉を言いました、「お前は俺を知らない、だから俺のスタイルも知らない」と。自分のビジネスを知ることです。本当にそのビジネスに没入して、セキュリティをカスタマイズできるようにし、そして繰り返しますが、適切なペースでセキュリティを推進できるようにするのです。
サードパーティリスク管理：質問票、SSPM、継続的モニタリングの三本柱
ええ、私も言いたいのですが、これがWu-Tangが引用された初めてのサイバーセキュリティパネルではないかと思います、ありがとうございます。私もBrianが言っていることに本当に重ねて言いたいと思います。これはまさに私たちが冒頭で話したことのようなものですよね。ここではパートナーシップについて話しています。NBAの観点から、私たちは多くのパートナーと協力し、取引をしています、ご想像の通り、このようなゲームを開催するため、必要な形で放送を実現するため、モバイルアプリ、ウェブサイトで行っていること、そうですね、進化し続けるビジネスです。
私たちは非常に多くのサードパーティベンダーと取引をしています。私たちは自社のエコシステム内でサイバーセキュリティの観点から多大な投資を行っています。私たちの期待としては、もし私たちがあなたとデータを共有するのであれば、あるいはサードパーティに私たちの情報に対して私たち自身と同じレベルの責任を負ってもらうのであれば、彼らもサイバーセキュリティの観点から同じレベルの成熟度で運用してくれることを期待しています。テクノロジーの観点から進化し変化する状況の中で、私たちの業務を遂行するために企業が重ね合わせて統合したいと考えるSaaSベースのプラットフォームの数を考えると、私たちにとってはSSPM技術にかなり重点を置いています。
SaaSの観点から、私たちは各SaaSベースのプラットフォーム全体で設定の観点から継続的に確認を行い、セキュリティ設定の観点から最適に設定されていることを確認しています。これが、私たちが管理し対処している方法の一つの側面で、実際にはポスチャー管理の側面全体ですね。それに加えて、私たちが行っていることは、基本的に質問票を通じて問い合わせを行っています。なぜなら誰もがそれを大好きですからね。それが今ビジネスで本当に大きなことになっているようです。ほら、250問の質問に答えてくださいという感じですよね。
私たちにとっては、本当に適切なサイズにすること、重要な情報が何かを得ることに重点を置いています。私たちは本当に、それらの250問の巨大な質問票ではなく、おそらく50問程度に抑えるよう努めています。しかし実際には、質問票への回答、SaaSセキュリティポスチャー管理の観点から物事がどのように見えるかの可視性の取得、そしてサードパーティベンダーに対するアタックサーフェス管理スキャンのレベルの実施の間で、私たちは最終的に外部に面したアセットの観点から彼らがどのように見えるかのビューを得ています。彼らが対処する必要がある問題はあるのか？つまり、実際にはこれら3つの柱を使用し、ベンダーをオンボーディングする前に、これら3つの柱それぞれの要件が満たされていることを確認しています。私たちにとって、これは本当に、このエコシステム全体が、それが私たちのクラウド内に存在するか、ベンダーやサプライヤーのクラウド内に存在するかに関わらず、私たちが期待するレベルで運用されていることを確認するのに役立っています。
私たちの側から見られる実践の種類について、何か付け加えたいことはありますか？サードパーティについてですが、私たちはサードパーティやベンダーと非常に多く連携しています。彼らはあらゆる組織の中核的なコンポーネントですが、特にメディアとエンターテインメントにおいては、私たちが協力する多くのパートナーがいます。Steveと非常に似ていますが、私たちはパートナーに連絡を取り、彼らがどこにいるのかを理解しています。問題は、これらの質問票やレビューに関しては、それらはある時点のものだということです。ですから、常にそのリスクの観点から見る必要があります。これは1年後に再度見直すある時点のものですが、その間にそのパートナーやベンダーが実際にあなたとどのように協力しているかについて継続的な可視性を持つために何ができるでしょうか？
繰り返しになりますが、私たちは本当に一生懸命、できるだけ多くのベンダーをAmazonのセキュリティファブリックに取り込み、私たちのプロダクション、パートナー、チームが社内のツールを使用しやすくしようとしています。それができず、サードパーティに依存しなければならない場合は、私たちが持ちたい可視性を持てるように緊密な関係を持つことです。特定のサードパーティについては、実際に彼らの環境内で私たちのデータの監視を行いたいと考えています。私たちが監視を管理します。私たちは24時間、24時間365日の監視を行っています。私たちは24時間365日、画面に目を向け、キーボードに手を置いているので、何かが起こったことをサードパーティに通知してもらうことに依存していません。私たちは実際にそれを行う能力を持っています。繰り返しになりますが、特定のサードパーティについて、そこに送信している特定のデータについて、私たちは具体的にそれを行っています。しかし、それはこのメディアエンターテインメントの状況の一部に過ぎません。サプライチェーンの非常に大きな部分が常にサードパーティになるでしょう。
