MalaysiaのAI導入、アイデンティティ・セキュリティを上回る速度で進行――ManageEngineが警鐘

ManageEngineはGoogle Newsの報道を通じて、Malaysiaでは企業がデジタル・アイデンティティを保護できる速度を上回ってAIエージェントの導入が進んでいると、厳しい警告を発した。

懸念は、企業が使い慣れないソフトウェアを導入していることだけではない。あらゆるエージェント、自動化ワークフロー、マシン統合には、データや業務システムへのアクセスを付与する認証情報が必要となる。その認証情報は、プロジェクト終了後も長く有効なまま残る可能性がある。

Malaysiaはすでに、サイバーセキュリティ、プライバシー、責任あるAIを巡る国家的な枠組みを整備している。現在の衝点は、その政策面での進展と、企業の日常的なアクセス管理との間にある。組織は高水準のガバナンス原則に従いながらも、AIエージェントに恒久的な管理者権限を与えてしまう可能性がある。

この隔たりにより、これは単なるAI導入のニュースではなくなる。Malaysiaのすべての企業に、実務的な問いを突きつけるものだ。現在、そのネットワーク内で行動することを認可されているのは、誰なのか、あるいは何なのか。

ManageEngineの警告が実際に変えるもの

この警告は、企業のAIガバナンスをモデルリスクの議論から、アイデンティティ制御の課題へと転換させる。

元のアイデンティティ・セキュリティ報道は、Tech Wire Asiaが2026年8月3日に公開したものだ。急速なAI導入の過程で見落とされやすい弱点に焦点を当てている。

AIエージェントは、抽象的なアルゴリズムとして企業ネットワークに入るわけではない。通常は、サービスアカウント、トークン、証明書、APIキー、または別のマシン認証情報を与えられる。そのアイデンティティによって、エージェントがアクセスできるアプリケーション、記録、実行可能な操作が決まる。

ManageEngineのJay Reddy氏は同誌に対し、開発者は自律型エージェントを従来型のアプリケーション統合のように扱いがちだと語った。チームは統合の遅れを避けるため、恒常的な管理者権限や広範な特権を持つサービスアカウントを割り当てることがある。

こうした近道はパイロットを前進させる一方で、エージェントの変化するタスク、リスク水準、運用状況を反映しない恒久的なアクセスを生み出す。

自律型エージェントは、ステップを計画し、複数のツールを呼び出し、変化する入力に応答できるため、静的な統合とは異なる。予測可能な単一接続向けに設計された認証情報も、多様な行動を取るソフトウェアに紐づけば危険になり得る。

ManageEngineのアイデンティティ・セキュリティ調査は、この問題をさらに大きな変化の中に位置づけている。非人間アイデンティティには、サービスアカウント、証明書、ボット、ワークロード、アプリケーション秘密情報、AIエージェントが含まれる。多くの企業環境で、これらは支配的なアイデンティティの分類になりつつある。

ManageEngineによると、調査対象組織ではマシン・アイデンティティの数が人間のユーザー数を100対1以上で上回ることが多い。一部の業界では、500対1に近づいている。

これらの数値はMalaysia限定の国勢調査ではなく、ManageEngineの調査に基づくものだ。Malaysiaのすべての企業における実測比率として解釈すべきではない。

それでも、より広範な調査結果は重要だ。数千人の従業員を抱える企業でも、クラウドサービス、社内アプリケーション、自動化プラットフォーム全体に数十万件のマシン認証情報が分散している可能性がある。

ManageEngineはまた、マシン・アイデンティティに包括的かつ自動化されたライフサイクル管理を導入している組織は、調査対象のわずか12%にとどまると明らかにした。残る88%は、マシン規模では機能しにくい手作業または場当たり的なプロセスに依存していた。

ライフサイクル管理には、アイデンティティの作成、変更、監視、廃止が含まれる。アプリケーションの廃止、エージェントの役割変更、認証情報が不要になった際には、アクセスを削除しなければならない。

このプロセスがなければ、放棄されたパイロットが孤立したアカウントを残す可能性がある。アプリケーションはプロジェクトのダッシュボードから消えても、そのアクセストークンは有効なままかもしれない。

問題は、忘れられた認証情報にとどまらない。特に導入チームがスピードを優先する場合、稼働中のAIエージェントがタスクに必要以上のアクセスを継承する可能性がある。

最小権限とは、定義された機能に必要なアクセスだけを付与することだ。エージェントがメール、文書ストレージ、顧客記録、社内データベースにまたがる複数のステップを完了しなければならない場合、これを実現するのはより難しくなる。

