複雑化するコンプライアンス対応と、評価業務を効率化するための考え方

NRIセキュアテクノロジーズ株式会社　押井　翔太郎

　現代の多くの企業システムは、自社独自のセキュリティ基準だけでなく、顧客から求められる要件や業界のガイドラインなど、さまざまなコンプライアンスに対応する必要があります。しかし実際の現場では、システムごとに異なるコンプライアンスに対応していたり、単一システムのコンプライアンス準拠であっても、認証基盤、ログ監視基盤、バックアップ基盤、各種処理サーバなど複数の構成要素が存在し、それぞれに異なるステークホルダーが関与するため、全体の管理・調整が煩雑化しています。 このように、大規模な企業ほど対象となるシステムやルールが増え、評価や監査の際に現場が混乱するケースが少なくありません。本記事では、こうしたコンプライアンス評価の運用負担を軽減するための考え方を紹介します。

　評価業務の負担を軽減する方法として、評価プロセス自体へのアプローチと、人や組織文化へのアプローチの2つが挙げられます。どちらか一方だけではなく、プロセスと人・組織の両面から取り組むことが重要です。

　まず、評価業務のプロセスを整理することが重要です。手動評価・一部自動化ツールを用いた評価のいずれの場合も、ポイントとなるのが評価結果の裏付けとなる証拠の収集と管理のプロセスです。例えば、証拠収集の際、各要件が要求する回答レイヤーの整理を行うことで、迅速かつ適切な回答を促すことができます。また過去に実施した評価の要件番号と証拠の紐づけを行うことで、同一コンプライアンスの再評価だけでなく、異なるコンプライアンス間でも証拠を転用することが可能となり、企業が複数のコンプライアンスに対応する際に発生する証拠収集の重複作業を削減できます。さらに、評価業務の進捗状況を可視化することで、評価済みの要件と未対応の要件を関係者が把握できるようになり、評価フロー全体の効率化が期待できます。

　次に、人や組織文化へのアプローチも必要です。これは、企業の構成メンバー全員に日常的にセキュリティ意識を持ってもらうことが重要だからです。組織的な取り組みとしては、トップダウンとボトムアップの両方の考え方があります。トップダウンの取り組みでは、経営陣に対してセキュリティ対策が企業の評判の維持や顧客信頼の向上、競合他社との差別化といったビジネス上のメリットにつながることを理解してもらうことで、組織全体にセキュリティを重要視する文化を生み出します。またボトムアップの取り組みでは、現場の従業員に対してセキュリティ教育を実施し、経営層が定めたガバナンスを現場レベルに浸透させることで、業務を安全に遂行できるよう支援します。これにより、セキュリティ対策が業務を妨げるものではなく、組織全体を守るための共通の取り組みであるという認識が形成されます。結果的に、現場のメンバーがセキュリティ部門に相談しやすい環境が整い、現場業務の後戻りを防ぐことができると同時に、評価業務を含む各種レビューや有事の際の対応の迅速化と効率化を実現できます。

　最近では、評価業務においてAIを活用する取り組みが増えてきています。AIを活用することで、作業効率が大幅に向上する可能性がある一方で、いくつかの注意点もあります。そのひとつが、AIが読みやすい形式でデータを保管しておく必要がある点です。例えばWordやPDFは、人間にとっては読みやすいですが、AIが処理を行う際には情報が欠落する可能性があります。したがって、XMLなどのマークアップ形式や、JSON、YAMLといった構造化されたデータ形式で管理することが望ましいです。もちろん、AIは万能ではありません。出力の再現性が担保されず評価結果に矛盾が生じる可能性や、誤った情報を出力してしまう「ハルシネーション」が起きた結果、意図的でなくとも虚偽の報告をしてしまい顧客や取引先からの信頼を失う可能性があります。したがって、AIはあくまで業務を支援するツールとして活用することが重要です。人による確認や既存の運用プロセスと組み合わせることで、AIの強みを生かしながらリスクを抑えた運用が可能となり、結果として業務の効率化や品質向上につながることが期待されます。