――　RPAのセキュリティ対策と、人がそれと同様のタスクをする場合のセキュリティ対策は、どこが違うのか。

ソカルスキ氏　人の作業に対しては、人による不適切な行為を防ぐために、当社はアクセス権の付与や制限をするセキュリティメカニズムとプロトコルを開発した。自動化の場合、少し違うモデルが必要となる。botと人とは認証とアクセス制限のメカニズムが異なり、役割分担のルールも違う。アクセスの制限や監視には、人とは違うモデルを適用しなければならない。ところが、これについてよく考えていない企業は、管理者のアクセス権限をそのままbotに反映し、botを野放しにしてしまう。そうなるとアクセスすべきでないシステムにまで、botがアクセスできてしまう事態に陥る。

――　RPA特有の問題には他にどのようなものがあるのか。

ソカルスキ氏　IT部門以外の部署でコードやbotを開発することも少なくない。例えば経理部でbotを作り、「A」「B」「C」「D」の各作業に必要なアクセス権を与えたりする。ただしIT部門以外でもできる開発方法では、セキュリティ機能が不十分になりやすく、ベストプラクティスに従っていないこともある。

――　RPAのセキュリティリスクにはどう対処したらよいのか。

グプタ氏　比較的新しい技術なので、慎重に進めるべきだ。「初めからセキュリティ対策が組み込まれているか、それとも事後対応になるか」が1つの基準になる。従来のITでは、セキュリティ対策が事後対応となることは珍しくなかった。SaaS（Software as a Service）をはじめとする先進的なIT製品／サービスには、企業向けセキュリティ対策を組み込むことが必須だ。他のユーザー企業の話を聞いたりして確認する必要がある。宣伝をうのみにせず、プロダクトエンジニアや開発者とも話をすべきだ。どのRPAベンダーもセキュリティは万全だと言うだろうが、ベンダーによって取り組みに差がある。

ソカルスキ氏　企業のIT部門のアクセス管理は、まだ不十分なことが少なくない。例えばbot利用時に監視するリスク指標を決めていない場合がある。一般にbotが何にアクセスして何をするかを定義し、どのようなリスクがあるのかを確認しておくことが必要だ。個人を特定できる情報や規制対象データ、コンプライアンスデータにアクセスするようなbotは、高リスクbotと見なして厳重に管理し、監視・追跡する。重要度の高いアクティビティーを監視し、障害が発生していないかどうか確認する機能が必要だ。そうすればbotの動作が不審な場合や、頻繁に障害が発生する場合に状況を把握できる。

――　RPA導入の成功の鍵は何か。

グプタ氏　「センターオブエクセレンス」（組織横断的な専門チーム）の有無が成否を分ける。IT責任者と業務責任者を中心メンバーとするRPAのセンターオブエクセレンスを組織し、RPAの導入を主導して管理する例が増えてきている。