SCS★3の準備で、会社にある資料とAIの使い方を見直してみた
SCS★3の準備で、既存の規程や契約、BCP、運用記録を評価項目と照合しました。資料があることと確認できたことを分け、AIが増やす確認事項を人が整理し、引き継げる記録へ残した過程です。
最近、不正アクセスや情報漏えいに関するニュースを目にする機会が増えています。ランサムウェアで業務が止まる被害もあれば、情報を持ち出される被害もあります。
IPAも2026年10月9日、国内で情報漏えい事案の公表が相次いでいるとして、利用する外部サービスやアカウント、保有情報などの点検を呼びかけました。
当社がSCS★3の準備を始めたのは、この一連の報道より前です。ただ、最近のニュースを見ていると、今進めている確認は、評価を受けるためだけの作業ではないと改めて感じます。
何を使い、どこに情報を置き、誰が管理しているのか。対策を入れたことだけでなく、その後も設定や運用を確認できているか。
今回は、その点検を進めるため、会社にある文書や記録をAIと一緒に整理してみました。進めてみると、資料の整理だけでなく、AIに何を伝え、どこまで確認させるかも、人が考える必要があると分かってきました。
新しい規程を作る前に、会社にあるものを確認する
当社は、取引先を含むサプライチェーンのセキュリティ対策を評価するSCS評価制度の★3要求事項・評価基準を見ながら、準備を進めています。
これまでにNASの世代バックアップを設定し、過去のファイルを取り出して開くことも試しました。その途中で、NASのセキュリティソフトの期限切れが見つかったこともあります。どちらも過去の記事に記録しました。今回はバックアップだけでなく、会社全体の状態を要求事項と照らし合わせます。
AIに頼んだのは、まず規程を一式作ることではありません。就業規則、契約書、事業継続力強化計画、会社の方針、設定画面や実行記録を確認し、どの要求事項の判断材料になるかを整理することです。
就業規則には秘密保持や情報の返却に関する条項がありました。既存契約にも、情報の取扱いを確認する材料があります。事業継続力強化計画には、通常の環境が使えなくなった場合の連絡や代替手段の考え方がありました。
SCS専用に作った文書ではなくても、使える部分はあります。すでに公開していた情報セキュリティ基本方針もその一つです。新しい方針を重複して作るより、既存の方針を土台に、参照方法や周知、役割の具体化を確認する方が自然です。
会社の資料は、目的ごとに別の場所へ保存されています。就業規則は労務、契約書は事務、事業継続力強化計画は事業継続、機器の画面は日々の管理。それらを一つの要求事項に沿って見直すと、別々に整えてきたもののつながりが見えてきました。
「資料がある」と「確認できた」を一つにしない
ただ、資料が見つかったから、その項目は終わりというわけでもありません。
秘密保持の条項があっても、誰に適用され、入社時にどう説明しているかは別の確認です。契約書に情報管理の記載があっても、実際に共有する情報や、その相手との取り決めに合っているかを確かめる必要があります。事業継続力強化計画に代替手段を書いていても、サイバー攻撃が起きた場合に、どの業務をどこまで戻すかという目標とのつながりは、改めて整理しなければなりません。
そこで対応表では、次の内容を分けました。
| 記録すること | 見分けたいこと |
|---|---|
| 公式の評価内容と、会社として回答した現在の運用 | 何を求められ、今どうしているか |
| 根拠として使える文書・画面と、確認できた範囲 | 資料の存在と、そこから言えること |
| 残る確認と次の作業 | 判断を終えていないこと |
資料が見つからなくても、すぐに「実施していない」とは扱いません。普段は行っていても、記録の場所が分からないことや、説明できる形になっていないこともあります。「行っているが、証拠はまだ確認していない」と「行っていない」も違います。
ここを混ぜると、すでに回答したことを何度も聞かれたり、必要のない作業を始めたりします。以前の回答は残したまま、追加資料によって何が分かったかを追記する形にしました。
AIの確認は、そのままだと増え続けることもある
今回、AIを使っていて少し気になったのが、確認事項が増えていくことでした。一つの設定を見せると次の画面を確認したいと言われ、実行結果を見せると別の記録が必要になる。より安全な運用を考えれば、追加で確認できることはいくらでもあります。
しかし、そのすべてが、今回の要求事項を満たすための必須作業とは限りません。
例えば、電源対策の自動連携について確認が広がった場面がありました。自動連携には検討する価値がありますが、今回照合している公式項目と、追加の改善案を分ける必要がありました。
PCの更新でも、その日の再起動を確認する話と、更新を継続的に適用する運用の話は別です。一度再起動した画面を残しても、それだけで日々の更新管理が分かるわけではありません。一方で、今日の再起動証拠がないことだけを、新しい不足事項として扱うのも違います。
そこで、途中からAIへの確認を次の問いに戻しました。
公式原文が求めていることは何か。
今ある資料で、どこまで確認できるか。
追加で勧めていることは、必須の確認なのか、改善案なのか。
これはAIを使わない場合にも必要な整理だと思います。ただ、AIは次々に確認案を出せるため、人が作業の目的と範囲を戻す場面がありました。AIに整理を手伝わせながらも、会社の実態と公式原文に照らして判断する必要があります。
