タイ企業の間でAI（人工知能）の業務活用が急速に広がる一方、セキュリティ対策がそのスピードに追いついていない実態が明らかになった。IT管理ソフトを手がけるManageEngineは10月31日、タイの法人を対象にAIによるサイバーリスクへの対応強化を呼びかける発表を行った。
広がるAI活用と遅れる対策
タイのデジタル経済振興機関（ETDA）の調査によると、回答した企業の17.8％が既にAIを業務で使用しており、73.3％が今後の導入を計画している。一方で、AIを使用している企業の平均的なリスク対応準備度は55.1％にとどまり、段階としては「認識（Aware）」止まりだという。利便性の高さから導入が先行し、管理体制の整備が後回しになっている構図がうかがえる。
特に警戒されているのが、タイのサイバー緊急対応チーム「ThaiCERT」が注意を呼びかけている、AIエージェントによって動作するランサムウェア「JADEPUFFER（ジェイドパファー）」の存在だ。従来型のランサムウェアと異なり、AIが攻撃の判断や実行を担うことで、組織側が検知や対応に使える時間が限られるという。ThaiCERTは、AIサービス自体の脆弱性を悪用されると、利用者が気づかないうちに重要なデータが外部に抜き取られるおそれがあると警告している。
企業に求められる具体的な対策
ManageEngineは、タイ企業がまず取り組むべき対策として、従業員がどのAIツールを使い、どのデータにアクセスしているかを可視化し、未承認のアプリや自動処理を把握することを挙げる。機密情報や個人情報、独自のソースコードが未承認のツールへ送られないよう管理することも欠かせない。技術的には、統合エンドポイント管理（UEM）でポリシーを適用し、SIEM（セキュリティ情報イベント管理）で活動を監視する仕組みに加え、必要最小限の権限だけを必要な期間だけ付与する「ゼロトラスト」の実践、フィッシング耐性のある認証や多要素認証（MFA）、特権アクセス管理（PAM）の導入が推奨されている。
ManageEngineの地域テクニカル責任者ナッタウィット・ウォンシットティロート氏は、10月がタイでのサイバーセキュリティ意識向上月間であることに触れつつ、従業員教育だけでは不十分だと指摘する。タイの大手銀行も、デジタルエコシステムが複雑化する中で自社の責任範囲を切り分けることが難しくなっていると述べており、攻撃を完全には防げないという前提のもと、検知・影響評価・対応・事業継続を重視する「レジリエンス」の確保が今後の課題になるとされている。