【ITニュース解説】TWOSTONE Sync、Layer8との提携によりAIと人で検証する「ペネトレーションテスト」を提供

株式会社TWOSTONE Syncが株式会社Layer8と業務提携し、サイバーセキュリティ領域に参入、その第一弾としてWebアプリケーションおよびAPI向けの「ペネトレーションテスト」サービスを提供するというニュースは、システムエンジニアを目指す人々にとって、現代のIT社会が直面する重要な課題と、その解決に向けた新しいアプローチを知る良い機会となる。

まず、サイバーセキュリティという言葉について考える。インターネットが社会のインフラとして不可欠な存在となった現在、企業や個人が扱う情報は膨大であり、その価値も非常に高い。しかし、悪意を持った第三者によるサイバー攻撃は後を絶たず、個人情報の漏洩やシステムの停止、サービスの改ざんなど、深刻な被害をもたらす可能性がある。システムエンジニアは、新しいシステムやサービスを開発するだけでなく、それが安全に利用できる状態を維持する責任も担うため、サイバーセキュリティの知識は極めて重要である。

今回提供されるサービスの核心にあるのが、「ペネトレーションテスト」である。ペネトレーションテストとは、直訳すると「侵入テスト」を意味し、その名の通り、実際にシステムに対してハッカーと同じ手法を用いて攻撃を試みることで、システムに潜むセキュリティ上の弱点、つまり「脆弱性」を発見し、評価するテスト手法である。ただ脆弱性を見つけるだけでなく、その脆弱性が実際に悪用された場合にどのような被害が起こりうるか、どの程度の深刻度があるかまでを評価するのが特徴だ。これは、システムが完成した後や稼働中に、客観的な視点から安全性を確認するための重要なプロセスと言える。

テストの対象となる「Webアプリケーション」とは、ウェブブラウザを通じて利用するソフトウェア全般を指す。例えば、オンラインショップやSNS、企業の業務システムなどがこれにあたる。そして「API」とは、Application Programming Interfaceの略で、異なるソフトウェアやシステム同士が互いに情報や機能を利用し合うための「窓口」や「ルール」のことである。現代のウェブサービスは、多くのWebアプリケーションやAPIが連携し合って機能しているため、これらの一つでも脆弱性があれば、システム全体のセキュリティが脅かされる可能性がある。そのため、WebアプリケーションやAPIのセキュリティ対策は、サイバーセキュリティの中でも特に重視される分野となっている。

今回のサービスが画期的なのは、このペネトレーションテストに「AI（人工知能）」を活用している点にある。AIは、膨大なデータからパターンを学習し、人間では見落としがちな微細な変化や複雑な相関関係を高速に分析する能力を持つ。セキュリティテストにおいては、既知の攻撃パターンや脆弱性の兆候を自動で検出し、システムの広範囲を効率的にスキャンすることが可能となる。これにより、テストにかかる時間やコストを削減しつつ、より多くの潜在的な脆弱性を発見する可能性が高まる。特に、WebアプリケーションやAPIが複雑化・大規模化する現代において、AIによる効率的な初期診断は大きな強みとなる。

しかし、AIだけでは不十分な場合もある。AIは学習したデータに基づいて判断するため、未知の攻撃手法や、システムのビジネスロジックに深く関わるような複雑な脆弱性、例えば、特定の操作手順を踏まないと露呈しないような脆弱性の発見は得意ではない。そこで重要となるのが、人間のセキュリティ専門家による「人」の検証である。人間の専門家は、経験と洞察力に基づき、AIが見つけられないような論理的な脆弱性や、実際の業務プロセスを踏まえた上でのリスクを評価できる。AIによる網羅的なスキャンで効率的に多数の脆弱性を検出し、その上で人間の専門家が発見された脆弱性の深刻度を深く分析したり、AIでは見つけられないような高度な脆弱性を探し出したりする。この「AIと人」の組み合わせが、それぞれの強みを最大限に活かし、より網羅的で精度の高いペネトレーションテストを実現するのである。

このサービスを提供するTWOSTONE Syncは、サイバーセキュリティ領域への参入を掲げており、Webセキュリティ技術に強みを持つLayer8との提携は、その戦略の第一歩となる。Layer8が持つAIを活用した高度なWebセキュリティ技術と、TWOSTONE Syncの事業展開への意欲が組み合わさることで、市場に必要とされている高性能なセキュリティサービスが提供されることとなる。

システムエンジニアを目指す上では、技術的な知識だけでなく、開発するシステムが社会に与える影響や、それが直面するリスクについても深く理解することが求められる。サイバーセキュリティはその最たるものであり、AIのような最新技術と人間の専門知識を融合させることで、より安全なデジタル社会を築こうとするこのような取り組みは、これからのエンジニアにとって大いに参考になるだろう。セキュリティ対策は、システム開発の最終段階で行うものではなく、企画・設計段階から継続的に意識し、組み込んでいくべき重要な要素なのである。