情報マネジメント

 

ISO 27001に携わるセキュリティ実務者の方であれば、2022年の改訂に伴い、どのような新しい対策（コントロール）を導入する必要があるのか​​気になっていることでしょう。

本記事では、ISO 27001に新たに追加された11の管理策に焦点を当てて解説します。改訂の概要については、こちらの記事「ISO 27001 2013年版と2022年版の比較：何が変わったのか？」をご覧ください。

サイバーセキュリティは30年以上にわたり、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」という「CIAトライアド」を指針としてきました。しかし今、私たちはさらに大きな課題に直面しています。それは、人工知能（AI）をいかにガバナンス（統治・管理）するかという問題です。驚くべきことに、CIAトライアドから得た教訓の一部は、AIガバナンスにおける最大の問いの一つである「信頼できるAIをいかに構築するか」に取り組む上でも役立つ可能性があります。

Secure & Simple Podcast

サイバーセキュリティ・ガバナンスとコンプライアンスを扱う

コンサルタントおよびvCISO（仮想CISO）向けポッドキャスト

全エピソードはこちらから

CIAトライアドは、企業にリスクを管理する明確な指針を与えることで、サイバーセキュリティのあり方を変革しました。

現在、AIガバナンスの枠組みにおいても、「信頼性」が同様の役割を果たしています。つまり、リスクの特定や優先順位付けを行う際の重要な指針となっているのです。

初めてISO 27001を導入しようとされている場合、規格の複雑さや、審査（監査）で何を確認すべきかといった点に戸惑いを感じているかもしれません。そのため、この作業に役立つチェックリストをお探しではないでしょうか。本記事では、内部監査の実施に必要なすべての手順と、準備すべき文書について解説します

AIガバナンスの基本

AIガバナンスとは、基本的に、企業がAIシステムの開発方法とライフサイクル全体における利用方法について明確なルールを設定することを意味します。

これらのルールは通常、さまざまな技術的制御（ガードレールなど）、データ管理（トレーニングデータの品質確保など）、ドキュメント（ポリシーと手順、役割と責任など）を通じて定義されます。

しかし、これらのルールで何を定義する必要があるのか​​、制御はどのように構成すべきなのか、そしてトレーニングデータはどのように扱うべきなのか、どうすればわかるのでしょうか？

AIガバナンスの仕組み

AIガバナンスの中核となる概念は、潜在的なリスクを評価する必要があるということです。