AIの二面性：セキュリティエージェントによる防御力の強化
面白そうですね。そして、私たちはもうかなり長い時間話してきましたが、まだAIについて本格的に議論していませんでした。そして、この継続的なモニタリング全体について、議論しなければなりませんよね。必須です。この継続的なモニタリング全体は、明らかにAIの使用によって大幅に促進されています。それを踏まえて、AIの二面性、つまりその悪用と、そして皆さんがそれを自己防衛のためにどのように活用しているかについてお話ししたいと思います。でも、まずは少しお話しいただけますか。今マイクをお持ちですので、AIが本格的に本番環境に入り、採用率が大幅に高まったこの12ヶ月から24ヶ月の間に、皆さんのセキュリティプラクティスが実際にどのように進化してきたかについて、少しお話しいただけますか。
ええ、素晴らしい質問ですね。私たちは明らかにAIについて、そして私たちがそれをどう見ているかについて話さなければなりません。AIは人類を変える技術ですよね。ですから、セキュリティの観点から無視できるものではありません。私たちが本当にそれを受け入れ始めたときの一つのことは、ビジネスの観点からそれをどう見るかということです。セキュリティエンジニアや開発者がサービスを提供するスピードを上げるために、社内でどのように使用されるかということがあります。コンテンツクリエイターやパートナーが、コンテンツを開発したり、私たちが協力したいさまざまなタイプのサービスを推進するために、それをどのように使用するかということです。そして、私たちはそれらの体験から逆算して、ビルダーを支援するにはどうすればよいか、セキュリティエンジニアがこの技術を責任を持って使用して、仕事を速くし、実際にこの作業の一部を行いやすくするにはどうすればよいかを考え始めました。私たちはAmazon社内で、ビルダーやセキュリティエンジニアがこれを行うのを支援するツールを作成しました。私たちは投資を続けていきます。今週、セキュリティエージェントを発表しましたが、これは本当に素晴らしいと思います。ですから、まだチェックしていない方は、ぜひチェックしてください。これは本当に複数の、チームにとっての力の乗数となり、おそらくセキュリティアナリストが以前行っていたすべての作業を実際に推進します。セキュリティエージェントがそれを行うことができ、そして再び、その問題をスピードで解決することに非常に近づけます。しかし、繰り返しになりますが、私たちはビジネスをもう少し可能にするためにこの技術を使用するために、そこに投資を続けていきます。しかし、コンテンツクリエイターがそれを責任を持って使用するのをどのように支援するかということです。
考えてみてください。私たちはそれを使用していますし、コンテンツクリエイターも使用しています。脅威アクターもそうですよね。ですから、私たちはその帽子をかぶらなければなりません。脅威アクターがこの技術をどのように使用するか、そして彼らが実際にそれをどのように行っているかを監視するためにどのようなコントロールを配置するかということです。つまり、私たちが目にしているフィッシング攻撃、私たちが目にしているDDoS攻撃のいくつかは、この技術によって強化されており、私たちは自分自身を準備し、セキュリティプログラムを進化させ、セキュリティ人材を進化させて、この技術が社内でどのように使用されるか、そして再び外部でどのように使用されるかについて異なる考え方をする必要があります。
脅威アクターにとってのこの技術の力は、攻撃をより安価にし、より速くし、そしてより大規模にしますよね。ですから、私たちは、検出をより速くするためにそれをどのように使用できるかについて、同じように考える必要があります。検出を拡大し、セキュリティの観点からそのコストも下げることができます。そして、あなたがこの話をしている間に、技術は常に進化しています。次の12ヶ月についてどのように考えていますか。24ヶ月はAIの世界ではさらに先すぎるように思えます。次の12ヶ月についてどのように考えていますか。そして、これから来る課題に対してチームを準備するために、どのようなツール、どのような実践を導入していますか。
間違いなくエージェントベースです。そして、可視性を得るため、またはそのパイプライン内で実際に修正を行うために、チームがすべての異なるパイプラインでエージェントをどのように使用しているかに本当に焦点を当てています。私たちはチーム全体でセキュリティエージェントの使用を大きく推進していきます。それが私たちにとって大きな中核的な焦点領域になると思います。それは本当に、繰り返しになりますが、応答時間を短縮し、デューデリジェンスの時間を短縮し、人間の介入を可能な限り最小限に抑えて、そのパイプラインの一部としてセキュリティを本当に推進するために、それらを活用することです。繰り返しになりますが、私はビルダーのためのあらゆる種類のセキュリティ摩擦を取り除きたいと本当に思っており、エージェントにその多くを行わせることができれば、それが私たちが実際に焦点を当てていくことです。
