GartnerがAIガバナンスについて、私たちが考えていたことをついに明言
ガートナーのレポートを読んできた期間は正直言いたくないほど長いのですが、その多くは現場の担当者がすでに感じていることを裏付ける内容です。中には既成概念に疑問を投げかけるものもあり、ごく稀に「ついに誰かがはっきり言った」と思わせるレポートが登場します。
Avivah Litan氏、Max Goss氏、Lauren Kornutick氏による2025年12月のレポート「Enterprises Should Augment Microsoft Purview and Agent 365 With Independent AI TRiSM Controls（企業はMicrosoft PurviewおよびAgent 365を独立したAI TRiSMコントロールで補完すべき）」は、まさにその類のレポートです。
タイトルだけでも注目に値します。ガートナーは、Microsoftの新しいAIデータガバナンス機能が悪いと言っているのではありません。不十分だと言っているのです。そして、その理由について非常に率直に述べています。
誰も語りたがらないロックイン問題
MicrosoftのAIガバナンスのアプローチについて言えるのは、完全にMicrosoftエコシステム内で運用する場合には非常によく機能するということです。Entra Agent ID、新しいPurview AIエージェント、セキュリティダッシュボードなど、これらは確かに大きな進歩です。本当にそう思います。
しかしガートナーは、当然のことのようで実は見落とされがちな点を指摘しています。最も深い監査や保護機能を利用するには、エージェントがEntra IDに登録されている必要があります。登録されていなければ、せいぜい基本的な可視性しか得られません。そして登録はオプトイン方式。適切なアクセス制御がなければ、何も見えない状態です。
少し考えてみてください。AIデータ保護戦略が、AIエージェントが自発的に自身を登録することに依存しているのです。
またレポートでは、少なくとも50%の組織が多くの従業員にE3ライセンスを維持している一方で、高度なPurviewコントロールは従来E5が必要だったことにも触れています。つまり、Microsoftエコシステム内ですら、ライセンス階層によるガバナンスのギャップが存在します。これは…問題だと感じます。
いや、考え直してみると、単なる問題ではなく、同じ組織内で二重のセキュリティ体制を生み出してしまっています。一部のユーザーはAIガバナンスの恩恵を受けられるのに、他のユーザーは受けられない。このような状況では、規制コンプライアンス要件を満たすことはほぼ不可能です。持続可能なモデルとは言えません。
「ベンダーのセーフガードは自社の境界で止まる」
これはレポート全体で最も重要な一文かもしれません。ガートナーは、どのクラウドプロバイダーも、AIエージェントが他社の環境で稼働し始めた時点でランタイム制御を強制できないとはっきり述べています。MicrosoftはAWS上で何が起きているかをガバナンスできません。AWSはAzure上で何が起きているかをガバナンスできません。オンプレミスで何が起きているかも、そこに何かを設置しない限り誰もガバナンスできません。
私は長年、データガバナンスやデータ主権について同様の主張をしてきたので、ガートナーがAIエージェントにも同じ論理を適用しているのは心強い限りです。しかし、こうした点を結びつけて考えている組織が非常に少ないことには懸念を覚えます。
機密データがMicrosoftテナントを離れるとき（そしてビジネスの性質上必ずそうなります）、Purviewのコントロールは追従しません。MIP感度ラベル？それはメタデータであり、指示にすぎません。しかし、その指示を受け取った先で強制する仕組み、適切なDRMコントロールがなければ、単なる「ラベル」に過ぎないのです。
ガーディアンエージェントのコンセプト
ガートナーは「独立したガーディアンエージェント」というアイデアを提唱しています。これは、プラットフォームやクラウドを横断してAIエージェントを監督できるものです。レポートには、ガーディアンエージェントがプラットフォーム固有のエージェントフレームワークの上位に位置し、企業全体を俯瞰して管理する図も掲載されています。
この考え方で私が注目したのは、当社が構築してきたプライベートデータネットワークのコンセプトと非常に近い点です。AIエージェントを特に意識していたわけではありませんが（少なくとも当初は）、根本的な課題は同じです。つまり、「自分でコントロールできないシステムを経由して機密データが移動する際、どうやってガバナンスを維持するか？」という問題です。
私たちの答えは「独立した強制レイヤーを作る」ことでした。データのガバナンスを送信元プラットフォームにも、受信先プラットフォームにも依存しない。その中間にガバナンスを設け、発信元や宛先に関係なく一貫したポリシーを適用する。このゼロトラスト・セキュリティのアプローチにより、保護がデータとともに移動することを保証します。
今考えてみると、これはまさにガートナーがAIガバナンスについて説明している内容そのものです。違う用語を使っているだけです。
AIエージェントガバナンスで本当に重要なこと
このレポートや、過去1年間にCISOと交わしてきた会話を踏まえて、組織に本当に必要だと思うことを具体的に述べます。当社が提供するCISOダッシュボードの可視性も、まさにこれらの優先事項を反映しています。
まず必要なのは、プラットフォームを横断して機能する認証とID管理です。当社がMCPサーバーにOAuth 2.0を採用したのは、AIエージェントが企業データにアクセスする際に適切なIDおよびアクセス管理（IAM）検証と多要素認証（MFA）が必須だからです。毎回、例外なく。そして、その認証情報がLLMのコンテキストに絶対に（強調しておきますが）絶対に露出しないこと。プロンプトインジェクション攻撃は現実の脅威であり、今後ますます巧妙化します。
