サイバー攻撃

 

人工知能（AI）エージェントは、今やサイバー攻撃を指揮・実行できるようになっています。2025年9月、Anthropic社は、中国の国家が支援する脅威アクター（「GTG-1002」と特定）が「Claude Code」を悪用し、約30の組織に対して同時に攻撃を仕掛けた事例を検知しました。この攻撃活動の約80～90%はAIエージェントによって自動化されていました。こうした自動化された攻撃能力は、評価環境においても確認されています。2026年4月、英国のAIセキュリティ研究所は、「Claude Mythos Preview」と「GPT-5.5」の双方が、人間の介入なしに、多段階にわたる模擬ネットワーク侵入をエンドツーエンドで完遂できることを明らかにしました。自動化された攻撃能力は、サイバー脅威の性質を劇的に変える可能性があります。攻撃型AIの進化に伴い、AIエージェントによる攻撃は、攻撃実行の所要時間を短縮し、人間の能力の限界をはるかに超える規模で同時攻撃を行い、高度な侵入に必要なコストや専門知識のハードルを下げ、さらには従来の防御策では対応しきれないような形で自律的に適応していく恐れがあります。

情報マネジメント

 

ISO 27001に携わるセキュリティ実務者の方であれば、2022年の改訂に伴い、どのような新しい対策（コントロール）を導入する必要があるのか​​気になっていることでしょう。

本記事では、ISO 27001に新たに追加された11の管理策に焦点を当てて解説します。改訂の概要については、こちらの記事「ISO 27001 2013年版と2022年版の比較：何が変わったのか？」をご覧ください。

サイバーセキュリティは30年以上にわたり、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」という「CIAトライアド」を指針としてきました。しかし今、私たちはさらに大きな課題に直面しています。それは、人工知能（AI）をいかにガバナンス（統治・管理）するかという問題です。驚くべきことに、CIAトライアドから得た教訓の一部は、AIガバナンスにおける最大の問いの一つである「信頼できるAIをいかに構築するか」に取り組む上でも役立つ可能性があります。

Secure & Simple Podcast

サイバーセキュリティ・ガバナンスとコンプライアンスを扱う

コンサルタントおよびvCISO（仮想CISO）向けポッドキャスト

全エピソードはこちらから

CIAトライアドは、企業にリスクを管理する明確な指針を与えることで、サイバーセキュリティのあり方を変革しました。

現在、AIガバナンスの枠組みにおいても、「信頼性」が同様の役割を果たしています。つまり、リスクの特定や優先順位付けを行う際の重要な指針となっているのです。

サイバーセキュリティ

 

GuidePoint SecurityとSAFEの協賛により、FAIR Instituteが2026年4月に実施した「2026年版サイバーリスク管理の現状（State of Cyber​​ Risk Management）」に関する調査では、ビジネス、規制、および運用面での要求の高まりに対応するため、主要な組織がどのようにサイバーリスク・プログラムを適応させているかを検証しています。サイバーリスク分野のリーダーや実務担当者400名を対象とした世界規模の調査に基づく2026年のデータは、この分野が成熟しつつあることを示しています。具体的には、サイロ化された技術的なコンプライアンス機能から、定量化・自動化され、取締役会レベルの戦略的推進力となる機能へと移行しているのです。2025年の調査結果と比較すると、この分野の現状を定義づけるいくつかの重要なマクロ的変化が浮かび上がってきます。

ISO9001:2026

 

ISO 9001:2026は、品質マネジメントシステムに関する国際規格であるISO 9001の第6版として発行が予定されているものです。改訂版が正式に発行されるまでは、2024年の気候変動に関する修正事項を含め、ISO 9001:2015が引き続き認証の対象となるバージョンです。

今回の改訂は、抜本的な変革（革命的）というよりは、段階的な進化（進化的）となる見込みです。現在示されている指針によれば、顧客重視、リーダーシップ、プロセスアプローチ、リスクに基づく考え方、証拠に基づく意思決定、関係性の管理、継続的改善といったISO 9001の主要な原則の多くは維持されます。改訂の主な方向性としては、明確性の向上、用語の更新、ISOの「整合化された構造（Harmonized Structure）」との整合性強化、持続可能性や気候変動という文脈への明示的な配慮、リスクと機会の取り扱いの明確化、そして品質文化や倫理的行動に対するリーダーシップの関与強化などが挙げられます。

ISO9001

 

ISO 9001は組織の能力を前提とする傾向を強めているが、認証審査では依然として適合性のみが検証されている。本論文では、その結果として生じる「能力と適合性のギャップ」と、それが認証制度への信頼に及ぼす影響について検討する。

ISO42001

 

ISO 27001とISO 42001はいずれも主にITに関連する規格であるため、多くの企業が両規格の同時導入、つまりサイバーセキュリティとAI（人工知能）ガバナンスの統合を検討しています。では、これは理にかなったことなのでしょうか？

本記事では、要件、プロセス、管理策の観点から両規格の類似点と相違点を解説します。これにより、データ保護とAIシステムの倫理的な開発・提供・利用を統合したマネジメントシステムにおいて、何が統合可能で何がそうでないのかを理解できるようになります。

ISO 27001およびISO 42001オンラインコース

ISO 27001とISO 42001への適合方法を学べる無料オンラインコース

無料で受講登録する

ISO 27001とISO 42001を統合するための重要なステップ：

• 共通する条項については、統合マネジメントシステムを導入する。

• リスク管理には共通のプロセスを使用する（ただし、ISO 27001とISO 42001では、リスク評価の対象となるリスクや管理策の内容は異なります）。

• 可能な限り、AI関連の管理策と情報セキュリティ管理策を統合する。

ISO9001 free