生成AIによる脆弱性管理の革新：自動化とエージェントベースのアプローチ
Steve、あなた方がAIについてどのように考えているか、そしてセキュリティスタックの中にどのように実装しているかをぜひ聞きたいですね。そして、その成功をどのように測定しているかについて、あなたの視点を教えてください。どのようなメトリクスを考えていましたか?正しいエージェンティックセキュリティプログラミングを実装できているでしょうか?了解しました。今後12ヶ月間についておっしゃいましたね。私は今後12分間という単位で考える傾向がありますが、まあ、私たちが話しているのは明らかに絶えず進化している分野ですからね。おそらく、私たちがここでステージに立っている間にも完全に変わっているでしょう。でも、私たちにとって、これは非常に多くの異なる側面から話すことができます。
おそらく防御側から始めるのがいいでしょう。そして私にとっては、本当にサイバーセキュリティエンジニアリングの文脈で、そしてサイバーセキュリティエンジニアが技術的な問題に対して持つマインドセットの文脈で考えるんです。そこが、ビジネスの他の側面と比べて、私たちを本当にはるかに恵まれた立場に置いていると思います。攻撃側のことについても確実に話すことができますし、話しますが、防御の観点からは、本当にどうやって自動化できるか、どうやって以前よりもかなり速く物事を動かせるかということになります。なぜなら、私たちは攻撃側の観点から何が起こっているか、そして脅威アクターがGen AIで実際に何をしているかを理解しているからです。そしてBrianがそれについて多く触れました。
しかし、脆弱性管理のようなものの文脈で考えると、私たち全員が理解していることですが、脆弱性管理は歴史的に非常にゆっくりと進みますよね?すべてをスキャンしなければなりません。脆弱性がどこにあるかを理解しなければなりません。優先順位をつけなければなりません。みんなに、これがロールアウトする一連のパッチになりますよ、と知らせなければなりません。テストしなければなりません、問題やトラブルが起きないようにするためにね。そしてそれが、私たちが知っているように、脅威アクターにとって非常に良い機会を生み出すわけです。なぜなら、彼らは私たちが彼らよりもかなりゆっくり動かなければならないことを知っているからです。
そして私にとって、この例では、そのプロセスを速くするためにGen AIをどう使うかということなんです。そして、実際に今日本番環境で動いているか、あるいは非常に近いうちに動く予定の、さまざまなことがあります。それによって、Gen AIを活用して、基本的にLLMを介して、私たちのネットワークインフラストラクチャがどのようなものかを構築する機会が得られます。そしてそこに重ねて、ツールセットの観点から特定された脆弱性の理解を本質的に得て、それもワークフローに重ねていきます。そしてそれが実際に行うことは、私たちのネットワークインフラストラクチャに特化した脆弱性を再優先順位付けする機会を与えてくれるということです。
つまり、最終的に私がやっていることは、DevOpsの担当者のところに行って、こう言うんです。ねえ、脆弱性の観点から見ると、私たちはここにいます。しかし、NBA特有の私たちにとって、これらが最もリスクを提示する脆弱性なので、まずこれらに対処してほしい、とね。
そして、これによって私たちはより速く目標に到達できるようになります。なぜなら、今や私たちの組織特有のニーズに基づいて優先順位を付け直しているからです。つまり、以前は一般論で運用されていたものが、今では非常に具体的な内容で運用されるようになり、自分たちをより良く守るために迅速に行動する機会が得られるようになったのです。これが一つの側面です。
もう一つの側面として、SecOps側について申し上げたいと思います。過去36ヶ月、もしかしたらもう少し長いかもしれませんが、セキュリティオペレーションの観点からプレイブックを構築し、自動化を組み込んできました。プレイブックの構築には時間がかかります。そして今、多くのテクノロジーが生成AIを介してそのプロセスを本当に自動化しているのを目にします。もはや「プロセスの観点から私はこれをやっています。AとBを取得してからCを完了させる必要があります。どうやって構築するのか？どうやって書くのか？どうやってテストするのか？」と言う必要がなくなりました。そのレベルの最適化のために生成AIベースのソリューションを活用する機会が得られるようになったのです。
