はてなブックマーク

2024年4月に実施した日本における生成AI実態調査から枠を広げ、同じ調査項目を用いて米国での生成AIに関わる実態調査を2024年5月に実施しました。本レポートでは日本と米国の活用、ガバナンス実態の比較を行っています。日本企業は生成AIを既存業務効率化に適用することで人手不足解消や人員削減を行い短期的なコスト効果創出に注力しているのに対して、米国企業は生成AIならではの新しい顧客体験を創出しながら、得られた効果を新規事業へ投資し、イノベーションサイクルを回すことで、新たなビジネスを生み、持続的な企業成長と競争優位性を担保することを狙っています。生成AIを活用した新規事業創出や価値創造のために、今後、日本企業は、挑戦する人材に権限を与え、リスク管理を徹底し、マネジメント層のリソースを高付加価値業務へシフトする必要があると考えられます。 はじめに PwC Japanグループは、「生成AIに関す

高度なセキュリティ対策を実施していると思われる組織であっても、遠く海外の攻撃者からインターネットを通じたサイバー攻撃により組織内部のネットワークに深く侵入され、重要な情報が搾取されたり、システムが止められたりすることが連日、報道されています。このような報道を目にして、いつ自分の組織がこのような事態になるかもしれないと考えている経営者は少なくないのではないでしょうか。経営のテクノロジーやサイバー空間への依存度がますます高まっている現在においては、それが適切な感覚と言えるでしょう。 サイバーセキュリティへの対応は、いつ、何が起こるかわからないという不確実性に対するマネジメントの一要素と言えます。毎年の初めに世界経済フォーラム（World Economic Forum）から発表される「グローバルリスク報告書」においても、サイバー攻撃は発生可能性が高いリスクとして常に注目されています。 サイバーセ

2023年10月の前回調査から半年の期間が経過した今回の実態調査では、関心度・推進度が継続して高い水準を維持しており、各社、効果創出に向けた試行錯誤の時期に入っていることが推察される結果となりました。一方で、得られた生成AIの活用効果に対する当初期待値との差分を問う質問については、「期待を大きく上回る成果を上げた」と「期待を下回る結果になった」とで回答が分かれてきており、生成AI活用による成果の二極化の兆しが感じられます。 生成AIで期待を超える成果を生み出している企業は、生成AI技術の可能性とその技術活用により起き得る未来を経営層が理解して経営ビジョンに組み込んでいること、また、既存業務の効率化にとどまらない業界構造変化を意識した目線の高さを持って、適切な投資を促し早期から活用を推進していることがうかがえます。また生成AIをどういった業務で活用するのかといった「ユースケース設定」が、生成

「自治体のクラウドジャーニーの成功に向けて今なすべきこと」と題して、自治体におけるガバメントクラウド移行の“これまで”と“これから”を考察する全5回の連載コラムです。前回までのコラムもどうぞご覧ください。 第1回 旅路の始まり 第2回 自治体と金融機関の“クラウドジャーニー”の違いを考察する 自治体のクラウドジャー二ーの中で取り残されるコスト削減の取り組み 本連載「自治体のクラウドジャーニーの成功に向けて今なすべきこと」の第2回では、金融機関における取り組みと比較することで、“自治体のクラウドジャーニー”において求められる「移行期限」と「移行対象」という2つの特異な点がクラウドのメリットを十分に享受する上での大きな阻害要因となっていることを明らかにしました。 一般的に、システム開発やシステム移行を進める際は、発注者とシステム開発者はQCD（Quality（品質）、Cost（コスト）、Del

他業界のクラウドジャーニーに目を向ける 本連載「自治体のクラウドジャーニーの成功に向けて今なすべきこと」の第1回では、ガバメントクラウド移行に関して、国が考えている真の狙いと現状を整理しました。現時点ではガバメントクラウド移行により期待されたコスト削減効果は十分なレベルに至っておらず、その背後には“さまざまな要因”が潜んでいることが伺えるという状況でした。 この“さまざまな要因”の真相に迫るにあたっては、他業界における一般的な“クラウドジャーニー”の様子を知り、ガバメントクラウド移行の特異な点を明らかにすることがポイントとなるとPwCコンサルティングは考えます。 では、どの業界の“クラウドジャーニー”を参考とするのがよいでしょうか。業界を選ぶ観点として、業務特性およびシステム特性の類似性に着目しました。 自治体業務は地域コミュニティとの連携が求められます。全国約1,700の自治体の各地域に

自治体のクラウドジャーニーの羅針盤 現在、全国の自治体において、大規模なクラウド移行が進んでいます。具体的には、まず2021年9月1日に「地方公共団体情報システムの標準化に関する法律」が施行されました。この中で、全国の自治体は、標準化対象20事務 について標準化基準に適合した情報システム（標準準拠システム）を利用することが義務付けられました。また、2022年6月7日に閣議決定された「デジタル社会の実現に向けた重点計画」を受け、全国の自治体はガバメントクラウドを活用した標準準拠システムへ円滑かつ安全に移行できる環境を原則2025年度末までに整備するよう、さまざまな取り組みを進めています。 自治体に限った話ではありませんが、組織におけるクラウド移行の様子は“クラウドジャーニー”と表現されます。クラウドへの移行、そしてその後の利活用の様子は、まさに“ジャーニー＝旅”という表現が適しています。皆さ

