ISACAニュースダイジェスト Vol.132

【教育・CPE獲得の機会】

<<Webセミナー(Webinar)>>

https://www.isaca.org/training-and-events/online-training/webinars
※ ISACA会員は無料でCPEを獲得できます。なお、開始時間はサイトに表示されているUTC（協定世界時）あるいはホストの現地時間としていますのでご留意ください。

・2027年6月25日まで視聴可能　60分、 1CPE
「ウェビナー：エンドポイント脆弱性管理の新時代へ」
[Webinar—Step into the New Era of Endpoint Vulnerability Management]

従来の脆弱性スキャナーはスケジュールに基づいて動作するが、攻撃者はそうではない。CVEの件数が急増するにつれ、脆弱性の開示から数時間以内に悪用が開始される可能性がある。しかし、ほとんどの組織は依然として定期的なスキャンと手動ワークフローに依存しており、発見から修復までの間に危険なタイムラグが生じている。NinjaOneのリアルタイム評価機能を備えた脆弱性管理[Vulnerability Management with Real-Time Assessment]は、このギャップを解消する。AIを活用してエンドポイントテレメトリを最新のCVE情報と継続的に関連付けることで、脆弱性を数分以内に特定し、影響を受ける資産（オフラインデバイスを含む）に直接マッピングする。検出結果は、自律型パッチ管理にシームレスに統合され、単一のプラットフォーム上で自動的な修正が行われる。

・2026年7月7日　16:00 (UTC)〜　60分、1CPE
「ウェビナー—ハイパーTPRM：規模、スピード、信頼性を考慮したサードパーティリスクの再考」
[Webinar—Hyper TPRM: Rethinking Third-Party Risk for Scale, Speed, and Confidence]

サードパーティリスク管理は限界に達しつつある。ベンダーのエコシステムはリスク管理チームの対応能力を上回るスピードで拡大し、リスクシグナルは断片化され、従来のアプローチでは組織が現在必要とするスピード、網羅性、そして防御力を実現することが困難になっている。
このセッションでは、拡張性を考慮して構築された、サードパーティリスク管理のための最新アプローチであるHyper TPRMを紹介する。Hyper TPRMは、データ優先のインテリジェンス、ワークフロー、コミュニティ主導の交換モデル、AIアクセラレーションを組み合わせ、最も重要な場面では人間による確認を行うことで、アンケート主導のプロセスを超越する。

・2026年10月14日まで視聴可能　60分、 1CPE
「ウェビナー—ITAF 5：デジタル企業における監査の役割の変化」
[Webinar—ITAF 5: The Evolving Role of Audit in the Digital Enterprise]

IT監査フレームワーク（ITAF）が最後に更新されてから6年が経過し、運用環境は大きく変化した。現在では、テクノロジーがトランザクションを実行し、サードパーティのエコシステムを通じて組織をつなぎ、自動化とAIによって意思決定を行うことが増えている。その結果、監査チームは次のような新たな疑問に直面している。自動化された結果は信頼できるのか？　サードパーティリスクは誰が負うのか？　なぜ監査はもっと早く関与しなかったのか？
ITAF 5は、これらの思いに応えている。
このセッションでは、フレームワークを実践に落とし込み、保証が従来の統制テストを超えて、システム主導の成果を評価するまでどのように拡大していくかを説明する。

【専門領域】

<<@ISACA>>

https://www.isaca.org/resources/news-and-trends/newsletters/atisaca

・「AI監査証跡：AIポリシーからAI証明まで」
[The AI Audit Trail: From AI Policy to AI Proof]

AIガバナンスを文書作成作業として捉えているだけでは、意図を示すだけで、証明にはならない。ポリシーによって、AIシステムが重要な局面で正しく動作したことを証明することはできない。証明するためには、実行時の証拠が必要だ。企業向けAIにおけるより深刻なリスクの一つは、システムが（アクセス権の不足等により）正しい答えを伝えるべきではない人に対して正しい回答を出力してしまう可能性があるということだ。ハルシネーションにばかり注目が集まり、制御の失敗に十分な注意が払われていない。出力ログだけでは不十分であり、制御経路の記録がないままイベントの記録だけが残ることになる。機密性の高いAI出力が、認証されたリクエストに基づき、承認されたデータを使用し、かつ厳格な管理の下で生成されたことを示す監査可能な証拠を、組織が提示できない場合、その組織はまだ監査可能なAIガバナンスを確立していないことになる。ポリシーとは意図であり、証明とはガバナンスである。