プラスワンとして、セキュリティオペレーションは大きな機会だと思います。そこにプラスワンですね。私たちもそれを実験しています。セキュリティアナリストが実際に脆弱性管理についてデューデリジェンスを行わなければならない時のことを考えてみてください。彼らは「この脆弱性は本当に該当するのか？」と尋ねています。実際にエージェントにそのデューデリジェンスを実行させ、そしてあなたのおっしゃる通り、優先順位を付け直すのです。これがまさに修正される必要がある事項なのです。エージェントを使ってはるかに深く、より迅速に進めることができるようになり、それを再び開発者へ、変更を行う必要があるビジネスオーナーへと落とし込むことができます。ですから、2026年にMedia and EntertainmentとAds全体でそれを拡大していくことに非常に興奮しています。
ディープフェイクとの戦い：コンテンツの完全性を守るための業界横断的取り組み
素晴らしいですね。AIについて話しましたが、AIにはその裏側として、明らかに脅威アクターもそれを実装しているという面があります。そして、あなたのビジネス分野であるエンターテインメントとメディアでは、ディープフェイクやコンテンツ作成の悪用に関する多くの課題が見られます。皆さんは、ブランドを守り、ユーザー体験を守り、ファン体験を守り、それでいてNBAのロゴが画面の左上や複数の画面に表示されている時にファンが見ているものを信頼できる能力を持つことについて、どのように考えていますか？最近、あなたの頭の中を巡っている考えや、実装していることは何ですか？
この分野では、ディープフェイク識別の観点から急速に進化している多くのテクノロジーを確かに目にしています。そして私たちにとって、現在協力しているいくつかの異なるベンダーがいて、実際に運用し、アクティブな概念実証を進めています。基本的にソーシャルメディア環境をスキャンし、LLMに保存されている私たちのコンテンツに基づいて比較・識別し、ディープフェイクを本当に特定するのです。それがビデオの品質によるものであれ、比較の観点からLLM内に存在する人間の特性によるものであれ、ディープフェイクの特定を支援します。ですから、実際にいくつかの異なるテクノロジーが存在しています。
私たちにとって、これは確かにすべてのソーシャルメディアプラットフォームにわたる懸念事項です。多くのディープフェイクが見られています。私たちには多くのプレイヤーがいます。もちろん、彼らの安全は私たちの懸念事項です。多くの経営幹部もいます。彼らの安全も懸念しています。そして、これは本当に私たちにとって優先事項なんです。ディープフェイクを特定するという側面がありますが、それに加えて、大規模にそれを自動化するという側面も本当にあるんです。これも私たちにとってかなり重要な課題です。
最初は人間がループに入っていて、プロセスが遅くなります。より多くのやり取りが発生します。しかし、自動化の観点から、追加の分析やレビューを必ずしも必要とせずに、ワークフロー内で比較し、特定し、自動的に削除できる場所に到達できればと思っています。それが本当に今日の私たちの状況です。確かに、私たちはそれを認識しています。これは私たちが対処できるように取り組んでいることであり、実際に環境をかなり注意深くスキャンして、私たちを支援してくれるサードパーティを特定しています。
Brian、あなたはすべてのスポーツリーグと仕事をしていますね。昨年はNHLがステージに登壇しましたし、もちろんNFLやNBAもあります。ベストプラクティスにはどのようなものがありますか、また考えは?彼女に私たちが最高だと言いたいだけですよね?ええ、ええ、もちろんです。AIの誤用や誤情報を打ち負かすために、さまざまなスポーツリーグで実装しているベストプラクティスにはどのようなものがありますか?
その通りです。AIは再び、脅威アクターに驚くべき速度でディープフェイクを作成する大きな機会を与えたと思います。今、ディープフェイクを作成するために使用できるオープンソースツールが非常に多くあります。私たちがNFLをストリーミングした最初の年、それは3年前でしたが、
NFLでは、これらのストリームを見つけるために非常にリアクティブなアプローチを行うチームを作成しました。AWS Recognitionを使用し、画面の右上にTNFロゴ、Thursday Night Footballロゴがありました。実際にそのロゴを見つけるようにモデルをトレーニングしました。そのロゴを持っているのは私たちだけだったので、Prime Video以外のストリームでそれを見つけた場合、自動的に削除通知が送信され、削除されました。それが、大規模にこれを実行できると考え始めた最初の時でした。かなり迅速に特定できましたが、リアクティブでした。
今、チームで取り組んでいるのは、そういったことが起こらないようにするためにはどうすればいいかという点です。そのようなテクノロジーへの投資も行っています。しかし、ディープフェイクについて具体的に考えてみると、情報を人間性の本質として捉えた場合、誰もが意思決定をしているわけです。NBAを見るにしても何にしても、メディアから得た情報に基づいて意思決定をしています。今やAIがそれを改変できるようになり、正しい判断をする機会を本当に与えてくれなくなっているわけです。人間が情報をどう統合するかについて、非常に大きなリスクが存在しています。
