組織の AI 準備状況に関する Snyk レポート

Snyk の AI コードのセキュリティに関するレポート 2023 年版によれば、コード作成者の 96% がワークフローの中で生成 AI ツールを使用しています。ソフトウェアを構築する組織は、競争力を維持し、優秀な人材を引きつけて雇用し続けるために、これらのツールの導入が必須であることを理解しています。ソフトウェア開発のライフサイクルに AI コーディングツールを持ち込むと、さまざまなセキュリティと運用上の課題が発生します。テクノロジーリーダーとその組織は、AI コーディングツールの新たな時代に対してどの程度準備ができているのでしょうか。また、このソフトウェア作成の重要な変化に対してどのように準備しているのでしょうか。 

Snyk では 400 人以上の科学技術者に、組織の AI 準備状況を測定し、AI コーディングツールに対する認識を確認するように設計した、さまざまな質問をしました。この調査では、テクノロジー担当の経営幹部、アプリケーションセキュリティチーム、デベロッパー/エンジニアの 3 つのグループを対象にしています。これらのグループは、AI コーディングツールと AI コードのセキュリティ、AI コードセキュリティポリシーの有効性、組織の AI コーディングへの準備状況についてそれぞれ異なる意見を持っていることが分かりました。このレポートでは、最も注目すべき調査結果について概説します。

3 つの役職タイプ全体で、回答者の大半が組織は AI コーディングツールの導入に対して「極めて準備できている」または「とても準備できている」と回答しています。組織が準備できていないと回答したのは 4% 未満でした。ただし、経営幹部の回答は他の回答者グループより自信が高く、自社の組織は最適な状態にあり、AI コーディングツールのデプロイメントと導入の準備ができていると感じています。このグループの 40.3% が組織は「極めて準備できている」と評価しているのに対して、アプリケーションセキュリティ (AppSec) チームメンバーでは 26%、開発者では 22.4% に留まります。CISO と CTO の間には有意義な差異は認められません。CISO がセキュリティとリスクに責任を負っていることを考えると、これは意外に感じられます。この原因として、迅速に AI コーディングツールを投入し、ソフトウェア開発プロセスをスピードアップするというテクノロジーリーダーシップに対する厳しいプレッシャーが考えられます。他のグループの躊躇は、セキュリティ、トレーニングに、コード品質、その他の実装レベルでの詳細に関する具体的な準備状況の課題に関する現場レベルの懸念を表していると思われます。

準備完了なのか、そうでないのか。回答者は概ね、組織における AI コーディングツールへの準備状況について肯定的な態度を示しています。一般的に、自分たちのセキュリティポリシーは十分であり、AI 生成コードは安全であると考えています。大部分は、AI 導入の準備ができていると感じています。ただし、AI コーディングツールのセキュリティについては葛藤があります。すべての役割において、セキュリティについての恐れが、AI コーディングツール導入の最大の障壁であると見なされています。準備のための現実的なプロセスについて言えば、新しい技術の導入の基礎となる基本的なステップである概念実証を実施したと回答した回答者は 20% 未満です。さらに、開発者の大半が AI コーディングツールのトレーニングを受講済みだと回答した回答者は半分以下です。こうした矛盾は、計画と戦略の欠如に加えて、AI 導入に関する体制の欠如を示している可能性があります。 

さらに詳しく見てみると、調査回答者の、コード品質、ツールの安全性、全般的な組織の準備状況に対する認識は、役割ごとに共通する相違を示しています。経営幹部は、コードやセキュリティのプロセスとポリシーにより近い場所で働く回答者に比べて、AI コーディングツールと準備状況に関してより肯定的な考えを持っています。特に、セキュリティチームのメンバーは AI コーディングツールのセキュリティについて暗い意見を持っており、この影響力の大きいグループが AI コーディングから生じるより多くの問題にさらされ、それ相応の反応を示していることを暗示しています。 

上で述べたような矛盾は、AI コーディングツールの導入に関する計画やまとまった戦略が不十分であること、さらに、必要な事前条件を特定して満たすための体制が欠落していることを示しており、原因として、組織全体で認知度が一貫していないことが考えられます。このようなことが起こる理由は、スマートフォンや特定の消費者ソフトウェア製品と同様に、当初の導入が速く無秩序で、その後に IT 組織によって制度化されるためです。その意味では、ロールアウトは当初は混沌としており、その後の管理が大きな課題となっていた可能性があります。ただし、大事なのは、他の種類のエンタープライズソフトウェアの導入プロセスと同じように、AI コーディングツールの導入とセキュリティに対してより構造的なアプローチを組織で検討する必要があるということです。このようなアプローチを取ることで、セキュリティに関する懸念も解決することができ、さらに、開発者とセキュリティチームの過度な懸念にも対処することができます。そのためには、適切なチェックアンドバランスを導入し、ソフトウェア開発プロセスの根本的な変化を導入するために、より包括的、体形的、計画的なアプローチを提供します。

このレポートでは、世界各地の 406 人の IT 専門家を調査しました。Snyk では回答者を、自身の役割を「CTO」、「CISO」、「開発者」、「エンジニア」、「セキュリティ」、または「AppSec」と述べた人に限定しています。Snyk では 2024 年のオンラインおよびオフラインイベントでこの調査のデータ収集を継続し、企業の AI 準備状況と、AI のリスク、準備、課題に対する認識の違いについてより明確な全体像を示す予定です。