登録番号：025036
セキュリティサービス（セキュアブラウザDoCAN）の企画とマーケティング／営業。
株式会社コネクトワンの代表取締役として、セキュリティサービスの開発・提供や、中小企業向けのセキュリティ支援に取り組んでいる吉田晋様。
早稲田大学理工学部を卒業後、株式会社本田技術研究所に入社し、約14年間にわたってオートバイの開発などに携わりました。2000年には株式会社いいじゃんネットの設立に創業株主の一人として参加。その後、2005年に株式会社コネクトワンを設立し、代表取締役社長に就任しました。
現在は、セキュアブラウザ「DoCAN（ドカン）」の開発・販売をはじめ、セキュリティ診断やセキュリティポリシーの策定、中小企業向けのコンサルティングなどを行っています。また、YouTubeチャンネル「よしだセキスペch」を通じ、企業のセキュリティ対策に役立つ情報も発信しています。
吉田様のセキュリティ支援の土台となっているのが、本田技術研究所時代に身につけた「FTA（Fault Tree Analysis）」というリスク分析の手法です。FTAとは、発生する可能性があるリスクを細分化し、その原因や発生経路を論理的に整理することで、どの部分から優先的に対策すべきかを明らかにする方法です。
吉田様はこの考え方をITセキュリティに応用し、独自の分析手法である「ゼロトラストFTA」を考案しました。ゼロトラストを前提に企業のセキュリティリスクを洗い出し、効果の高い対策から実施できるようにすることで、予算や人材が限られている中小企業を支援しています。
さらに現在は、ChatGPTやClaudeなどの生成AIを活用し、中小企業の人材不足を補いながらセキュリティ対策を進める方法にも注目しています。
今回は、これまでの経歴や情報処理安全確保支援士を取得した理由、ゼロトラストFTAを活用した支援に加え、生成AIを利用した「デジタルカルテ」の構想、AIとセキュリティ専門家の役割分担について伺いました。
これまでのご経歴について教えてください
早稲田大学の理工学部を卒業後、株式会社本田技術研究所に入社し、オートバイの開発などに約14年間携わりました。
本田技術研究所では、製品やシステムに潜むリスクを洗い出す「FTA」という分析手法を利用していました。オートバイや自動車、飛行機など、安全性や信頼性が求められる製品について、どのような問題が、どの程度の確率で発生する可能性があるのかを分析する方法です。
2000年には、株式会社いいじゃんネットの設立に創業株主の一人として加わりました。その後、2005年に株式会社コネクトワンを設立し、代表取締役社長に就任しました。
現在は、セキュアブラウザ「DoCAN」の開発・販売を中心に、セキュリティ診断やセキュリティポリシーの策定、中小企業向けのセキュリティコンサルティングなどを行っています。
本田技術研究所で学んだFTAの考え方をITセキュリティへ応用したものが、当社独自の「ゼロトラストFTA」です。企業に潜んでいるリスクを見える化し、限られた予算のなかで、効果の高い対策から優先的に実施できるよう支援しています。
セキュリティ分野に進んだきっかけを教えてください
株式会社コネクトワンで開発している「DoCAN」が、情報漏えい対策を目的としたセキュリティ製品であることから、セキュリティ分野へ本格的に関わるようになりました。
FTAを使えば、セキュリティリスクを細分化し、対策によってリスクをどの程度減らせるかを整理できます。しかし、当初は当社独自の考え方であったため、企業から十分な信頼を得ることが難しい面がありました。
そこで、セキュリティについて体系的に学び、自分たちの考え方が適切であるか確認するとともに、対外的な信頼性を高めたいと考えました。これが、情報処理安全確保支援士の資格取得を目指した理由の一つです。
情報処理安全確保支援士を取得した理由を教えてください
自分が考案した「ゼロトラストFTA」の方向性が正しいのかを確認したかったことに加え、セキュリティサービスを提供する立場として、国家資格による信頼性を得たいと考えたためです。
資格取得に向けては、社内のエンジニアと二人で勉強しました。お互いに問題を出し合い、分からないことを説明し合うことで、学習へのモチベーションを維持できました。
自分一人で覚えるだけでなく、相手に説明することで理解が深まり、結果として二人とも合格できました。資格取得後は、セキュリティの専門家として企業から信頼してもらいやすくなったと感じています。
また、資格取得のために学ぶなかで、ゼロトラストFTAの考え方が間違っていないことも確認できました。その後、中小企業へのコンサルティングを通じて、基本的な対策が十分に実施されていない企業が多いことや、セキュリティ対策を進めたくても触れられない「アンタッチャブルゾーン」が存在することにも気づきました。
こうした経験から、中小企業が取り組みやすいセキュリティ支援を提供するという、現在の方向性が明確になりました。
現在、企業から特に注目されているテーマは何ですか？
現在の旬は、やはりAIだと思います。
大企業だけでなく、多くの中小企業が「AIを自社の業務にどのように活かせるか」を考え始めています。むしろ、人材や予算が限られている中小企業の業務にこそ、AIは合っているのではないでしょうか。
中小企業では、一人の担当者が複数の仕事を兼務しているケースが少なくありません。情報システムの専任担当者がおらず、総務や経理の担当者がパソコンやネットワークの管理まで行っていることもあります。
