AI時代のリスクベースアプローチのはじめかた(部分公開版)

AI時代の リスクベースアプローチの はじめかた 2026-07-30 haya Copyright © 2026 haya All rights reserved.

本資料の内容は個人的な見解です。所属する組織や団体とは無関係です。 また、本資料は作成者に事前の許諾を得ず、 営利目的で利用・再配布することを禁じます。 Copyright © 2026 haya All rights reserved.

第1章 リスクベースアプローチの 基本 Copyright © 2026 haya All rights reserved.

ふたつのアプローチ

リスクベースアプローチ ふたつのアプローチ ベースラインアプローチ

ベースラインアプローチ 業界標準の基準やガイドラインなどをベースにして、 自組織のギャップを埋める形で対策を講じる手法 よくチェックボックスの形で現れる PCI DSSや「サプライチェーン強化に向けたセキュリ ティ対策評価制度（SCS評価制度）」もこの1つ

リスクベースアプローチ 一言で言えば、 “リスクと向き合い、 受け入れるためのアプローチ”

リスクベースアプローチ

リスクベースアプローチ ただ無条件にリスクを受け入れる（放置する）のかと いうとそうではない コントロール下でリスクを受け入れる 『どこまでのリスクならビジネス上許容できるか』を 評価し、賢くリスクを受け入れる意思決定を行う →きちんと運用できている ISMSはこの形

高 リスク = 発生可能性 x 影響度 発 生 可 能 性 低 低 影響度 高

困ったことが起きてしまった場合の「被害の大きさ」 影響度 = 直接的な金銭的被害のほか、信用失墜、行政指導などの間接的な損害も含む

困ることが起こる「可能性」 発生可能性 = 外部攻撃者や内部犯の存在やモチベーション、脆弱性や抜け道の有無など

高 つまり、 リスク = 発生可能性 x 影響度 は 困ることが起こる可能性と、 起きた場合の影響度を 総合的に評価したもの 発 生 可 能 性 低 低 影響度 高

リスクのコントロール

リスクのコントロール リスクはコントロールができる そのために必要なのは「リスク対応」と いう考え方 リスク対応には大きく「リスク回避」「リスク低減」 「リスク移転（共有・転嫁）」「リスク保有（受 容）」という4つの考え方がある

リスクが高い行動そのものを辞める リスク回避 = 辞めることでリスクそのものが消滅する

対策を実施し、発生可能性または影響度を下げる リスク低減 = 発生可能性または影響度、その両方を低下させる対策を行うことでリスクを下げる 高 発 生 可 能 性 低 低 影響度 高

リスクを他者に移転・転嫁、または共有する リスク移転 = サイバー保険に加入するなどして金銭的被害を最小化してリスクを低下させる 高 発 生 可 能 性 低 低 影響度 高

リスクを受け入れる(リスクを許容する) リスク保有 = リスクを許容できる範囲まで低下させて、受け入れた上でビジネスを継続する 受け入れたリスクは「残存リスク」として管理することになる 高 発 生 可 能 性 低 リスクを 受け入れる 低 影響度 高

リスクを受け入れる

リスクゼロのほうが安心するけど リスクを受け入れる 組織や事業がそのリスクを許容できれば、 それ以上にリスクを低減しなくても良い 人も時間もお金も有限なので、効率的かつ効果的に これらのリソースを運用する

第1章 まとめ

第1章 まとめ リスクベースアプローチは、 “リスクと向き合い、 受け入れるためのアプローチ” 『どこまでのリスクならビジネス上許容で きるか』を評価し、適切にリスク対応を行 い、残存リスクを受容する意思決定を行う
 リスクをゼロにできることが理想だけど、ゼロにすることが目的ではない

第2章 リスクベースアプローチの 勘所 ※時間の都合上スキップ Copyright © 2026 haya All rights reserved.

断章 脅威ベースアプローチと 脅威モデリング ※時間の都合上スキップ Copyright © 2026 haya All rights reserved.

第3章 生成AIのリスクに対しての 向き合い方 Copyright © 2026 haya All rights reserved.

生成AIのリスク

社内で利用するシーン 生成AIのリスク 攻撃者が利用するシーン リスクは大きく2つに分類できる

社内で利用するシーン

社内で利用するシーン 生成AI登場以前からソフトウェア やWebサービスに存在するリスク 生成AI特有のリスク

生成AI登場以前から ソフトウェアや Webサービスに 存在するリスク データを保管および処理する場所・国に関するリスク データの連携先・共有範囲に関するリスク ファイルやデータベースを消してしまうリスク サービス提供者が調査などで
 閲覧する可能性があるリスク etc

生成AI特有のリスク 学習に利用されるリスク 誤った情報が生成されるリスク 著作権や知的財産権を侵害するリスク ソースコードや文章が容易かつ大量に
 生成されることによるレビュワーの疲弊リスク 与えた情報や指示によって
 アカウントが凍結されるリスク etc

＋安直に禁止した場合や
 社内手続きを厳格化した場合の リスク シャドーAIのリスク ビジネス上の競争力を 失うリスク etc

社内で利用するシーン で考えること

社内で利用するシーン で考えること 従来から存在するリスクと生成AI特有のリスク vs 禁止・厳格化した場合のリスク 「どこまでリスクを許容するか」を見直す 情シスとしては見直し案を検討して、経営層や管掌役 員に提案・合意を得る

攻撃者が利用するシーン

生成AIによって変わること 攻撃者が利用するシーン 生成AIによって変わらないこと

生成AIによって変わること 脆弱性を発見する速度と量 脆弱性情報から攻撃コードを生成する速度 初期侵入から目標達成までの速度
 (次スライドの「変わらないこと」を除く) 言語の壁 etc

生成AIによって変わらないこと CPUの処理速度 ネットワークの通信速度 ストレージの読み書き速度 リクエストの送信から
 レスポンスが返ってくるまでの速度 何も穴がないところから侵入する術 etc

攻撃者が利用するシーン で考えること

攻撃者が利用するシーン で考えること 従来から変わらずにやること 考えを変えなければならないこと

外部に露出している箇所の管理と最小化 脆弱性管理および対応の徹底 従来から変わらずに やること 最小権限の原則に則ったアカウントや
 権限管理の徹底 ネットワークセグメントの分離 重要なデータのバックアップとリストア訓練 etc

考えを変えなければ ならないこと 品質とトレードオフでパッチを即適用する運用にする、
 対策の速度を上げるためにコスト増を受容する、などの セキュリティ対策の品質・コスト・納期 (QCD)のバランス感 こちらも情シスとしては見直し案を検討して、経営層 や管掌役員に提案・合意を得る

第3章 まとめ

第3章 まとめ AI時代に「ゼロリスク（完璧な安全）」は 現実的ではない 従来通りの対策・施策は進めつつ、 セキュリティ対策の品質・コスト・納期 (QCD)のバランス感については考えを変え なければならない

Thank you.