AI作成のセキュリティポリシー：手っ取り早い近道か、監査リスクか？

セキュリティポリシーの作成は、かつてどのコンプライアンスプログラムでも最初に時間のかかる工程でした。今では生成AIツールが、情報セキュリティ、アクセス制御、インシデント対応、暗号化、サプライヤーセキュリティなどを含む一式を、数分で体裁を整え、自信ありげな文章で作成します。多くの組織にとって、これは確かな助けになります。しかし同時に、監査に不合格となる新たな原因にもなり得ます。

AIが役立つ場面

• 白紙から始める必要がなくなる。 各ポリシーの通常の章立てを含む草案構成が得られ、実際に時間を節約できます。
• 平易な言葉づかい。 AIは、難解な規格用語を人が読める文章に言い換えるのが得意です。
• 整合性チェック。 適切な指示を与えれば、文書間の矛盾を見つけ出すことができます。
• 対応関係の草案作成。 ポリシーの各節がどのフレームワーク要件に関連するかを提案でき、確認の出発点になります。

問題になる場面

• ポリシーが、実際には行っていない運用を記述してしまう。 生成されたアクセス制御ポリシーは、四半期ごとの特権アクセスレビュー、全面的なMFA、文書化された承認を約束する可能性があります。実際にそれらを行っていなければ、その一つひとつの約束が将来の監査指摘になります。監査人は、あなたが書いたことを検証します。
• 参照が誤っている場合がある。 生成された文章は、廃止された版の管理策番号や、存在しない要件を引用することがあります。2022年版の監査で ISO 27001:2013 の条項番号を引用したポリシーは、他のすべての記載の信頼性を損ないます。
• 誰も責任を持たない。 完成した状態で届いたポリシーには、各行がなぜ存在するのかを理解している作成者がおらず、内容を最新に保つ責任者もいません。
• 分量が判断に取って代わる。 もっともらしいポリシーが50ページあっても、自組織にとって実際に重要な3つの判断を覆い隠してしまうことがあります。

上手な使い方

1. 先に決め、後で生成する。 各管理策を実際にどう運用しているか（責任者、頻度、基準）を書き出し、それらの事実に基づいてAIにポリシー文案を作成させます。関連記事として複数フレームワークに対応した一つのポリシーセットもご覧ください。
2. 容赦なく削る。 裏付けとなる証拠を示せない文は、すべて削除します。
3. すべての参照を、最新のフレームワーク本文と照合する。 例えばISO 27001 A.5.1の要件ページでは、現行のIDと名称を確認できます。
4. 各ポリシーに人間の責任者を置く。 責任者は内容を読み、承認し、毎年見直します。
5. リスクアセスメントをAIに書かせない。 AIは脅威を提案できますが、自組織のシステム、人員、事業については把握していません。

生成されたポリシーを確認するための簡単なテスト

生成されたものであれ、そうでないものであれ、ポリシーを承認する前に、次の3つの問いを念頭に置いて読み直してください。

1. この文書内のすべての「must」について、監査人に証拠を示せるか？ 各義務は、実際に稼働し記録を生成する管理策に対応している必要があります。対応していなければ、管理策を構築するか、その文を削除します。
2. すべての参照は現行版に存在するか？ 条項番号と管理策番号を、監査対象のフレームワークと照合してください。ISO 27001 A.5.15やSOC 2 CC6.1などの要件ページでは、現行のIDと他フレームワークでの対応関係を確認できます。
3. 新入社員が、何をすべきか理解できるか？ ポリシーは行動を変えるために存在します。一般的で水増しされた文章は、技術的に正しくても、このテストに落ちます。

3つすべてを満たすポリシーは、誰が、あるいは何が起草したものであっても良いポリシーです。いずれかを満たさないポリシーは、どれほど洗練された文章であっても、リスクになります。

要点

• AIは最初の草案を素早く得る手段であり、最終版としてはリスクになります。
• まず自組織の運用方法を決め、その事実に基づいて文章を生成します。
• 証拠を示せない内容は削除し、すべての参照を確認し、各ポリシーに人間の責任者を置きます。

率直な答え

AIが作成したポリシーは、最初の草案を得るための有用な近道ですが、最終版としてはリスクになります。判断基準は変わりません。その文書は、組織が実際に行っていることを記述しているか、そしてそれを証明できるか。AIはそこに早くたどり着くために使いましょう。判断するという部分を飛ばすために使ってはいけません。また、ポリシーを書く前にツールを購入しようとしているのであれば、同じ原則が当てはまります。

よくある質問

AIが生成したセキュリティポリシーは、ISO 27001やSOC 2で使えますか？

草案の作成にはAIを使えますが、監査人が検証するのは、ポリシーが組織の実際の運用と一致しているかどうかです。実際には従っていない運用を記述した汎用的な草案は、監査指摘につながります。

AIが作成したポリシーのリスクは何ですか？

実際には運用していない管理策を約束してしまうこと、標準に対する誤った、あるいは古い参照を含むこと、文書間の不整合、そして誰も読んでおらず承認もされていないポリシーがあることです。

監査人はAIを活用したポリシーに異議を唱えますか？

特にそういうことはありません。監査人が重視するのは、ポリシーが承認され、最新に保たれ、実務で守られているかどうかです。最初の草案をどのように作ったかよりも、最終文書が現実と一致しているかどうかのほうがはるかに重要です。