自動化していない運用も、実態から整理する
バックアップでも、言葉の整理が必要になりました。世代バックアップと、別の保存先へのコピー。保存先の機器と、コピーを行うソフト。それぞれを「バックアップ」という一つの言葉で話すと、どの設定や実行結果を確認しているのか分かりにくくなります。
また、すべてが自動で動いているわけではありません。現状自動化していない部分は、そのまま説明しました。実際には手動なのに、一般的な構成図や以前の説明に合わせて、自動連携していることにしても意味がありません。
確認の中心は、何を対象に、どの頻度で、どこへ保存し、どの期間残すか。そして、実際に取得できているかです。自動化は、その運用を続けやすくする手段として考えます。
手動の部分があれば、実行の抜けや担当者への依存をどう減らすか、完了をどう記録するかという課題は残ります。ただ、自動化していないという一つの理由だけで、現在の運用全体を判断しないようにしました。
以前の記事では、世代バックアップから一つのファイルを取り出して開いた経験を書きました。今回、その記録は再利用できます。そのうえで、対象ごとの復元手順や、担当者が不在でも分かる説明を整える。確認済みのことを毎回やり直すより、そこから次に必要な部分へ進む方が、準備を続けやすいと感じました。
会社の仕事の流れは、こちらから伝える必要がある
要求事項を読むときには、自社がどのように仕事をしているかも整理する必要がありました。どの情報を受け取り、誰が扱い、どこへ保存し、どの相手と共有するのか。会社によって、その流れは違います。
AIは一般的な確認事項を出せますが、当社の仕事の流れを最初から知っているわけではありません。そのため、業務の受け方、外部との情報共有、事務処理、社員の使い方などを説明し、確認範囲を実態に合わせていきました。
同じ「委託契約」でも、何を委託する契約なのかによって、確認する情報や相手は変わります。同じ「クラウド利用」でも、社員が使うサービスと、会社として資料を保存する場所では、管理の見方が違います。
一般的なひな形をそのまま広げるのではなく、実際の情報の流れに沿って確認する。使っていない仕組みを前提に作業を増やすことも、会社が小さいからという理由で必要な確認を省くことも避けたいと思っています。少人数の会社で続けるには、必要な範囲を明確にし、その範囲で守れる仕組みにすることが大切だと感じました。
AIへ渡す情報も、会社として線引きする
今回の作業を通じて、AIの使い方自体も情報管理の一部だと改めて感じました。社員が日常業務で使う場合も、会社として資料整理や仕組みづくりに使う場合も、どの環境で何を扱うかを決めておく必要があります。
法人向けのAI環境を使っていても、それだけで、どの資料でも渡してよいと判断できるわけではありません。今後のルールは、まず次のような内容を中心に整理する考えです。
- 業務では、会社が確認・承認したAIサービスとアカウントを使う
- 公開情報や一般的な相談と、個人情報・未公開の業務資料を分ける
- 業務資料を渡す場合は、必要な範囲、契約条件、サービス側の取扱条件を確認する
- 判断に迷う情報は、社員個人の判断で入力せず確認する
- AIの回答や作成物は、人が確認してから業務に使う
対象はチャットへの文章入力だけではありません。ファイル添付や、クラウド上の資料をAIに参照させる場合も含みます。
何でも禁止すれば、日常業務で使えるルールにはなりません。一方で、担当者ごとの感覚だけに任せていると、会社として入力範囲を把握できなくなります。IPAのAIセキュリティ資料も参考にしながら、会社が認めた環境で、どの情報を、どの条件で使えるのかを整理していきます。
今回の準備でAIを使ったからこそ、その利用方法も会社の管理対象として考える必要が出てきました。
会話を、次に使える管理データへ変える
確認を進めると、会話も長くなります。機器の情報、契約の確認、設定画面、運用の説明、未確認事項。これらが会話の中にだけ残っていると、後から探すことも、別の担当者へ渡すことも難しくなります。
そこで今回、集めた情報を対応表とデータとして保存しました。どの資料を確認したか、どこに保存してあるか、何が確認済みで、何がまだ残っているか。問い合わせ中のものは何か。それらを、次の作業で参照できる形にしました。
手元で照合対象にした81の評価項目についても、既回答と追加資料の対応を一覧にしています。ただし、これは準備のための整理であり、すべての項目の適合が確定したという意味ではありません。
さらに、会話を新しいチャットへ移す際には、データの保存場所と続きの作業を引き継ぎ文にまとめました。AIが以前の会話を覚えていることに期待するより、確認した事実と作業の続きを、読める形で残しておく。
これは、社員間の引き継ぎや担当者不在時の対応にも、そのまま通じる考え方だと思います。集めた情報は、資産台帳やアカウント一覧、バックアップの運用記録、復元手順などを整える土台にもなります。
まだ準備は途中です。それでも、会社にある文書や日々の運用を、後から確認できる情報へ移すところまでは進みました。
SCS★3を目指す過程で、すでに行っていることを見つけ、足りない部分を補い、ほかの人にも分かる形へ残していく。AIに整理を手伝わせながら、その確認範囲と判断は人が持つ。今回の作業では、その両方が必要だと感じました。