したがって、「アイデンティティ・セキュリティ」を掲げるGoogle Newsの見出しは、根底にある問題よりも狭く聞こえるかもしれない。この警告は、調達、ソフトウェア開発、データガバナンス、クラウド・アーキテクチャ、インシデント対応にまで及ぶ。

直ちに必要となる変化は、概念上のものだ。企業はAIエージェントを承認対象の製品としてのみ扱うのをやめ、統制すべきアイデンティティとして扱い始めなければならない。

Google Newsが今このリスクを取り上げる理由

Malaysiaの国家的なAI構想が運用段階に入りつつある一方、多くのアイデンティティ・プログラムはいまだ人間中心のセキュリティ・モデルを反映している。

Malaysiaは政策的枠組みなしにAIへ取り組んでいるわけではない。同国は2024年9月20日、「AI Governance and Ethicsに関する国家ガイドライン」を公表した。

このガイドラインは、公平性、信頼性、プライバシー、セキュリティ、透明性、説明責任、包摂性、人間への利益を網羅する7つの原則を定めている。これらはAIシステムのライフサイクル全体に適用される。

MalaysiaのNational AI Officeは、このガイドラインを自主的なものと位置づけている。新しいAIガバナンス・リソースは、組織が原則を実務へ落とし込むことを支援することを目的としている。

政府はまた、AI Nation 2030の方針の下で、National AI Action Plan 2026–2030を策定している。この計画は、導入、インフラ、人材、ガバナンス、産業界の参加を扱う見込みだ。

これにより、公的機関と民間組織の双方で勢いが生まれている。取締役会は有用な導入を求め、各部門は生産性向上を望み、技術チームにはパイロットを本番環境へ移行する圧力がかかる。

しかし、政策レベルのAIガバナンスと運用レベルのアイデンティティ・ガバナンスは、問題の異なる部分を解決する。

倫理フレームワークは、説明責任、プライバシー、安全性を求めることができる。しかし、文書化されていないAPIキーを自動的に発見したり、パイロット終了後にエージェントのアクセスを取り消したりするわけではない。

MalaysiaのNational AI Officeも、この区別を間接的に認めている。同機関のガイダンスは、モデル開発だけでなく、導入、監視、廃止までを対象としている。

このライフサイクルの視点は不可欠だ。エージェントは組織の当初の承認基準を満たしていても、その権限、接続するツール、運用指示が変わることで、後にリスクとなり得る。

Malaysiaには、特定分野で拘束力を持つサイバーセキュリティ規則もある。Cyber Security Actは2024年6月26日に官報公布され、2024年8月26日に施行された。

同法は、NCIIとして知られるNational Critical Information Infrastructureに関する義務を定めている。また、サイバーインシデント、分野別の責任、一部のサイバーセキュリティ・サービス提供者に対するライセンスも扱う。

この法律はMalaysiaの国家的なサイバーセキュリティ体制を強化する。ただし、各企業が正確な社内資産台帳とアクセス制御を維持する必要性をなくすものではない。

プライバシーに関する義務も強化されている。MalaysiaのPDPA改正では、侵害通知やデータ保護の責任を含む変更が導入された。

これらの規則により、脆弱な認証情報ガバナンスの結果はより重大になる。過剰なアクセス権を持つエージェントは、1つの侵害されたトークンから複数のデータシステムにまたがる露出を招きかねない。

その結果として生じる圧力は、まず最高情報セキュリティ責任者、アイデンティティ担当チーム、クラウド管理者、アプリケーション所有者にのしかかる。可視性を失わずに、より迅速な導入を支えなければならない。

取締役会にも影響は及ぶ。組織がエージェント、その所有者、認証情報、許可された行動を一覧化できなければ、上級リーダーはAIリスクを監督できない。

Malaysiaの現在の政策方針は責任ある導入を促しているが、AIに特化したガイダンスの多くは依然として拘束力を持たない。広範な原則を技術的な統制へ翻訳する責任は、依然として企業が負っている。

これが、このニュースが今取り上げられている理由だ。AI導入は孤立した実証実験の段階を超えた一方、多くの導入を支えるセキュリティ・アーキテクチャは同じ速度では進化していない。

ManageEngineのAIガバナンスに関する見解は、AIをアイデンティティ増加の要因であると同時に、セキュリティチームを支援し得る存在として位置づけている。この二重の役割が対応を複雑にしている。

