ウォルマートのAIセキュリティ戦略：リスク、アイデンティティ、防衛に関する企業の重要な教訓

VentureBeatはこのほど、ウォルマート社のジェリー・R・ガイズラー3世上級副社長兼最高情報セキュリティ責任者（CIO）にバーチャル・インタビューを行い、自律型AIの普及に伴って世界最大の小売企業が直面するサイバーセキュリティ上の課題について探った。

議論の中心は、エージェント型AIシステムのセキュリティ確保、ID管理の近代化、ウォルマートの集中型AIプラットフォームであるElement AIの開発から得られた重要な教訓でした。ガイズラー氏は、AIを活用したサイバー攻撃への対策から、巨大なハイブリッド・マルチクラウド・インフラストラクチャのセキュリティ確保まで、同社がどのように前例のないセキュリティ脅威に対処しているかについて、率直な見解を示した。IDおよびアクセス管理システムの再構築に対する彼の新興企業志向のアプローチは、あらゆる規模の企業にとって貴重な洞察を提供する。

Googleクラウド、Azure、プライベートクラウド環境を横断的に運用するウォルマートのような規模の組織のセキュリティリーダーとして、ガイズラーはゼロトラストアーキテクチャの実装と、彼が言うところの「ガバナンスを伴うベロシティ」（信頼できるセキュリティ環境の中で迅速なAIイノベーションを実現すること）の育成に独自の専門知識を提供している。Element AIの開発中に行われたアーキテクチャの選択は、新興AI技術を統合するためのウォルマートの全体的な戦略に影響を与えた。

以下は、私たちの会話からの抜粋です：

VentureBeat：ジェネレーティブAIやエージェントAIがより自律的に成長する中で、新たな脅威や意図しないモデルアクションに対抗するために、現在のガバナンス構造やセキュリティ安全策はどのように適応していますか？

ジェリー・R・ガイズラー3世（以下、ガイズラー）：エージェント型AIの採用は、従来の防御メカニズムを回避するまったく新しいリスクをもたらします。データの流出、APIの悪用、エージェント間の隠れた連携など、ビジネスの運営を妨害したり、規制要件に違反したりする可能性があります。私たちのアプローチは、高度なAIセキュリティ・ポスチャー・マネジメント（AI-SPM）を通じてプロアクティブで回復力のあるセキュリティを構築し、継続的なリスク監視、データ・セキュリティ、コンプライアンス、信頼を実現することに重点を置いています。

VB: ダイナミックなAI環境では従来のRBACでは限界がある中、ウォルマート社は、きめ細かくコンテキストを意識したデータアクセスを実現するために、ID管理とゼロ・トラスト・モデルをどのように改良しているのでしょうか？

ガイズラー：私たちのような規模の組織では、スタートアップのメンタリティを取り入れたカスタマイズ戦略が必要です。私たちのチームは、一から何を構築するかを頻繁に再検討し、こう問いかけます：「もし今日から始めるとしたら、アイデンティティ・アクセス管理（IAM）はどうなるだろうか？IAMは過去30年間で大きく進化し、私たちはIAMスタックを近代化し、複雑さを合理化することに重点を置いています。ゼロ・トラストとは異なりますが、最小権限の原則を堅持しています。

MCPやA2Aのようなプロトコルの進化と採用は、現実のセキュリティ上の懸念に対処し、詳細で文脈に応じたアクセス制御の実装に役立つからです。これらのプロトコルは、短命で検証可能なクレデンシャルを使用したリアルタイムのアクセス決定をサポートし、ID、データ分類、リスクを継続的に評価する。これにより、すべてのエージェント、ツール、リクエストが一貫して検証され、ゼロ・トラストの原則が完全に具現化されます。

VB：Google、Azure、プライベートクラウドを利用するWalmartのハイブリッド・マルチクラウド設定は、AIワークロードのZero Trustセグメンテーションとマイクロセグメンテーション戦術にどのように影響していますか？

ガイスラー氏当社のセグメンテーション戦略は、ネットワークの場所ではなく、アイデンティティに依存しています。アクセス・ポリシーは、クラウドとオンプレミスの環境を問わず、ワークロードに一貫して適用されます。MCPやA2Aのようなプロトコルの進歩のおかげで、サービスエッジの施行は標準化されつつあり、ゼロトラストの均一な適用が可能になっています。

VB：AIによって、説得力のあるフィッシング・キャンペーンのような、より高度な攻撃が可能になる中、ウォルマートでは、こうした進化する脅威を特定し、無力化するために、どのようなAIを活用した防御策を導入しているのでしょうか？

