SBIホールディングスの生成AI活用による業務変革と動的防御の必要性、自社環境での認証基盤とセキュリティ基準の見直し

解説

金融大手グループが、生成AIを活用した全社的な業務変革（AX）に取り組んでいることが話題となっています。これは単なるツールの導入に留まらず、「AIドリブン化」「Web3によるオンチェーン化」といった複合的な戦略に基づいています。

その過程で様々な業務を自動化する「AIエージェント」の導入が進むことで、従来のセキュリティモデルでは対応しきれない状況が生まれてきます。システムへのアクセスやデータ処理が増加するため、より高度な管理が必要になると考えられます。

ポイント

• SBIグループがClaudeを活用した全社的なAIドリブン化（AX）による業務変革を進めている。
• 戦略として、生成AIに加えWeb3や新規メディア事業の創設も掲げ、複合的なデジタルエコシステム構築を目指している。
• 高度なAI利用に伴うリスクに対応するため、「動態」の変化に追従する継続的なセキュリティ監視体制を構築している。

情シスへの影響

【AI活用と自動化プロセス】

• 業務フローや内部システムのAPI連携、データ処理の仕様変更が想定されます。部門横断的なワークフロー自動化ツールの導入・管理が必要になります。

• AIエージェント開発に伴い、RPAツールやボットによるシステムからの操作が増加するため、認証認可メカニズムや監視ログの強化が必要です。

【セキュリティ体制と防御システム】

• 従来の静的な防御（パッチ適用やファイアウォールルール変更など）だけでは対応できず、継続的な脅威ハンティングやAIを活用した異常検知機能が求められます。

• EVERSPINのような動的パスワード技術や認証情報を扱うシステムの導入・統合が必要になる可能性があります。これはID管理基盤（AD/Entra等）の大きな改修を伴う場合があります。

• 全社的にAIセキュリティ基準が策定されるため、開発ライフサイクル全体（SDLC）にわたる新しいセキュリティゲートウェイの設定と運用フロー確立が必要です。

影響範囲

全システム・全部門

影響範囲：業務プロセス全般、顧客対応システム（特にAPI連携やワークフロー）、ID管理基盤、認証認可機構。

対象領域：クラウドプラットフォーム上での自動化処理、Web/モバイルアプリケーションのセキュリティ、各種ログおよび監視システム。

重要度

★★★★☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者
• Entra管理者

優先度

早めに対応

優先度の理由

AIによる業務自動化や、動的な防御システムへの移行は、単なる新機能導入ではなく、認証基盤や監視体制などインフラレベルの大きな設計変更を伴うため。悪用が確認されている脆弱性の修正ではないものの、業界最高水準のセキュリティへの移行は早期検討と計画が必要であり、情報収集段階から次のアクションに繋げる必要があります。

確認手順

• 利用中のID管理システム（AD/Entra等）において、動的な認証要素や継続的認証メカニズムが導入可能か調査する。
• ワークフロー自動化ツールおよびRPAのログ監視範囲を再定義し、異常検知ルールを追加設定するか検討する。
• AIを活用したセキュリティ診断プロセスについて、ベンダー提案書や設計ガイドラインを確認する。
• 外部連携システム（特に顧客対応チャネル）におけるデータフローとアクセス権限を棚卸し行う。