業界として、セキュリティの実務者として、これについて違った考え方をする必要があると思います。ディープフェイクができないようにストリームに完全性を持たせるために、どのようなテクノロジーを実装する必要があるのか。あるいは、もしディープフェイクされた場合でも、それを素早く識別できるようにするにはどうすればいいのか。ライブコンテンツにもっとウォーターマークを入れる方法はないか、一部のコンテンツにもっとウォーターマークを入れる方法はないか。そうすれば、消費者がそれを見たときに、これはディープフェイクだとわかる、あるいはこれはPrime Videoプラットフォームから来たものだ、またはコンテンツクリエイターが配信したかった形のものだとわかるわけです。これはコンテンツクリエイターにとってのリスクです。彼らは自分のコンテンツが改変されてディープフェイクされ、ソーシャルメディアで共有されることを望んでいません。そうなると誰かが「もうそのシリーズは見ない。何が起こるか知ってるから」と言うでしょう。そうではないんです。ですから、私たちはディープフェイクの領域をどう抑制するかを積極的に検討しています。
この分野は非常に流動的です。急速に変化し続けるでしょう。ですから、繰り返しになりますが、業界の実務者として、ここでどうイノベーションを起こすか、そして業界が今後18ヶ月でこれについてどう考えていくかを本当に修正するために、真剣に注力し始めるのは私たちの責任です。本当に必要な業界のソートリーダーシップとは何でしょうか。なぜなら、これはチームスポーツでなければならないと信じているからです。これに対抗し、識別し、ファンの信頼を本当に維持するためには、一つのチームとして協力しなければなりません。では、今日実施する必要があること、あと数ヶ月後、数年後に実施する必要があることについて、皆さんが考えている実践方法にはどのようなものがありますか。
まず申し上げたいのは、先ほどおっしゃったように、情報共有の側面が非常に重要だということです。SteveとI私は非常に緊密に協力しています。情報を共有しています。他のリーグとも共有しています。DaveとNHL、TomasとNFLです。私たちにはそのような情報共有の能力があります。それを維持し、脅威の見方をレベルアップさせることが非常に重要です。海賊版であれ、ディープフェイクであれ、コンテンツの盗み方であれ、それを共有することで、脅威アクターがプラットフォームの一つをどう攻撃しているかがわかり、コンテンツを配信する際に、すべてのプラットフォーム、すべてのインフラストラクチャを保護できるようになります。これが一つ目です。
二つ目の角度としては、コンテンツを開発する際に、そのようなディープフェイクを防ぐサイレントウォーターマークや何かをどうやって入れ始めることができるかという点に取り組む必要があります。あなたが協力している会社がいくつかあることは知っています。それらは対応的な側面ですが、コンテンツ制作とアンチディープフェイクの領域にどう入り込むかという点に取り組み始めている会社が多く見られます。今、そういった会社がたくさんあります。一部のソーシャルメディアプラットフォームでは、これはAIによって作成されましたと表示されるのを目にするでしょう。広告の場合は素晴らしいですが、ディープフェイクされて変更されたコンテンツの場合、そうではありません。業界として一丸となってそれを変えなければなりません。コンテンツを確実に保護しなければなりません。なぜなら、繰り返しになりますが、人間はこれに基づいて意思決定をしているからです。そして、情報は人間性の本質であり、それを信頼できなければ、あらゆる面で悪いことになります。
CISOの進化する役割：ビジネスのペースでイノベーションを推進する
Steve、あなたの見解をぜひ伺いたいのですが、コンテンツプロバイダーとコンテンツクリエイターの間で役割の違いはどうなるのかについても考えていただけますか。その二分法はどこにあるのでしょうか？了解しました。繰り返しになりますが、セキュリティに競争はありません。ですから、放送パートナーや他のスポーツリーグとの協力に関しては、侵害の兆候は何か、本当に注意すべきことは何かということについて、継続的な情報共有が行われています。これは業界全体の課題だと言えます。なぜなら、すべてが動くスピードが非常に速いため、私たち全員が協力してそれを解明しようとしているからです。
技術が発展するにつれて、特定の観点から言えば、それが私たちの相互協力を助け、業界標準を持てる場所にたどり着くことができると思います。現時点では確実にそこには到達していませんし、私たちはうまく機能すると感じられるソリューションを探しています。今見ているのは、多くの一回限りのタイプのソリューションであり、本当に業界レベルで準備が整ったものは何もありません。そこに到達できると感じていますが、これは先ほど少し話したことですが、セキュリティを左にシフトすること、これらの問題の前に出ることです。今日私たちが行っていることの多くでは、それができています。
