ISMSの監査員は、AIを「新しい持ち出し口」として見る

情報セキュリティの仕組み——ISMSの内部監査を担当していた時期がある。監査員として社内を回ると、人は決まって「鍵のかかる棚」や「パスワードの強さ」の話をしたがる。だが監査で本当に見ていたのは、情報がどこから外に出ていけるか、その出口の一覧だった。USBの口、メールの添付、クラウドの共有設定、印刷。出口を数え、それぞれに管理があるかを確かめる。ISMSとは、突き詰めれば、出口の管理だ。

生成AIは、その出口の一覧に、新しい一行を足した。入力欄だ。社員がAIのチャットに文章を貼る。それは、社内の情報が外部のサーバーに渡る行為で、監査員の目には、メールの添付と同じ種類の「持ち出し」に映る。今日は、ISMSを運用している会社が、生成AIについて監査で何を問われるかを、監査員の側から書く。

一つ目——台帳に載っているか

ISMSの土台は、情報資産の台帳だ。どんな情報があり、誰が所有し、どこに保管され、どれだけ重要か。監査員が最初に聞くのは、生成AIのサービスが、この台帳の中で、どこに位置づけられているかだ。外部のクラウドサービスとして、供給者の一覧に載っているか。そこに社内のどの情報が渡りうるかが、台帳の側から辿れるか。

多くの会社で、答えは「載っていない」だ。正式に導入したサービスなら台帳に載るが、社員が個人的に使い始めたAIは、どこにも載らない。監査では、これを「管理外の供給者」と呼ぶ。管理外であること自体が、指摘の対象になる。対策は、禁止ではなく登録だ。使われているAIを洗い出し、供給者として台帳に載せ、どの情報が渡ってよいかを紐づける。載せた瞬間に、AIはISMSの管理の内側に入る。内側に入れば、以後の変更も、監査のたびに確認される対象になる。

二つ目——リスクとして評価したか

ISMSの中核は、リスクアセスメントだ。どんな脅威が、どの資産に、どれだけの影響を与えるかを評価し、受け入れるか、下げるか、避けるかを決める。監査員は、生成AIが、この評価の中に入っているかを見る。入力した情報が学習に使われる可能性、出力に他社の情報が混入する可能性、AIが生成した文章に誤りが含まれる可能性。これらが脅威として識別され、評価され、対応が決まっているか。

ここで重要なのは、評価の結果がどうであれ、評価したという記録があることだ。「リスクは低いと判断し、受け入れた」でも構わない。判断の記録があれば、監査は通る。「考えていなかった」が、通らない。AIを使うことは問題ではなく、使うことのリスクを評価せずに使っていることが問題だ。私はAIを業務に入れることに賛成だが、ISMSを運用する会社なら、入れる前にリスク評価の一行を書くべきだと思っている。それだけで、監査の景色は変わる。

三つ目——誰が、どこまで使えるか

三つ目は、アクセスの管理だ。ISMSでは、情報へのアクセスは必要最小限が原則だ。生成AIについても、同じ問いが来る。誰が使えるのか。どの情報を入れてよいのか。その制限は、仕組みで担保されているか、それとも社員の良識に委ねられているか。

仕組みの担保には、段階がある。会社が契約した法人向けのサービスだけを使わせ、個人の無料サービスへのアクセスを制限する。入力できる情報の区分を規程で定め、区分ごとの可否を明示する。そして、利用の記録を残し、定期的に確認する。監査員は、この三段のうち、どこまでが実際に動いているかを確かめる。規程に書いてあるだけでは足りない。動いている証拠——利用記録、確認の議事録、制限の設定画面——を見せられるかが、監査の勝負どころだ。

内部監査員だった頃、指摘の書き方にも型があった。「管理外の供給者が存在する。是正として、利用中のAIサービスを供給者台帳に登録し、情報区分ごとの入力可否を定め、次回監査までに利用記録の確認手順を整備すること」。指摘は、禁止ではなく登録を求める形で書く。AIを使っていること自体を咎めれば、現場は隠れて使うようになり、出口はかえって見えなくなる。監査の目的は、出口を塞ぐことではなく、出口を数えられる状態にすることだ。

出口が増えただけで、やることは変わらない

こうして並べると、監査員がAIについて問うことは、ISMSが昔から問うてきたことと同じだと分かる。台帳に載せる、リスクを評価する、アクセスを絞る、記録を残す。AIは新しい技術だが、ISMSの目には、新しい出口にすぎない。出口が一つ増えたなら、その出口に、他の出口と同じ管理を置く。それだけだ。

内部監査員だった頃の私なら、生成AIを使い始めた会社に、まずこう聞く。「その入力欄は、台帳のどこに載っていますか」。答えがあれば、その会社のISMSは生きている。答えがなければ、AIの問題ではなく、出口の管理が止まっている。監査は、AIの賢さを測りには来ない。出口の数と、管理の有無を数えに来る。入力欄を出口の一覧に書き足すところから、ISMSの中のAIの話は始まる。

アイキャッチ画像はAI生成です。