NISTのAI活用CSFガイド案から考える中小企業がセキュリティ点検をAIで始める3つの条件

米国NISTは2026年8月19日、Cybersecurity Framework 2.0（CSF 2.0）の分析や報告にAIを使うためのクイックスタートガイド案「NIST SP 1353」を公開しました。案では、AIを使ってサイバーセキュリティ方針のレビュー、現状プロファイルの作成、目標状態の整理を行う例が示されています。これは米国の枠組みに関する文書ですが、中小企業にとっても「セキュリティ点検をどこから始めるか」を考える材料になります。

NISTは同じCSF 2.0の中で、中小企業向けクイックスタートガイドも公開しています。そこでは、サイバーセキュリティを「理解する、評価する、優先順位を付ける、伝える」ための任意の枠組みとして説明し、Govern、Identify、Protect、Detect、Respond、Recoverの6つの機能で整理しています。AIはこの枠組みを置き換えるものではなく、社内の情報を整理し、確認すべき点を洗い出す補助として使うのが現実的です。

条件1: 最初に資産台帳を作る

AIに「当社のセキュリティ対策を評価して」と聞いても、社内にどの端末、クラウド、Webサイト、業務システム、外部委託先があるのか分からなければ、答えは一般論になります。中小企業でまず必要なのは、高度な診断よりも、守る対象を一覧化することです。

NISTの中小企業向けガイドでも、ハードウェア、ソフトウェア、システム、サービスの棚卸しや、資産が扱う機密情報、管理者、多要素認証の有無などを整理する考え方が示されています。IPAの中小企業向け情報セキュリティ対策ガイドライン第4.0版でも、段階的な対策や自社診断の資料が用意されています。AIに読ませる前に、まずは「何を持っているか」を表にすることが、AI活用の精度を左右します。

条件2: AIには証拠付きのたたき台を作らせる

NIST SP 1353の特徴は、AIに単なる助言を求めるのではなく、既存文書やインタビュー記録をCSF 2.0の成果に対応付け、仮定や確認不足を記録する使い方を例示している点です。中小企業でも、情報セキュリティ基本方針、クラウド利用ルール、委託先一覧、バックアップ手順、障害時の連絡先などを材料にすれば、現状整理のたたき台を作れます。

ただし、AIの出力はそのまま監査結果や保証にはなりません。重要なのは、AIの回答に「どの文書を根拠にしたのか」「どこは推測なのか」「確認すべき不足情報は何か」を分けて出させることです。出典のない断定や、社内に存在しない手順を前提にした提案は、便利そうに見えても実務では危険です。

AIでセキュリティ点検を始める時は、採点より先に、根拠文書、未確認事項、担当者確認が必要な項目を分けて出すことが大切です。

条件3: 優先順位は人が決める

AIは、対応候補を並べることは得意です。しかし、どれを先にやるべきかは、事業への影響、取引先との約束、利用中のシステム、予算、人員、繁忙期などによって変わります。たとえば、同じ「バックアップ未整備」でも、受注管理システムと社内掲示用の共有フォルダでは、止まった時の影響が違います。

NISTのCSF 2.0は、セキュリティを事業リスクとして整理する考え方を重視しています。IPAのガイドラインも、経営者が認識し実施すべき指針と、社内で実践する手順を分けています。AIに優先度案を作らせる場合でも、最終的には経営者、現場責任者、IT担当、外部支援者が、事業への影響を見て順番を決める必要があります。

中小企業での始め方

まずは、全社を一度に点検しようとせず、1つの業務を選びます。候補は、顧客情報を扱う業務、売上や請求に関わる業務、止まると納期に影響する業務です。その業務について、使っているシステム、保存しているデータ、管理者、外部委託先、バックアップ、障害時の連絡先を一覧化します。

次に、その一覧と既存ルールをAIに読み込ませ、「根拠がある項目」「根拠が不足している項目」「人が確認すべき質問」に分けて整理させます。最後に、経営者や担当者が確認し、すぐ直すもの、次の更新時に直すもの、外部専門家に相談するものへ分けます。この流れなら、AIを使っても判断責任があいまいになりにくく、最初の一歩を小さく始められます。

AIは点検を速くするが、責任を代わるものではない

NIST SP 1353は初期公開ドラフトであり、NIST自身も例示は規範的な評価手法ではないと位置付けています。つまり、AIを使ったCSF分析は、正式な監査や保証の代替ではありません。それでも、文書を読み合わせ、抜け漏れを洗い出し、改善候補を整理する用途では、中小企業の負担を下げる可能性があります。