このような環境では、何かトラブルが発生しても、すぐに原因を特定できる人が社内にいるとは限りません。AIを活用すれば、分からないことを質問し、問題を整理するところから始められます。
専門家に相談する前の一次相談としてAIを利用するだけでも、担当者の負担を大きく減らせる可能性があります。
中小企業とAIはなぜ相性がよいのでしょうか？
最大の理由は、中小企業が抱えている人材不足を補えることです。
中小企業では、ITやセキュリティに詳しい人材を新たに採用することが難しく、採用できたとしても相応の人件費がかかります。その一方で、サイバー攻撃や情報漏えいへの対策は、企業規模にかかわらず求められています。
AIに状況を説明すると、問題の原因として考えられることや、確認すべき項目、解決するための手順などを提示してくれます。エラーメッセージやログの内容を入力すれば、その意味を分かりやすく解説してもらうこともできます。
必要なコマンドを質問したり、実行結果を読み解いてもらったりすることも可能です。これまで専門知識がなければ対応が難しかった作業についても、AIの支援を受けながら進められるようになっています。
もちろん、AIの回答が必ず正しいとは限りません。しかし、何も分からない状態から調査を始めるのと、AIに問題を整理してもらってから調査するのとでは、担当者にかかる負担が大きく異なります。
AIをシステムトラブルの解決に利用することもできますか？
活用できると思います。
ある会社では、これまで使用できていたIT機器やシステムが、突然つながらなくなったというトラブルがありました。このような場合、ネットワーク、端末、設定、認証、接続先のシステムなど、さまざまな原因が考えられます。
ITに詳しい担当者がいなければ、何から確認すればよいのか分かりません。AIに発生している症状やエラーメッセージ、直前に行った操作などを伝えると、原因を切り分けるための質問や確認手順を提示してもらえます。
例えば、「この設定を確認してください」「このコマンドを実行してください」「表示された結果のこの部分を確認してください」といった形で、対話しながら調査を進めることができます。
ただし、AIが示したコマンドを内容も確認せずに実行するのは危険です。重要なデータを削除したり、セキュリティ設定を弱めたりするコマンドが含まれていないか確認し、必要に応じてバックアップを取ったうえで実行しなければなりません。
AIは便利な相談相手ですが、最終的な判断や作業の責任まで引き受けてくれるわけではありません。リスクの高い作業については、専門家に確認することが必要です。
中小企業はどのようなAIサービスを利用すればよいですか？
業務で利用するのであれば、無料サービスではなく、法人・ビジネス向けのAIサービスを契約して活用してほしいと思います。
無料の生成AIに、顧客情報や社内の機密情報、システムの設定内容などをそのまま入力することは避けるべきです。会社として利用する場合は、入力したデータがどのように扱われるのか、AIの学習に使用されるのか、管理者が利用状況を確認できるのかといった点を確認する必要があります。
また、可能であればChatGPTとClaudeなど、性質の異なる2つのAIサービスを利用する方法もあります。
一つのAIから回答を得たあと、もう一つのAIにも同じ内容を確認すれば、セカンドオピニオンを得られます。両方が同じ回答をすれば一定の判断材料になりますし、回答が異なれば、その部分について慎重に調査できます。
月額費用はかかりますが、専任のIT人材を雇用する費用と比較すれば、中小企業でも導入を検討しやすい金額です。まずは小さな業務から試し、効果やリスクを確認しながら利用範囲を広げていくことが現実的だと思います。
AIをセキュリティ対策に利用する場合の流れを教えてください
最初から情報処理安全確保支援士などの専門家へすべてを相談するのではなく、まずAIに質問し、状況を整理する方法が考えられます。
例えば、パソコンに不審な画面が表示された場合、画面の内容や直前の操作をAIに伝えることで、フィッシング詐欺、偽のウイルス警告、マルウェア感染など、考えられる可能性を挙げてもらえます。
AIへの相談によって、専門家へ連絡する前に次のような情報を整理できます。
- いつ問題が発生したか
- どの端末で発生したか
- どのような画面やエラーが表示されたか
- 直前にどのような操作をしたか
- 他の端末でも同じ問題が発生しているか
- すでにどのような対応を行ったか
この情報が整理されていれば、専門家も状況を把握しやすくなり、問題解決までの時間を短縮できます。
つまり、AIは専門家の代わりではなく、専門家へ相談する前の一次対応や情報整理を支援する存在です。AIで調べても判断できないことや、会社の経営に影響する重要な問題については、専門家へ相談する。この使い分けが重要だと思います。
AIだけでは対応できない部分もありますか？
AIが発達しても、人間にしかできない部分は残ります。
AIは、一般的な情報を整理したり、技術的な解決策を提示したりすることは得意です。しかし、それぞれの会社が置かれている状況や、経営者の考え方、従業員のITスキル、社内の人間関係まで完全に理解して判断することはできません。
