ISACAニュースダイジェスト

・2026年8月6日　16:00 (UTC)〜　60分、1CPE
「ウェビナー： AIベンダーリスク急増を抑えるためのAI活用」
[Webinar— Using AI to Tame the AI Vendor Risk Explosion]

span color="#313131" face="Arial" style="color: #313131; font-family: Arial;">組織はより多くの「ビルダー（AIツールを使って業務を構築する人材）」を採用しており、従来の審査プロセスでは対応できないほどのベンダーパイプライン（処理待ち案件）を大量に流入させている。この状況を引き起こしている主因はAIツールであり、AIベンダーはスタック（待ち行列）の中で最もリスクの高い集団である。AIベンダーの導入は増加しており、その3分の1以上が高リスクまたは重大リスクとしてフラグ付けされている。
このセッションでは、セキュリティおよびGRCのリーダーに向けて、AI搭載のTPRM（Third Party Risk Management）を活用し、導入ペースに合わせる方法を紹介し、常に遅れていたプログラムを変化に対応できるものに変える。

• 構築ブームがいかに新たな「サードパーティ・リスク」を生み出すか
• リスク階層と自動化を活用したベンダー審査の再設計方法
• AI搭載の継続的モニタリングの実際

【専門領域】

<<@ISACA>>

https://www.isaca.org/resources/news-and-trends/newsletters/atisaca

・「COBITが教えてくれた、テクノロジー・ガバナンスに関する30の教訓」
[Thirty Things COBIT Taught Us About Governing Technology]

30年。それは、組織がテクノロジーを単なる「魔法の箱」として扱うのをやめ、真の戦略的資産として適切にガバナンスできるよう支援し続けてきた30年間である。COBITは今年で誕生から30周年を迎える。この分野で一定の経験を積んできた方であれば、意識しているかどうかにかかわらず、このフレームワークが自身の思考のあり方に何らかの影響を与えていることは間違いない。
私は、「ガバナンス」といえば棚に置かれたバインダーを指し、「アラインメント（整合）」といえばIT部門が年に一度の予算会議に呼ばれることだった時代から、COBITに携わってきた。そこで、この記念すべき節目に、テクノロジー・ガバナンスについてCOBITが私たちに教えてくれた30の教訓を紹介する。それは、私たちの周囲の世界が認識不能に変わった中で驚くほど今も色あせない教訓である。

<<Industry News>>

https://www.isaca.org/resources/news-and-trends/industry-news
※ セキュリティ・リスク・ガバナンス・監査の専門家からの洞察、実践的なヒントを提供するコーナーです。

・「プライバシーリスク管理:ビッグデータ時代の盾」
[Privacy Risk Management: A Shield in the Age of Big Data]

プライバシーリスクとは、個人がデータ処理に伴う問題を経験する可能性と、その問題が発生した場合の影響を指す。プライバシーリスクには、適切な安全策がない技術的措置、ソーシャルメディア攻撃、モバイルマルウェア、第三者アクセス、不適切な設定による過失、古いセキュリティソフトウェア、ソーシャルエンジニアリング、暗号化の欠如などが含まれるが、これらに限定はされない。プライバシーリスクはデータライフサイクル全体に存在し得る。したがって、データを適切に管理・統治することが重要である。
データのライフサイクル全体を通じて、さまざまなプライバシーリスク管理活動を実施することが可能である。プライバシーリスク管理の枠組みを設計することは、組織がデータの検証と保護を確保し、データを監視・管理し、すべての適用法や規制を遵守するために取るべき第一歩である。包括的なプライバシーリスク管理フレームワークを確立することは、機密情報を保護するだけでなく、関係者間の信頼を育み、データ主導の高まる世界で長期的な成功と持続可能性を保証する。

<<ISACA Now Blog>>

https://www.isaca.org/resources/news-and-trends/isaca-now-blog
※ 各界の専門家による短い記事がほぼ毎日更新されています。ホットな話題が掲載されることが多いので、興味のあるテーマを選んでチェックしてみてはいかがでしょうか。

・「CISO対シャドウAIの冷戦」
[The CISO vs. Shadow AI Cold War]

CEOは全社ミーティングの場で、新しい生産性向上ツールを実演している。エンジニアリング部門は、デプロイを加速させるために、すでに大規模言語モデルを本番システムに組み込んでいる。マーケティング部門は、生のデータから顧客インサイトを導き出すために、サードパーティ製のAIツールを活用している。
多くの組織で、CISOはこれらの決定に関与していない。彼らはしばしば、ツールがすでにワークフローに組み込まれた後に非公式なチャネルを通じて後から知ることになる。
これがAI導入のデフォルトの運用モデルになりつつある。
AIは、明確な所有権やガバナンスを持つ構造化されたプログラムを通じて導入されているわけではない。業務機能を通じて導入され、日常的なツールに組み込まれ、すでに全社レベルで承認されたプラットフォームの標準機能として有効になっている。その結果、AIの導入は従来のセキュリティモデルが対応できないという形でガバナンスを追い越している。

<<ISACA Journal>>

「2026　Volume 4　データの二重性」
企業は、データの収集から削除に至るまで、慎重にデータを扱う必要がある
[2026 Volume4 The Dual Nature of Data]

・「エージェント型AIガバナンスにおける制御ギャップへの対応」
[Addressing Control Gaps in Agentic AI Governance]

現在AIエージェントを使用している組織は、少なくとも何らかのガバナンス管理を導入している可能性が高い。例えば、AIエージェントが高影響のアクションを取る前に人間の承認を求めたり、監査目的でAIエージェントの活動を記録したりするなどである。多くの企業はAIエージェントに対してロールベースアクセス制御(RBAC)も採用している。これらの制御は、組織の既存の人間のアイデンティティ・アクセス管理(IAM)プログラムから直接引き継ぐことができる。しかし、これらの制御は合理的な初期のガバナンスアプローチを示すものの、自律的なAIエージェントが作業を他のAIエージェントに委譲したり、外部ツールを動的に選択したり、技術的・組織的信頼の境界を越えたりする場合には、十分な監督を提供しない。
人間を対象としたIAMや従来のガバナンスモデルは、認証されたユーザーやシステムは一般的に予測可能な役割内で動作するという前提に依存している。エージェントシステムはその前提に反する。すなわち、認証情報として有効であっても、リクエストの元の目的と文脈的に一致しないアクションを取ることがある。その結果、正式なセキュリティ審査を受けていないツールを呼び出すこともある。エージェントシステムは、元の人間の要求に帰属しにくいアクションを生成することもある。リスクおよび保証チームにとっては、所有権の特定、証拠の記録、堅牢な管理設計がほぼ不可能となる。
これらの課題に対処するため、Coalition for Secure AI（CoSAI）、Open Worldwide Application Security Project(OWASP)、Internet Engineering Task Force (IETF)は、モデルの挙動にとどまらず、識別、認可、来歴、制御に関する説明責任を含むよくあるガバナンス質問を特定している。目的はエージェント型システム（agentic systems）向けの標準を策定すること。最終的な基準を定義するには時期尚早であるが、いくつかの明確なガバナンスのニーズが浮上している。
多くの企業向けAIエージェントガバナンスプログラムがまだ解決していない4つのギャップがある。
組織は、今日実施可能な実用的な管理を必要としている。組織は行動を起こし、既存の企業ガバナンスの期待に沿った最低限の検証および審査可能な制御体制を確立する時である。
ギャップ1：権限委譲連鎖のガバナンス
ギャップ2：ツール起動のガバナンス
ギャップ3：承認された範囲と実施された範囲
ギャップ4：暫定的な最低統制ベースラインの欠如