ガイズラー：ウォルマートでは、特にAIがサイバーセキュリティの領域を変革する中で、新たな脅威を予測し、それに対抗することに全力を注いでいます。悪意ある行為者が、非常に説得力のあるフィッシング・キャンペーンを展開するためにジェネレーティブAIを採用することが増えている一方で、当社は同じテクノロジーを使って敵対的な攻撃をシミュレートし、プロアクティブなレジリエンスを構築しています。

私たちは、セキュリティ・システム全体に高度な機械学習を組み込み、通常とは異なる行動を特定し、フィッシングの試みにフラグを立てています。検知だけでなく、生成AIを使用して攻撃シナリオをモデル化し、大規模なレッドチーム演習を通じて防御を厳密にテストしています。

人とAIを慎重に統合することで、私たちはデジタル・エコシステムが進化する中で、社員と顧客を守る手助けをしています。

VB：エレメントAIは、オープンソースのAIモデルを幅広く活用しています。また、企業レベルのセキュリティ・アプローチにどのように対応していますか？

ガイズラー：私たちは、ネットワークの場所ではなく、IDに基づいてセグメンテーションを行っています。アクセス・ポリシーは、クラウドとオンプレミスの両方の環境で一貫して適用されます。MCPやA2Aのようなプロトコルが普及するにつれて、サービスエッジの施行は標準化されつつあり、ゼロトラストが統一的に実施されるようになっています。

VB：ウォルマートがグローバルで常時稼働していることを考えると、同時多発的に発生するサイバーセキュリティ・インシデントを管理するために、どのような自動化システムや迅速な対応システムを導入しているのでしょうか？

ガイズラー＞ウォルマートのような規模で事業を展開するには、迅速でシームレスなセキュリティが必要です。当社では、インシデント対応プログラムの複数のレイヤーにインテリジェントな自動化を組み込んでいます。SOARプラットフォームを活用することで、地域横断的に対応ワークフローをオーケストレーションし、迅速な脅威の封じ込めを可能にしています。

また、継続的なリスク評価や、重大性に基づく対応の優先順位付けにも自動化を大いに活用しています。これにより、当社のリソースが最も必要とされる場所に確実に割り当てられます。

熟練した従業員と迅速な自動化、そして実用的なコンテキストを連携させることで、ウォルマートが求めるスピードと規模で効果的なセキュリティを実現しています。

VB：ウォルマートでは、進化するAIと脅威の環境に対応できるサイバーセキュリティの専門家を惹きつけ、育成し、維持するために、どのような戦略をとっていますか。

ガイスラー当社のLive Better U（LBU）プログラムは、従業員に手頃な価格で、多くの場合は無料で教育を提供し、サイバーセキュリティやITに関する学位や資格の取得を可能にしています。これにより、さまざまな経歴を持つ社員がスキルアップするための明確な道筋を得ることができます。カリキュラムは、ウォルマートのセキュリティ要件に直接適用する実践的な学習に重点を置いています。

また、毎年開催されるSparkCon（旧Sp4rkCon）では、第一線で活躍する専門家による講演や質疑応答が行われます。このイベントでは、サイバーセキュリティにおける最新の開発、技術、テクノロジー、脅威について探求し、参加者のネットワーキングとキャリアアップの機会を創出しています。

VB>エレメントAIの開発を振り返って、サイバーセキュリティやアーキテクチャに関するどのような重要な洞察が、新たなAI技術をいつ、どのように一元化するかという決定を形成したのでしょうか？

ガイズラー：それは重要な質問です。今日の私たちのアーキテクチャー上の決断が、何年にもわたって私たちのリスクプロファイルを定義することになります。一元化されたAIプラットフォームの開発において、私たちは2つの重要な教訓を得ました。

第一に、一元化は "ガバナンスを伴うベロシティ "を大いにサポートする。AI開発のための統一された合理的な経路を確立することで、データサイエンティストの複雑さを軽減します。また、セキュリティの観点からは、単一のコントロール・プレーンが構築されます。私たちは最初からセキュリティを組み込み、統一されたデータプラクティス、モデルレビュー、出力監視を保証します。これにより、信頼できるフレームワークの中で、イノベーションを迅速に推進することができる。

第二に、「集中的な防御と専門知識」が可能になる。AIの脅威環境は急速に変化している。AIセキュリティのスペシャリストを複数の独立したプロジェクトに分散させるのではなく、集中化することで、トップクラスの人材と最も効果的な防御を重要なポイントにプールすることができます。コンテキストに応じたアクセス制御、迅速なモニタリング、データ損失防止などの高度なセキュリティ機能を実装し、改良することができます。