「サイバーセキュリティおよびプライバシー情報開示」に関する日米投資家の意識調査2024 ――米国投資家の9割が「サイバーセキュリティ情報開示」を投資判断の1つとして捉え、「取締役会の関与状況」を最も注視 はじめに 現代のビジネスにおいて「サイバーセキュリティ」は重要課題です。とりわけサイバーインシデントは、企業の業績、信用、評判にマイナスの影響を及ぼすだけでなく、投資家にも損失をもたらします。このため、世界の投資家や格付け機関において、企業のセキュリティリスク評価への関心*1が急速に高まっており、近年、各国政府機関においても投資家との対話機会創出のため、サイバーセキュリティやプライバシーに関する情報開示の規制やガイドラインを強化する傾向にあります。米国においても、米国証券取引委員会（SEC）が2023年7月に公開した新たなサイバーセキュリティ開示規則*2が、同年12月より順次適用*3されて

はじめに NIST（National Institute of Standards and Technology、米国立標準技術研究所）のサイバーセキュリティフレームワーク（以下、CSF）は、組織がサイバーセキュリティリスクを適切に管理するための手引きとなるベストプラクティスを提供しています。 2024年2月に発表されたCSF バージョン2（以下、CSF 2.0）では、バージョン1.1（以下、CSF 1.1）から重要な改定が行われました。これまで「国家や経済の重要なインフラに対するサイバーセキュリティ」を目的としていたものから、「全ての規模・全てのセクターの組織で利用される目的」にその対象を拡大しました。 今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました。以下よりダウンロードいただけます。 グローバルにビジネスを展開する組織は、最新の

2023年5月の前回調査から半年の期間が経過した今回の実態調査では、生成AIに対する認知・推進度合いが大幅に向上し、生成AIの急速な普及を実感する結果となりました。一方で生成AI活用推進のモチベーションが「他社に負けないこと」にあることや、多くの企業が人材・ノウハウ不足に直面していることなど、新たな課題も見えてきました。また、半数以上の回答者が今後1年以内の生成AI本格導入を検討しており、生成AI活用による成果が問われるタイミングが訪れていることも明らかとなりました。日本企業が生成AIを効果的に活用し、国際的に競争力を持つためには、単なる業務効率化を超えた価値創造の模索やそのための業務プロセスそのもの見直し、人材の育成、ガバナンス体制の整備などが重要と考えられます。 はじめに 2023年5月に前回の実態調査を公表して以来、さまざまな生成AIのツールやアプリの登場、G7広島サミットでの広島A

はじめに EPSS（Exploit Prediction Scoring System）は、脆弱性対応の優先度を判断するための指標としてFIRST（Forum of Incident Response and Security Teams）によって開発されている仕組みで、今後30日以内に脆弱性が悪用される蓋然性を一定の計算式によって算出するものです。脆弱性管理においてしばしば用いられるCVSS（Common Vulnerability Scoring System）が脆弱性そのものの深刻度を評価するのに対して、EPSSはあくまでも蓋然性のみを算出する全く別の仕組みです。EPSSは2019年8月に開発が開始され、2022年2月に現在のメジャーバージョンであるEPSS v2が公開されています。その後も日々スコアリングのロジック改善が行われています。 本稿ではEPSS v2について、その仕組みや

CVSS（Common Vulnerability Scoring System）は、脆弱性管理における基本的な仕組みとして広く利用されており、業界全体のデファクトスタンダードになっています。CVSSはFIRST（Forum of Incident Respones and Security Teams）内に設置されたCVSS-SIG（Special Interest Group）1によって策定され、2023年7月現在の最新バージョンは3.1となっています。2023年6月に次バージョンである4.0のパブリックプレビュー版2が公開されており、寄せられたコメントをレビュー・反映した後、2023年10月を目途にバージョン4.0の公開が予定されています。本稿ではパブリックプレビュー版に基づいて、現行のバージョン3.1との変更点を解説します。また、SSVC（Stakeholder-Specific

2023年6月、欧州連合（EU）欧州議会本会議で欧州における「AI規則案」が採択されました。生成AIを含めた包括的なAIを対象とし、初の国際的なAI法案ともいえる本法案の枠組みを紹介するとともに、企業への影響と求められる対応について考察します。 はじめに（背景） 2023年6月14日、生成AIを含む包括的なAIの規制案である「AI規則案」が、欧州議会の本会議において賛成多数で採択されました。今後理事会との調整を行い、早ければ年内の合意を目指すことになります。 欧州委員会は2年前にも規制案を発表していましたが、生成AIの急激な進化と普及を受け、生成AIに関する考え方や要求事項が追加で盛り込まれた形となっています。 本規制では、AIを特性別にカテゴライズし、そのリスクレベルに応じた規制が適用されることになります。他の欧州規制同様に、欧州市場に関係する日本企業をはじめ、域外企業が提供するAIも対