セキュリティ対策では、技術的に正しい方法が、その会社にとって最適とは限りません。厳格なルールを導入しても、業務が複雑になりすぎて従業員が守れなければ、実効性のある対策にはなりません。
経営者や担当者と話し、その会社が何に困っているのかを理解したうえで、実行できる対策を一緒に考えることが必要です。
相談する方に安心して話してもらうことや、専門的な内容を相手に合わせて説明すること、会社の事情を考慮して優先順位を決めることは、専門家に求められる「人間力」だと思います。
中小企業向けのコンサルティングはどのような形がよいでしょうか？
中小企業が専門家へ相談しやすい価格帯と契約形態が必要だと考えています。
大規模なセキュリティコンサルティングは、費用が数十万円、数百万円になることもあり、中小企業にとっては利用のハードルが高くなります。
一方で、すべての中小企業が常に大規模な支援を必要としているわけではありません。「このメールを開いてもよいか確認したい」「パソコンの設定について相談したい」「社内ルールを確認してほしい」といった、日常的で小さな相談ができる専門家を求めている会社も多いと思います。
例えば、月額3万円から5万円程度で相談できる顧問型のサービスであれば、中小企業も導入を検討しやすくなります。
日常的な調査や情報整理にはAIを活用し、判断が難しい問題や重要な決定については専門家へ相談する。この組み合わせによって、費用を抑えながら継続的なセキュリティ対策を実現できるのではないでしょうか。
「デジタルカルテ」とはどのようなものですか？
デジタルカルテとは、企業のIT環境やセキュリティ対策の状況を、病院のカルテのように整理・記録する考え方です。
中小企業を支援する際には、使用しているパソコンやサーバー、ネットワーク機器、クラウドサービス、公開中のWebサイトなどを把握しなければなりません。しかし、社内に情報システム担当者がいない会社では、自社が何を利用しているのか整理されていない場合があります。
AIを活用すれば、担当者へのヒアリングを対話形式で進められます。AIが一つずつ質問し、その回答を整理することで、企業のIT環境やセキュリティ対策の現状を可視化できます。
必要に応じて確認用のコマンドを提示し、端末やネットワークの情報を調べてもらう方法も考えられます。
また、インターネット上に公開されているサーバーやWebサイト、使用しているクラウドサービスなど、外部から攻撃の入口となる可能性がある「アタックサーフェス」を整理することも重要です。
デジタルカルテを作成しておけば、問題が発生した際に専門家が会社の環境を一から調べる必要がなくなります。定期的に内容を更新することで、新しく追加された機器やサービス、対応が遅れている課題なども把握しやすくなります。
AIに社内情報を入力することに問題はありませんか？
AIを利用するときは、入力する情報の扱いに十分注意する必要があります。
顧客の氏名や連絡先、従業員の個人情報、パスワード、秘密鍵、社外秘の資料などを、そのままAIへ入力してはいけません。エラーログやシステム構成を相談する場合も、企業名、IPアドレス、アカウント名など、会社を特定できる情報はできるだけ削除する必要があります。
会社としてAIを導入する場合は、次のようなルールを事前に決めておくべきです。
- 入力してよい情報と禁止する情報
- 利用を認めるAIサービス
- AIの回答を確認する方法
- コマンドを実行するときの承認手順
- 事故が起きた場合の報告先
- AIが作成した文章やプログラムの確認方法
AIを導入するだけで業務が安全になるわけではありません。利用方法や確認手順を含めた運用ルールを整備して、初めて安全に活用できるようになります。
セキュリティエージェントに期待することを教えてください
中小企業とセキュリティ専門家が、もっと気軽につながれる仕組みを期待しています。
企業が専門家へ相談するとき、「どの段階で相談すればよいか分からない」「費用が高そうで問い合わせにくい」と感じることがあります。専門家側も、自分の知識や経験を活かしたくても、企業と接点を持つ機会が限られています。
AIによる一次相談と、情報処理安全確保支援士などの専門家による支援を組み合わせれば、相談のハードルを下げられると思います。
AIが企業の状況をヒアリングしてデジタルカルテを作成し、整理された情報をもとに専門家が助言する。問題の大きさや難易度に応じて、スポット相談や月額の顧問サービスにつなげる。このような仕組みがあれば、中小企業も必要なときに必要な支援を受けやすくなります。
今後取り組みたい活動を教えてください
今後は、AIを活用した中小企業向けのセキュリティ支援を具体化していきたいと考えています。
AIにすべてを任せるのではなく、AIが得意とする情報収集、ヒアリング、ログの解読、原因の切り分けなどを活用し、専門家は企業ごとの事情を踏まえた判断や提案に力を注ぐ形です。
特に、企業のIT環境を整理するデジタルカルテと、月額3万円から5万円程度で相談できるコンサルティングを組み合わせれば、専門人材を雇用することが難しい中小企業にも、継続的な支援を届けられる可能性があります。
中小企業のセキュリティ対策では、人材不足を理由に何もしないのではなく、まずAIを使って現状を調べ、分からない部分を専門家に相談することが大切です。
AIの効率性と専門家の人間力を組み合わせることで、中小企業でも無理なくセキュリティ対策を進められる仕組みを作っていきたいと思います。