組織はAIを使ってリスクの高い行動を検出し、アクセスをレビューし、手作業を減らしたいと考えている。同時に、防御目的のAIコンポーネントはすべて、ガバナンスを必要とする認証情報と統合をさらに増やす可能性がある。

この循環は、制御すべきアイデンティティ基盤そのものを拡大するセキュリティ・ツールを生み出しかねない。統合と自動化は必要になるが、慎重な実装も求められる。

したがって、本当の課題はすべてのAIプロジェクトを遅らせることではない。アイデンティティ制御を、それらのプロジェクトの速度と規模に対応させることだ。

AIエージェント対人間中心のアイデンティティ・セキュリティ

Malaysiaの企業における中心的な対立は、AI導入のスピードと、従業員および予測可能なアプリケーションを前提に構築されたアイデンティティ・アーキテクチャとの間にある。

従来のアイデンティティおよびアクセス管理は、認識しやすい人間のイベントから始まる。人が入社し、役割を変更し、アクセスを申請し、やがて退職する。

こうしたイベントは、人事、管理職、IT管理者が関与するワークフローを起動できる。実行に不備があっても、通常は所有者が明確だ。

マシン・アイデンティティは、このパターンに従わない。開発者は1つのプロジェクト中に複数のサービスアカウントを作成できる一方、クラウド・プラットフォームは自動化されたインフラ・プロセスを通じて認証情報を生成する。

AIエージェントはさらに一層の複雑さを加える。1つのエージェントが、言語モデル、社内文書、チケット管理システム、顧客記録、コミュニケーション・ツールへのアクセスを与えられる場合がある。

その役割は、正式な異動がなくても変わり得る。新しい指示や統合によって、元のアカウントが変わらないまま実効的な権限が拡大することがある。

このため、単純なユーザーアカウントの一覧だけではもはや十分ではない。セキュリティチームは、エージェント、認証情報、ツール、データ、所有者、実際の挙動の間にある関係を理解する必要がある。

ManageEngineのIdentity Security Outlook 2026は、大きな認識の隔たりを示した。調査結果によると、上級リーダーの80%は休眠中のマシンアカウントが追跡されていると考えていた。

一方、この確信を裏づけた実務担当者は半数強にとどまった。この差は、現場チームが不完全なカバレッジを認識しているにもかかわらず、経営陣が統制が存在すると信じる可能性を示している。

同じ調査では、調査対象組織の10社に9社がアイデンティティおよびアクセス管理でAIを試験導入または利用していることが分かった。全社規模での導入を報告したのはわずか7%だった。

この隔たりは重要だ。限定的なパイロットでは、AI支援型セキュリティがレガシー・ディレクトリ、クラウド・プラットフォーム、数千のマシンアカウントにまたがって機能することを証明できない。

経営陣の期待も運用面の確信を上回っていた。ManageEngineは、C-suite回答者の68%がアイデンティティ・リスクのモデリングと分析におけるAIについて楽観的だったと報告している。

この用途を実用的だと考えた管理職は27%にとどまった。この調査は、どちらのグループが正しいかを証明するものではないが、予算承認だけでは解決できない導入上の問題を浮き彫りにしている。

ManageEngineのアイデンティティ・セキュリティ調査は、プラットフォーム統合の方向性も示している。調査対象のセキュリティ・リーダーの80%以上が、分断されたアイデンティティ・ツールを統合プラットフォームへ集約していた。

統合により、別々のシステムで管理されている従業員アクセス、特権アカウント、クラウド権限、証明書、アプリケーションシークレットに関する死角を減らせる可能性がある。また、共通のポリシーレイヤーも提供できる。

しかし、統合プラットフォームを購入しただけで、正確なIDインベントリが自動的に作られるわけではない。組織は依然として所有者を特定し、許容される行動を定義し、関連するすべての環境を接続する必要がある。

これが本稿における主な対立軸である。急速なAI導入と、人間中心のアイデンティティ運用との衝突だ。

この対立はManageEngineと他ベンダーの争いではない。Microsoft、CyberArk、Okta、SailPoint、そしてクラウドプロバイダーはいずれも、拡大するアイデンティティ問題の一部に対し、異なる製品を通じて取り組んでいる。

アプローチには違いがあるものの、業界の方向性は似ている。アイデンティティプログラムは、従業員認証からワークロードアクセス、マシンクレデンシャル、継続的認可へと拡張している。

継続的認可とは、状況の変化に応じてアクセス判断を再評価できることを意味する。システムは、要求された操作、データの機密性、クレデンシャルの挙動、現在のリスクを考慮しうる。