ここでは、セキュリティの観点からこれをどのように左にシフトするかを考えているプロセスの最中だと思います。なぜなら、これは私たちにとっても新しいことだからです。これは間違いなく課題です。確かに私たちは反応しています。そして、反応するというのがキーワードかもしれませんが、NBAやAmazonだけでなく、メディアとエンターテインメント業界全体にとって適切なものを設計したり、まとめたりするために反応しているのです。プラスワンと言いたいですね。ええ、理にかなっています。
では、AIについて話すとき、まさにおっしゃる通り、これは本当に新しい世界であり、私たち全員がそれに反応しながら進んでいます。CISOやセキュリティ実務者が今後未来に向けて採用しなければならない新しいスキルセットや新しいマインドセットには、どのようなものがあると思いますか？実際、最高情報セキュリティ責任者がビジネスを推進し、イノベーションを推進する移行的な役割についても話していただけますか。それがあなたにどう関わってくると見ていますか？
了解しました。私にとっては、この仕事はずっと難しくなったと思います。最終的に、これらのアーキテクトのほとんどは、以前難しくなかったかどうかはわかりませんが、今は少し難しくなったかもしれませんし、もしかしたらずっと難しくなったかもしれません。その多くは、Gen AIベースのインフラストラクチャとすべての異なる階層の複雑さを本当に理解することです。Brianがエージェントについて話していました。まあ、エージェントはすべて比較的新しいものです。それから、私が会話するすべての組織について話すと、彼らは皆MCPサーバーを展開しています。MCPサーバー技術自体、18ヶ月前のものかどうかもわかりません。
これほど新しいテクノロジーを扱う場合、私もかつてはビジネスのその側で働いていましたが、それを動作させるだけでも大変なんです。もし私が何かをビジネスのために動作させることができれば、それがティアワンや優先度1であるならば、セキュリティの観点からは、これらのものができるだけ安全な方法で展開されることを確実にするという複雑さに対処しなければなりません。課題はビジネス側にあって、誰もがGen AIの観点から次のステップを逃しているのではないかと心配しているんです。マインドセットは非常に、どうやって前進するか、どうやってそこに到達するか、そしてそれを実現するのに役立つ最新のテクノロジーは何か、そしてそれを逃してはいけない、というものなんです。
私たちの観点からは、詳細なレベルで見ると、MCPの問題や、実際にそのエージェントが何をしているのかをアイデンティティの観点からマッピングして遡る能力について、今日では非常に複雑なんです。単一のアカウントが多くの機能を実行していて、実際には問い合わせを発行している人物にアイデンティティ管理の観点から紐付けられていないという問題があります。私たちにとって、情報を収集すること、可視性を持つことがすべてなのですが、このアーキテクチャには欠陥があり、今日ではそれを行う能力が実際にはないんです。
私にとって、それがセキュリティ分野における次の懸念事項なんです。大きな推進、エンタープライズブラウザのようなものが展開されてきました。実務者としての私にとって、もちろんそれは興味のあるものです。私たちは非常にモバイルな労働力を持っています。こうしたイベントに出張しますから、それは私がやりたいことなんです。そして、ほら、今度はエージェントベースのブラウザがあるんですよ。それがあなたのためにすべてのものを買ってくれて、あなたはただそこに座っているだけ。魔法のようにあなたの休暇を予約してくれて、すべてが素晴らしくなる、というわけです。
私たちにとって、私にとっては、どうやってそれに先手を打つかなんです。例えば、私がエンタープライズブラウザに向けて推進していて、今度は誰もがエージェントベースのブラウザを持っているとなると、誰かを私が必要とする安全なモデルに導入することが、私の仕事をより困難にするだけなんです。Chief Information Security Officerの観点からは、これらの問題をビジネスにどう伝えるか。これがリスクであること、またはリスクのレベル、あるいは組織として喜んで受け入れるリスクの割合を彼らが理解していることを、どう確実にするか、それが私たちのビジネスのスピードでイノベーションを可能にするんです。
そして私にとって、それが大きな課題なんです。なぜなら、もし私がGen AIで次に来るものを予測できるなら、おそらく全く違う仕事をしているでしょうから。私にとって、これらのものは15分ごとに展開されているんです、まあ誇張ですけど、そしてそれが、ねえ、運用面では動作させました、あなたたちはそれをどう安全にするか考えてください、となり、これは従来のテクノロジープラットフォームとは非常に逆のマインドセットなんです。従来のプラットフォームでは、私たちは皆をある程度のところまで持ってきていて、つまり、すべてをシフトレフトするという目標を設定できるんです。それを実行できるテクノロジーが存在しているわけですから、ね?