次に必要なのは、構成時だけでなく実行時に機能するポリシー強制です。ポリシーを設定して「うまくいくはず」と期待するだけでは不十分です。すべてのデータアクセスは、現時点の状況に基づいて評価されなければなりません。ユーザーは誰か、どこにいるのか、データの機密度はどの程度か、どんな操作をしようとしているのか。これが属性ベースアクセス制御（ABAC）であり、リアルタイムで実行される必要があります。RBAC（ロールベースアクセス制御）だけでは、このレベルの細かさには対応できません。
そして三つ目、ここは私も特に強調したいのですが、「すべてを記録する」監査ログが必要です。完全な監査証跡は、絶対に譲れない要素です。レポートでは、Microsoft 365が最大72時間ログ記録を遅延させたり、アクティビティが多い時期にログ記録を制限したりすることがあると指摘しています。しかし、まさにその「アクティビティが急増する時」にこそ完全なログが必要なのです。攻撃はアクティビティの急増を伴います。急増時にログが制限されてしまえば、最も重要な時に何も見えなくなります。
インサイダー脅威の現実
ガートナーはインサイダー脅威についても多くのページを割いており、高度な内部関係者がGSAクライアントを一時停止したり、管理されていないデバイスを使ったり、未登録のエージェントを実行したりすることで、悪意あるAIエージェント経由でデータを持ち出せると指摘しています。だからこそ、堅牢なインシデント対応能力が重要なのです。
これは当社の顧客からもよく聞く話なので、非常に共感できます。外部脅威ばかりが注目されがちですが、インサイダーリスクは悪意であれ過失であれ、重大かつ過小評価されがちなリスクです。効果的なデータ損失防止（DLP）戦略は両方に対応する必要があります。そしてAIエージェントは新たな経路を生み出します。たとえば、機密文書を自分宛てにメール送信するのはためらう内部者でも、AIアシスタントに「この文書を分析して」と頼み、その分析結果をエクスポートすることには抵抗を感じないかもしれません。
当社のアプローチは「侵害を前提に設計する」ことです。SafeVIEWでは、ユーザーはデータを所有せずに閲覧でき、ファイルはダウンロードされず、透かし入りの画像ストリームとして表示されます。SafeEDITも同様で、編集対象の文書は当社サーバー上にあり、ユーザーは仮想デスクトップの映像をストリーム経由で編集します。この「非所持型編集」により、万が一内部者が侵害されても、データは管理された環境から外に出ません。
これが「摩擦」かと問われれば、確かにそうです。しかし、機密データには適切な摩擦です。適切なデータ分類とData Policy Engineを組み合わせることで、データ・ユーザー・状況に応じて動的にこの摩擦が適用されます。
Microsoftでないことについて
はっきりさせておきたいのは、私はMicrosoftに反対しているわけではありません。当社はMicrosoftとの連携を幅広く行っています。顧客はSharePointやOneDrive、Outlookを当社のMicrosoft Office 365プラグイン経由で利用しています。当社はMIP感度ラベルを伝播し、それに基づいてポリシーを強制しています。
しかしガートナーが指摘する通り、ガバナンスをMicrosoftだけに依存するのは、セキュリティリスク管理上の課題を生みます。Microsoftが何か間違っているからではなく、単一ベンダーではすべてをガバナンスできないからです。レポートの言葉を引用すると、「中立的で信頼できるガーディアンエージェントレイヤーだけが、ユニバーサルな登録とルーティングを強制し、単一プロバイダーでは埋められないギャップを解消できる」のです。
それこそが私たちの目指すところです。Microsoftのガバナンス機能の代替ではなく、補完です。テナントの境界を越えて機能を拡張し、Kiteworksのセキュアなファイル共有を通じた外部コラボレーションや、AI Data Gatewayを介したサードパーティAIシステム、そして現実の複雑な業務運用までカバーするレイヤーを提供します。
まだ確信が持てないこと
ここで断言できることはありません。AIリスクガバナンスの分野は非常に速いスピードで進化しており、誰も完全に追いきれていません。Microsoftのプレビュー機能もいずれGAに到達するでしょうし、他のプラットフォームも独自のアプローチを開発するはずです。当社のMCPサーバーが実装しているModel Context ProtocolはAnthropicによるもので、これが標準になると見込んでいますが、それが正しいかは分かりません。
ただ一つ確信しているのは、アーキテクチャ上の原則です。強制を単一ベンダーに依存しない独立したガバナンスレイヤー。真のゼロトラストアーキテクチャのアプローチは、個別技術がどう進化しようと正しい方向性だと考えます。
そして今、AIガバナンスやデータコンプライアンスに真剣に取り組んでいる組織は、侵害が起きてから慌てて対策する組織よりも、はるかに良い状態でいられると自信を持っています。
アナリストとの対話
ちなみに、もしこの文章を読んでいて、これらのガートナーアナリストにアクセスできるなら、ぜひこのテーマで意見交換してみてください。特にAvivah Litan氏は、長年AIリスクやTPRMについて考えており、TRiSMフレームワークは非常に本質的な取り組みです。当社も、これらの課題へのアプローチについて3人のアナリスト全員に説明する予定であり、その対話が今後のロードマップに予想外の影響を与えるかもしれないと考えています。
これこそが本来あるべき姿だと思います。アナリストに「取り上げてほしい時だけ」話をするベンダーは、本質を見失っています。本当の価値は対話の中にあります。
Kiteworksがこれらの課題にどう対応しているか詳しく知りたい方は、お問い合わせいただくか、カスタムデモを今すぐご予約ください。