これは、一度付与された恒久的な権限よりも、自律型ソフトウェアに適している。正午に請求書を処理するエージェントが、深夜にアイドル状態にある間も同じアクセス権を必要とするとは限らない。

短命なクレデンシャルも、もう一つの対応策となる。これらは短期間で失効し、盗まれたシークレットの価値を抑えられる。

ジャストインタイムアクセスは、特定のタスクで必要な場合にのみ、より高い権限を付与する。攻撃者や誤作動するエージェントが利用できる常時アクセスを減らす。

これらのコントロールは新しいものではない。課題は、セキュリティレビューを使い物にならないボトルネックにせず、急速に作成されるAIワークフローへ一貫して適用することにある。

現実の企業向けエージェントは、社内文書を要約し、回答案を作成し、顧客システムを更新する場合がある。各操作は異なるセキュリティ境界をまたぐ可能性がある。

エージェントに一つの広範なサービスアカウントを与えた場合、調査担当者は、その操作がエージェント、開発者、あるいは同じIDを共有する別のアプリケーションのどれによるものか、判断に苦慮するかもしれない。

専用IDと詳細なログは、行為の帰属を改善する。ただし、チームが管理すべきIDの総数も増加する。

このトレードオフは、手作業によるアイデンティティプロセスが大規模環境で破綻する理由を説明している。説明責任を高めると追跡対象が増え、共有アカウントを減らすことは、多数の個別クレデンシャルの増加を意味しうる。

企業には自動化が必要だが、自動化は検証済みのポリシーに従わなければならない。そうでなければ、人間の管理者よりはるかに速く過剰な権限を再生産しかねない。

ManageEngineのAIガバナンスに関する主張が証明していないこと

この警告は信頼できる構造的リスクを示しているが、マレーシア企業が一様に同じセキュリティ上の失敗を抱えていることまでは立証していない。

最も目を引く数値は、非人間IDと人間IDの比率が500対1に達する可能性だ。読者はこれを慎重に扱うべきである。

ManageEngineによれば、調査対象の一部セクターではその比率に近づいている。同社は、すべてのマレーシア組織が同じ水準を測定しているとは主張していない。

Tech Wire Asiaの記事は、グローバルなアイデンティティ調査結果をマレーシアの導入状況に当てはめている。地域に精通した人物へのインタビューを加えているが、マレーシアのクレデンシャルに関する全国監査ではない。

この区別は重要である。業界ごとに技術環境は大きく異なる。クラウドプロバイダー、銀行、製造業者、病院、小規模小売業者が、同じ速度でマシンIDを作成することはない。

定義によって件数も変わりうる。一部の調査では、証明書、キー、ワークロード、ボット、サービスアカウント、アプリケーションIDを別々の対象として含めている。

一方で、直接認証できるアカウントに焦点を当てる調査もある。定義をそろえずに比率を比較すると、見かけ上の差異を誇張する恐れがある。

ManageEngineはアイデンティティおよびセキュリティ製品も販売している。同社の調査は有用な証拠になりうるが、その商業的立場は明示され続けるべきだ。

最も強い結論は、観察可能なアーキテクチャと一致する知見から得られる。AIエージェントにはクレデンシャルが必要であり、恒久的な特権は露出を増やし、放棄されたアカウントはリスクを生む。

弱い結論は、特定の比率がマレーシア全体を表すというものだ。利用可能な証拠はその主張を支持していない。

ManageEngineのAIガバナンスに関する提言も統合を支持している。統合プラットフォームは分断を減らせる一方で、中央集権化には固有の集中リスクがある。

一つのアイデンティティ制御プレーンが設定ミスを起こしたり侵害されたりすれば、影響は広範に及びうる。組織には、中央集権化されたシステムの周囲にレジリエンス、職務分掌、独立したログ記録が必要だ。

AI支援型アイデンティティ分析にも別の不確実性がある。アルゴリズムは異常なアクセスパターンを検出できるが、誤検知を出したり、正当な自動化に似た行動を見逃したりする可能性もある。

セキュリティチームは、どの判断が助言にとどまり、どの判断が自動的な強制措置を引き起こすのかを理解しなければならない。弱いシグナルに基づいて重要なエージェントをブロックすれば、業務が中断する可能性がある。

逆に、人間のレビューなしにAIシステムがアクセスを承認することを許せば、新しい名前の下で同じ過剰権限付与の問題を再現しかねない。

AIエージェントと、それを支えるモデルの間にもガバナンス上の境界がある。エージェントのツールとクレデンシャルが実行可能な行為を決定する一方、モデルは行動をどのように選ぶかに影響を与える。