<<Industry News>>

https://www.isaca.org/resources/news-and-trends/industry-news
※ セキュリティ・リスク・ガバナンス・監査の専門家からの洞察、実践的なヒントを提供するコーナーです。

・「AIの利用が加速する一方で、ガバナンスとROI（投資対効果）は遅れをとっている、とISACAの新調査が指摘」
[AI Use Accelerates, While Governance and ROI Lag, Says New ISACA Research]

3,400人以上のデジタルトラスト専門家を対象とした本調査では、従業員の90%が組織内でAIが活用されていると回答した一方、ROIが期待通りと答えたのはわずか22%にとどまった。正式なAI方針を策定している組織も38%に過ぎず、ガバナンス整備の遅れが浮き彫りになった。AIスキルへの需要は高まっており、78%が自身の職業に不可欠と回答。一方でインシデント対応の準備不足も深刻で、56%がAIシステムの停止にかかる時間を把握していない。AIリスクとしては誤報・偽情報（82%）やプライバシー侵害（74%）への懸念が高く、AI導入に関連する倫理基準に十分な注意を払っていると答えた回答者はわずか11%だった。

<<ISACA Now Blog>>

https://www.isaca.org/resources/news-and-trends/isaca-now-blog
※ 各界の専門家による短い記事がほぼ毎日更新されています。ホットな話題が掲載されることが多いので、興味のあるテーマを選んでチェックしてみてはいかがでしょうか。

・「悪意あるAIエージェントの管理」
[Managing Malevolent AI Agents]

AIエージェントは複数ステップのアクションを実行し、環境と相互作用して目的達成のために行動を適応させるシステムである。制約下でも目標達成への執着を示し、直接的な経路が遮断された場合でも代替手段を模索する。プロンプトは制御ではなく、アラインメントは強制ではない。エージェントはAIポリシーを参照せず、利用可能な権限と実行経路の範囲内で動作する。アーキテクチャはアルゴリズムよりも重要であり、脆弱なシステム内に高度な能力を持つエージェントが存在すれば、どんな攻撃者よりも速くシステムを悪用する。損害を与えるのに悪意のあるAIは必要ない。必要なのは目的を追求し、環境内で動作し、技術的に制約を受けない行動をとれるエージェントである。

<<ISACA Journal>>

「2026年第3号 仕事の進化」
[2026 Volume3 The Evolution of Work]

・「すべての監査はテクノロジー監査である —— ITAFはどのようにして監査をデジタルワークプレイスに適合させるか」
[Every Audit Is a Technology Audit—How ITAF Aligns Audit With the Digital Workplace]

組織のデジタル化が進む中、監査機能も進化が求められている。テクノロジーはもはやサポート機能ではなく運用モデルそのものであり、リスクは個々の取引ではなくシステム設計や制御ロジックに組み込まれるようになった。ITAFはISACAのIT監査および保証に関する専門的実践フレームワークであり、監査人が監査業務を計画および実行するのに役立つ原則、基準、およびガイダンスを提供する。今年初め、ISACAはこのフレームワークの重要な更新版を発行した。
監査実務者にとっての課題は、デジタル主導の環境において成果がどのように生み出されるかに合わせて、保証業務を調整することであり、「すべての監査はテクノロジー監査である」という認識が現実のものとなっている。

・「未来への備え：自律型AI（エージェント型AI）のガバナンス・フレームワーク」
[Future-Ready: An Agentic AI Governance Framework]

AIエージェントとエージェント型AIの急速な普及は、業務の遂行・調整・ガバナンスの方法を根本的に変えつつある。AIエージェントやエージェント型AIは生産性の向上につながると同時に、さまざまな新たなリスク要因ももたらす。主なリスクとして、タスク目標の誤解釈、ポリシーとの不整合、認証情報の悪用、データ漏洩、セキュリティ上の敵対的操作などが挙げられ、エージェント型AIのスケーラビリティによってこれらは指数関数的に増幅される可能性があり、適切なガバナンスなくして技術的な安全対策のみでは不十分である。
こうしたリスクに対応するため、人事管理の手法をAI管理に応用したAIRPフレームワークの導入が有効である。この人事慣行に基づく改定版のガバナンスフレームワーク(AIRP)は、AIリソース管理、AIエージェントの配置・異動、導入から廃止までのライフサイクル管理、運用セキュリティおよびトレーニングなどの実践事項を含む。AIRPに基づく改訂版ガバナンス・フレームワークを導入する組織にとっての最初のステップは、人事（HR）リソースとAIリソースの両方を管理する責任を担う統合的な組織機能を確立することである。