それは単に、どうやって従業員を教育するか？どうやってみんなをそのレベルに到達させるか、という問題です。一方、Gen AIの側面では、まだ本当に多くのことが定義されている最中だと言えます。ですからCISOの観点からすると、核となる原則は変わらないと思います。セキュリティの観点から同じように適用する必要があると思います。繰り返しになりますが、少なくとも私の組織内では、問題を本当に理解している非常に優秀な人材がいます。彼らは制約を理解しています。実際、彼らはそれらを解決することに長けています。ただ、それらが入ってくるペースの問題なんです。これらのロールアウトのスピードに追いつくために、新しいテクノロジーをどのように活用できるでしょうか？
そしてBrianさん、以前おっしゃっていましたが、より多くのGen AIエージェントを環境に実装して、貴重なエンジニアの時間を解放したいとのことでした。今後、変化する状況に適応するため、あるいは実際にチームを変えていくことについて、どのようにお考えですか？ええ、それは間違いなく適応力についてだと思います。今は本当に興味深い時期だと思います。多くの組織が今FOMOを抱えています。彼らは、自分たちを助けてくれるAIのようなものを逃してしまうのではないかと考えているんです、よね？
セキュリティ実務者として、私たちはこれを、セキュリティエンジニアやセキュリティチームがこのテクノロジーをどのように使ってビジネスを可能にし、ビジネスを保護するかを進化させる時期として見る必要があると思います。これを見て、これは進化の時なんです。これは、チーム全体の人材とどのように協力し、実際にこれをテストして使用できるようにするかを再考しなければならない時なんです。私たちには「Learn and be curious」というリーダーシップ原則があります。私は本当に、チームがこのテクノロジーを使って仕事のやり方を変えていく方法について、積極的に取り組んでほしいと思っています、よね？
それを避けることは正しい解決策にはなりません。しかし、チームとして、Gen AIの時代におけるセキュリティの考え方を進化させる時が今だと認識する時なんです。エージェント的なものは、このテクノロジーが私たちのために完全にできることのほんの一部に過ぎないと思います。ですから、私たちは今後、本当に労働力を再構築していくと考えています。あなたが15分とおっしゃったように、労働力は常に学び続けなければならないことを認識する必要があります。なぜなら、このテクノロジーは進化しているからです。彼らはそれとともに進化する必要があります。なぜなら、ビジネスはこれを使ってビジネスを前進させることができることを期待しているからです。そしてセキュリティはそのペースを維持する必要があります。
私たちはそのペースでイノベーションを起こす必要があります。セキュリティはビジネスのペースでイノベーションを起こす必要があるんです、よね、逆ではなく。多くのセキュリティ実務者は逆のことをやっていたと思います。このテクノロジーは、それを行い、規模を拡大し、労働力を本当に再教育して、ビジネスのペースに追いつき、さらにはビジネスを前進させるためにこれを活用できるようにする機会を私たちに与えてくれます。私はこう言いますし、本当にそう思っているんですが、セキュリティ実務者として、私たちの仕事はビジネスがリスクを取れるようにすることです。私はビジネスにリスクを取ってほしいんです。リスクを取らない者は、常にリスクを取る者を追いかけることになりますから、よね？
では、セキュリティ実務者として、どうすればビジネスがリスクを取ることを支援できるのでしょうか？私は好奇心を持つことを学ばなければなりません。失敗を恐れず、イノベーションを起こし、新しいことに挑戦し、そしてそのような形でビジネスを支援するために従業員を後押しする必要があります。これは興味深いトピックです。なぜなら、明らかにエコシステムが非常に速く進化しているからです。多くの社内セキュリティチームは、完全なコントロールができるため、自分たち自身のために何かを構築することを好みます。すべてが急速に進んでいる中で、皆さんはどうでしょうか？構築するか購入するかという点で、皆さんはどのような立場にいますか?