企業はモデルテストを実施していても、クレデンシャルのスコープを見落とすかもしれない。別の企業は権限を制限していても、安全でない指示や操作された入力を監視していない可能性がある。

プロンプトインジェクションは、その重なりを示す例だ。これは、悪意あるコンテンツが、AIシステムが処理するデータ内に隠された指示を通じて、その振る舞いを変更しようとすることで発生する。

読み取り専用アクセスを持つエージェントでも、プロンプトインジェクション後に情報を露出させる可能性がある。過剰な権限を持つエージェントなら、レコードの変更、メッセージ送信、管理ツールの呼び出しも行いうる。

アイデンティティガバナンスは、すべてのプロンプト攻撃を防止できるわけではない。ただし、侵害されたエージェントに認可される操作を狭めることで、被害を限定できる。

このことは、最小権限が完全なAI安全性の証明ではなく、封じ込め策であることを意味する。モデル評価、データコントロール、監視、インシデント対応は引き続き必要である。

マレーシアの自主的なAIガイダンスにも同様の限界がある。取締役会やチームに共通の語彙を提供するが、組織はその語彙を強制可能な技術ポリシーへ転換しなければならない。

同国のサイバーセキュリティ法とプライバシー法は、それぞれの適用範囲でより明確な義務を定めている。しかし、侵害後のコンプライアンスは、不必要なアクセスを防ぐことの代替にはならない。

企業は、迅速な導入か厳格な統制かという誤った二者択一にも抗うべきだ。すべてのエージェントに長い手動承認を求めれば、従業員を未承認ツールへ向かわせる可能性がある。

シャドーAIとは、組織による正式な承認なしに利用されるAIサービスを指す。これは、承認済みシステムの外部へデータを移動させ、セキュリティチームが把握できないIDを生み出す可能性がある。

実用的なプログラムは、安全な導入を見つけやすく、利用しやすいものにする必要がある。標準的なクレデンシャルパターン、承認済みコネクタ、自動失効、明確な所有権は、摩擦を減らせる。

ここではナレッジの実践も重要となる。チームには、誰がエージェントを承認したか、どのシステムに到達できるか、なぜそれらの権限が引き続き必要なのかを記録した、アクセスしやすい情報が必要だ。

検索可能な技術ナレッジベースはレビューを支援できるが、文書化だけでアクセスポリシーを強制することはできない。

懐疑的に読んでも、ManageEngineの警告が無効になるわけではない。主張を、証拠が裏付ける範囲に絞るだけである。

マレーシアには、もっともらしく、かつ拡大しつつあるマシンIDリスクが存在する。利用可能な情報源は、全国一律の露出率を確立しておらず、プラットフォーム統合だけで解決できることも証明していない。

このGoogle Newsレポート後に注視すべき3つのシグナル

次の段階は、IDインベントリ、強制可能なアクセスライフサイクル、そして取締役会が実務担当者と同じリスクを把握できることを示す証拠によって測られる。

第1のシグナルは、マレーシアの組織がAIエージェントと非人間IDの完全なインベントリを報告し始めるかどうかである。

インベントリでは、各IDを所有者、業務目的、環境、クレデンシャルの種類、アクセス可能なデータ、失効ポリシーに結び付けるべきだ。こうした関係性なしにアカウントを数えても、保護効果は限られる。

レビューの過程で企業が多数の孤立したクレデンシャルや共有クレデンシャルを発見すれば、このシグナルはManageEngineの警告を強める。インベントリが明確な所有権と限定的な権限を示せば、最も深刻な解釈は弱まるだろう。

このプロセスには、中央の技術チームが作成したエージェントだけでなく、各部門内で組み立てられたエージェントも含めるべきだ。ローコードツールは、従来のソフトウェアリリース管理なしに、業務ユーザーが自動化を導入できるようにする可能性がある。

取締役会に必要なのは、すべてのトークンの一覧ではない。エージェントIDがいくつ存在するか、所有者不明のものがいくつあるか、恒久的な権限を保持するものがいくつあるかを示す、信頼できる指標である。

第2のシグナルは、AIエージェント向けに自動化され、強制可能なアイデンティティライフサイクルが導入されることだ。

組織は、短命なクレデンシャルを発行し、ツールを制限し、挙動をレビューし、ワークフローが変化した際にアクセスを取り消せるべきである。廃止時には、関連するシークレットとサービスアカウントを削除しなければならない。