社会のあらゆる場面でAIが活用され始めた昨今、AIリスクを起因とするインシデント事例が世界的に増加しています。これに対応するため、国際機関や各国政府はAIリスクに対応するための原理原則や中間的ルールの整備を進めています。 世界的に増加するAIインシデント 産業界におけるAIの活用は大きく進展しており、消費拡大と生産性向上の2つの側面でグローバル経済に大きく貢献する見込みとなっています。2030年までのAIの世界的なGDPへの影響は、15.7兆ドルになると予想されており、その内訳は消費拡大によるものが約60%、 生産性向上によるものが約40%程となる見込みです1。特に米国・中国におけるAI活用によるGDPへのインパクトが大きく、日本においても、2030年までに実質GDPの約18.2%(132兆円、2016年比)の押し上げ効果が期待されています2。 一方、AIの社会実装が進む中で、AIリスクを

はじめに 2022年1月にPwC Japanグループは企業のAIの取り組み内容や活用状況に関して、日本では第3回目となるAI予測調査を行いました。調査結果から見えてくるトレンドと、今後AI推進のために企業が取り組むべき課題とアクションについて考察を行っています。 今回の調査はWebアンケートを通じて、売上高500億円以上でAIを導入済み、または導入検討中の企業の部長職以上300名を対象に実施しました。比較対象となる米国の調査1は、2022年1月にWebアンケートを通じて、1,000名の企業幹部に対して調査を実施しています。 新型コロナウイルス感染症（COVID-19）が長引き、苦しい経営状況に直面している企業もある中、今回の調査を通じて、日本のAI活用が非常に明るい方向に進んでいることが2つのトレンドで見えてきました。1つは、米国ではAI活用に進捗が見られない中、日本では確実に活用企業が増

日本を牽引する企業・組織のセキュリティ責任者をお招きし、サイバーセキュリティとプライバシーをめぐる最新の取り組みを伺った「Digital Trust Forum 2022」。本シリーズでは各セッションをダイジェストで紹介します。 近年はリモートワークの導入により、場所にとらわれない働き方が広く浸透してきました。いつでも、どこからでも、どのデバイスからでも業務システムにアクセスできる環境は、働き方の多様化に大きく貢献しました。しかし、同時に懸念されるのが、システムの不正利用や情報流出のリスクです。特に最近では内部者によるセキュリティ脅威が増加しているといいます。その背景には何があるのでしょうか。本セッションでは、ソフトバンク株式会社で執行役員 兼 CISO テクノロジーユニット サイバーセキュリティ本部 本部長を務める飯田唯史氏を迎え、内部不正によるサイバー犯罪の動向や背景を伺うとともに、ソ

SSVC（Stakeholder-Specific Vulnerability Categorization）を活用した脆弱性管理 セキュリティ上の脆弱性は日々新たに発見、報告、公開されており、年々そのペースは増加しています。企業は自社のIT環境、工場・設備などのOT環境、自社製品のセキュリティ対策に取り組むにあたり、こうした脆弱性情報を収集し、影響評価を行ったうえで適切な対処を行うことが必要です。 このような脆弱性情報の取り扱いについてはCVE（Common Vulnerability Enumeration）が広く利用されており、脆弱性ごとに一意なIDが割り当てられています。また、米国国立標準技術研究所（NIST）が管理・運営するNational Vulnerability Database（NVD）では、CVE-IDごとにCVSS（Common Vulnerability Scori

中国では2017年のサイバーセキュリティ法の施行を皮切りにデータセキュリティ法、個人情報保護法などの制定・改正が相次いで行われており、中国国内でビジネスを展開する日本を含む海外企業のコンプライアンスリスクが増大しています。こうした流れの中で、サイバーセキュリティ法のネットワーク脆弱性管理の関連規定に基づき、「ネットワーク製品のセキュリティ脆弱性管理に関する規定」が2021年9月1日に施行されました。 本稿では同規定の施行を受けて想定されるリスク、また米国、中国、欧州と日本におけるセキュリティ脆弱性管理の状況を整理し、今後日本で求められる取り組みについて考察します。 中国にとっての脆弱性管理の重要性 中国にとってデータの重要性は年々高まっています。中国国家標準化管理委員会（SAC）の「情報セキュリティ技術サイバーセキュリティ脆弱性管理仕様書」（信息安全技术网络安全漏洞管理规范）*1には、脆弱

2020年8月、米国国立標準技術研究所（NIST）が「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ（以下、本書）」を正式公開しました。今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました（以下よりダウンロードいただけます）。 ゼロトラスト･アーキテクチャとは概念であり、また十分に成熟した領域とは言えないため、内容を正しく理解することは容易ではありません。ゼロトラスト・アーキテクチャは製品／ベンダーによって多様な実現方法があるのが実態ですが、対応したソリューションの1つを導入したとしても、ゼロトラスト・アーキテクチャを実現できる訳ではありません。 本書のポイントとして、ゼロトラストの定義や7つの理念を紹介している点が挙げられます。この定義と理念をNISTが整理したことで、ゼロトラストに関する共通