構築か購入か、そして未来予測：データ駆動型セキュリティの次の12ヶ月
新しいソリューション、場合によっては新興のソリューションを自分たちのスタックに取り入れて、それを試してみることにどれくらい抵抗がないですか？それとも、本当に自分たちで構築し、エコシステムを理解し、ランドスケープを理解し、自分たちが構築したものが本当に100%自分たちのものであり、安全であることを知ることを好みますか？ええ、私にとっては、本当に重要なのは統合だと思います。多層防御戦略を構築する際には、そこにある製品を使うことになります。セキュリティの観点から新しい課題が出てくることはわかっています。私たちはそれについて多くの時間を費やして話してきました。ですから、私が期待しているのは、少なくとも最初は、サードパーティから購入するという立場が、これらの非常に新しい課題を解決するために取る方向性になるということです。
構築の側面に関しては、最終的にゼロから構築するものというよりも、
脅威ハンティングの観点やデータウェアハウジングの観点からはその側面もありますが、私にとっては、何を購入するか、そして技術的な観点から、それを既存のスタックに統合するために何をしなければならないかということが重要です。そうすることで、将来的な観点からセキュリティのレベルを向上させながら、それを自分たちのエコシステム全体に取り込んで、必要な可視性を得ることができます。ですから、そこには少し組み合わせがあると言えます。
ええ、素晴らしいですね、Brian。何か追加されますか？最後の数分間、もし誰か質問があれば受け付けることができますが。ええ、ユースケースによりますが、私たちは構築することが多い、構築が好きなショップですが、特定のユニークなユースケースがある場合は、その時点でベンダーと話をすることを好みます。あるいは、私たちが考えていなかった何か違う視点で取り組んでいる新興スタートアップと協力することを好みます。ですから、私は購入よりも構築の方に傾いていますが、購入する場合は、本当に新興スタートアップを見て、どうすればここで実装を始められるかを考えることが好きです。GMEとAdsのユニークなランドスケープを考えると、ビジネスがいかにユニークであるかという理由で、実際にサードパーティを検討する必要がある場合もあります。ですから、私は進化するテックスタートアップと話をすることにオープンです。
素晴らしいですね。それでは、質問がある方のために場を開きたいと思います。まだ数分ありますので。勇気のある方はいらっしゃいますか？誰かが質問を考えている間に、締めくくる前に、何か予測のようなものはありますか？15分から12ヶ月、時間枠はお任せしますが、まだ議論していない予測や、今日私たちが知っているセキュリティの状況を本当に革命的に変えたり、変化させたりすると思うことはありますか？Brian、まずあなたからどうぞ。
ええ、GMEとAdsにはDREAMという信条があります。Data Rules Everything Around Me、つまり「データがすべてを支配する」ということです。そして、データを正しい方法で活用することで、ビジネスにとって適切なセキュリティの成果に関する意思決定をより多く推進できるようになると思います。メディア・エンターテインメントおよび広告の分野では、ユニークな体験の創出に引き続き注力し、そのデータを活用してビジネスが顧客に新しい体験や新しい機能を提供できるようにすることで、そのデータが顧客のストーリーを語る機会を確実に持てるようにすることが重要だと思います。そして今後数年間で、Gen AIがそれをどのように強化し、本当にその限界を押し広げているかをより多く目にすることになると思います。
また、メディア・エンターテインメントでは、Gen AIで作成された合成データやコンテンツがより多く見られるようになると思います。これは消費者にとってユニークなものになるでしょう。それを配信するプラットフォームにとってもユニークなものになります。それがどのように受け入れられるか？どのように使用されるか？そこからどのように収益化を続け、拡大できるか？これらは今後12ヶ月間で非常に大きな分野になると思います。15ヶ月ではなく、そうですね、今後12ヶ月でそれがより多く見られるようになると思います。企業はその角度から取り組むことになると思います。
素晴らしいですね。私が言いたいのは、イノベーションのスピードが非常に速く、今日非常に多くのテクノロジーを世に出しているため、ビジネスは今日それを活用しきれていないと思います。ビジネスが今日の既存のテクノロジーを本当に見直し、今後のビジネスケースを設定し、その観点から実装できるようにする大きな機会があると思います。先ほど少し触れましたが、私たちが持っていたGen AIベースのユースケースについてですが、私たちは多くの技術リソースを自由に使える状態で、最終的に何を構築したいのかを知っており、タイムライン内でそこに到達するための目標と目的を設定し、その目標を達成することができたという、限定的な方法で対処しました。
ビジネス側では、スキルセットが少し異なると思いますので、彼らはこのテクノロジーを見始め、それが何になるはずなのかを理解していると思います。そして今後12ヶ月から18ヶ月の多くは、agentic AIの観点から世に出されているものを本当に活用または利用し始めることと、それを既存のビジネスフローにどのように統合させるか、そして今日世に出されているもの、構築されているものの利点をすべて本当に実現することについてになると思います。なぜなら、私にとっては、ビジネスの側面として、これらのツールを彼らの前に置いているわけですが、それは「さて、どうする？」という感じなんです。イノベーションを起こせるはずだということは理解しているけれど、それは何を意味するのか？次のステップをどう踏めばいいのか？ねえ、そこに到達するのを手伝ってもらえますか？という感じです。
そして、ロードマップを設定すればするほど、こうした消化しやすい目標を定義すればするほど、テクノロジーから得られる恩恵は大きくなると思うんです。ですから私としては、今後12ヶ月から18ヶ月の間にそういったことがたくさん起こるだろうと考えています。さあ、テクノロジーを世に出したわけですから、それをどう活用するかについて真剣に議論しましょう、ということですね。
素晴らしい、本当にありがとうございました。お二人とも、素晴らしく洞察に満ちたディスカッションをありがとうございました。来年もまた楽しみにしています。感謝します。ありがとうございました。
※ こちらの記事は Amazon Bedrock を利用し、元動画の情報をできる限り維持しつつ自動で作成しています。
Discussion