重要な語は「強制可能」である。エージェントは最小権限を使用すべきだと記したポリシー文書があっても、管理者による恒久的かつ広範なスコープのトークン発行を防ぐことはできない。

自動失効とジャストインタイム権限の証拠は、セキュリティアーキテクチャが追いついていることを示す根拠を強める。手作業のスプレッドシートへの依存が続けば、ManageEngineの懸念を裏付けるだろう。

このシグナルはベンダーの主張も検証する。アイデンティティプラットフォームは、クラウドサービス、社内ディレクトリ、証明書、アプリケーションシークレット、エージェントフレームワークにまたがるカバレッジを示すべきである。

従業員ユーザーだけを示すダッシュボードでは、マシンIDの問題に答えられない。変更を提案するだけで、安全に実装・検証できないAIアシスタントも同様である。

企業は予防と復旧の両方を測定すべきだ。1つのエージェントをどれだけ迅速に無効化できるか、関連するクレデンシャルをローテーションできるか、最近の操作を再構築できるかを把握する必要がある。

第3のシグナルは、マレーシアが国家AI原則をより具体的な説明責任要件へと転換するかどうかである。

National AI Officeは、マレーシアにはまだAI専用法がないとしている。また、AI Governance Billの検討が進められていることも指摘している。

将来の政策では、AI導入者の責任、リスク評価、文書化、セキュリティテスト、継続的な監視が明確化される可能性がある。包括法が成立する前に、セクター規制当局が要件を発行する可能性もある。

新たな規則がエージェントID、アクセス、廃止を明示的に扱えば、本記事の中心的な判断は強まる。運用要件を伴わない一般的な倫理的表現では、企業における隔たりはほぼ変わらないだろう。

規制の進展は、議会が単一のAI法を可決するかどうかだけで測るべきではない。プライバシー執行、NCII義務、調達規則、セクター別ガイダンスはいずれもアイデンティティの実践を形作りうる。

金融サービスと重要インフラの事業者は、最も厳しい監視を受ける可能性が高い。これらのエージェントは、過剰な権限がより深刻な結果をもたらす、機密記録や運用システムとやり取りしうるためだ。

取締役会の対応にも同等の注意を払うべきである。Malaysia’s National AI Officeは、取締役がAI導入を監督する際に役立つことを意図した自主ガイダンスを公開している。

取締役会は、当初のビジネスケースを承認したかだけでなく、組織がエージェントを即座に停止できるかを問うべきだ。また、エージェントの機能が変わった後に誰がアクセスをレビューするのかも問うべきである。

こうした問いは、高水準の説明責任と技術的な証拠を結び付ける。また、ManageEngineの調査で示された、経営層の自信と実務担当者の可視性との隔たりも浮き彫りにする。

開発者にとって、教訓は明白です。認証情報はエージェントのアーキテクチャの一部であり、ローンチ後に見直すデプロイの細部ではありません。

企業の購買担当者は、モデルの精度やワークフロー機能と並べて、アイデンティティのカバレッジを評価すべきです。権限の所在を追跡できない有用なエージェントは、運用上の負債を生み出します。

ナレッジワーカーにとって、この問題はアシスタントがアクセスできる文書やシステムに影響します。ツールの接続範囲が広がるほど利便性は高まりますが、誤った操作や操作されたアクションによる影響も大きくなります。

Google Newsによる報じ方は、次の見出しに置き換われば薄れていくでしょう。しかし、根底にあるアイデンティティの問題は残り続けます。新たな自動アクションが生まれるたびに、認可に関する判断が必要になるためです。

マレーシアはすでに、責任あるAI、サイバーセキュリティ、プライバシーを軸とする政策の方向性を打ち出しています。次の試金石は、組織がこれらの原則を認証情報、ログ、権限取消しの管理に可視化できるかどうかです。

したがって、ManageEngineの警告は、今後数か月にわたる運用上の証拠に基づいて判断すべきです。企業は放置されたエージェントアカウントを見つけているでしょうか。恒久的な権限を置き換えているでしょうか。各マシンアイデンティティの所有者を証明できるでしょうか。

その答えが、マレーシアのセキュリティアーキテクチャがAIへの野心に追いついているかを示すことになります。

次のエージェント導入を承認する前に、ひとつ具体的な問いを投げかけてください。今夜このシステムが予期しない挙動をした場合、組織はその認証情報を特定し、朝までにすべての権限を削除できるでしょうか。