ISACAニュースダイジェスト

【教育・CPE獲得の機会】

<<Webセミナー(Webinar)>>

https://www.isaca.org/training-and-events/online-training/webinars
※ ISACA会員は無料でCPEを獲得できます。なお、開始時間はGMT+9（日本時間）で記載しています。

・2026年9月2日　1:00（GMT+9）〜　60分、1CPE
「ウェビナー：リーダーへの昇進：5つのステップからなる青写真」
[Webinar— Ascending to Leadership: A 5-Step Blueprint]

技術的な専門性から組織全体のシニアレベルの権限へとキャリアを移行するには、責任範囲を広げるために、重要な感情的知性、コラボレーション能力、監督能力、コミュニケーション能力を向上させる必要がある。このインパクトの高いリーダーシップワークショップは、マネジメント層がコーチング対象チームを拡大し、複雑な不確実性の中で部門横断的なパートナーを活用し、競争優位性をもたらす意思決定を行えるよう支援する。

• 幅広い視野と専門分野の深さを兼ね備えた「T字型」スキルを習得しエグゼクティブとしての存在感と威厳を高める
• ビジョン、共感力、自信、決断力を示すテクニック
• ステークホルダーマッピングのヒントを活用し、賛同を得て影響力を拡大する
• ミドルマネージャーをフォース・マルチプライヤー（戦力倍増要員）へと育成するコーチングフレームワーク
• データストーリーテリングと戦略に沿った成果の表現方法
• より高度なマネジメント職に求められる、マインドセット、エグゼクティブとしてのペルソナ、戦略的影響力、チームリーダーシップ、ビジネスインパクトの測定といった重要な領域の向上に焦点を当てる

【専門領域】

<<@ISACA>>

https://www.isaca.org/resources/news-and-trends/newsletters/atisaca

・「量子技術がもたらす未来に備えるための、今役立つ5つのリソース」
[Five Timely Resources to Prepare You for the Quantum Future]

量子コンピューティングの実用化に向けた動きは加速しており、企業にはそのための備えが求められている。具体的な時期が確定しているわけではないが、量子技術がもたらす大きな変化に対し、貴社が万全の体制を整えておくことが重要である。

急速に近づく新時代に向けて適切な準備を進められるよう、貴社に役立つ5つの量子関連リソースをまとめたのでぜひご活用されたし。

・「ISACAのリソースへより迅速かつスムーズにアクセスできる新しいEコマースプラットフォーム」
[New E-Commerce Platform Provides Faster, Smoother Access to ISACA Resources]

ISACA の新しく強化された e コマース プラットフォームを通じて、メンバーにとってショッピング、入会、更新、特典へのアクセスがより迅速かつ簡単になる。

新しいコマース エクスペリエンスは、ローカライズされた価格設定、パーソナライゼーションの強化、長期にわたる新しいメンバー エクスペリエンスなど、継続的な機能強化の基盤を作成する。
新しいエクスペリエンスにより、お客様は次のことが可能になる。

• 簡素化されたナビゲーションとチェックアウトにより、より迅速に買い物ができる
• 自動支払い機能とプロアクティブなリマインダーにより、安心して更新できる
• 製品の新しいバンドルを通じてより効率的に購入し、学習者がより早く目標を達成できるようにする
• 安全な認証やデジタル ウォレットを含む新しい支払いタイプなど、最新の支払いテクノロジーと詐欺防止機能を利用して安全に買い物ができる
• モバイルファーストのレスポンシブデザインを活用したデバイスの柔軟性を活用して、デバイス間で同じ優れたエクスペリエンスを実現する
• パーソナライズされたレコメンデーションとアカウント管理により、より関連性の高いエクスペリエンスが得られる

<<Industry News>>

https://www.isaca.org/resources/news-and-trends/industry-news
※ セキュリティ・リスク・ガバナンス・監査の専門家からの洞察、実践的なヒントを提供するコーナーです。

・「コードとしてのガバナンス：GRCプログラムの設計へのソフトウェア工学原則の適用」
[Governance as Code: Applying Software Engineering Principles to GRC Program Design]

長年にわたる文書化された統制（コントロール）、良好な監査実績、そして経営層の支援を伴うガバナンス・リスク・コンプライアンス（GRC）プログラムであっても、その主要な統制担当者が組織を離れると、急速に破綻してしまうことがある。その破綻は、何らかの侵害（セキュリティ侵害など）によって引き起こされるわけでも、悪意ある攻撃者が関与しているわけでもない。単に、証拠収集のプロセスがその担当者個人の組織的知識の中にのみ存在しており、その担当者が不在でも機能し続けるような設計になっていなかったというだけのことである。

こうした構造的な弱点は、プログラム自体の設計に起因している。手作業によるプロセス、曖昧な責任の所在、そして特定の時点でのみ行われる証拠収集に基づいて構築されたガバナンス・プログラムは、本質的に脆弱なものである。それらは、プログラムを運用する個人の継続的な関与と、その個人が持つ組織的知識に依存しているからである。担当者が不在になれば、プログラムの質は低下する。このパターンは、大規模に運用されているガバナンス・プログラムにおいて最も頻繁に見られる構造的欠陥の一つである。そして、これは本質的にはコンプライアンス上の失敗ではない。これはエンジニアリング（工学）上の失敗であり、別の分野では何十年も前に解決策が確立されている類の問題なのである。

・「これは訓練ではない：露出しているすべてのOTデバイスを切り離すべし」
[This Is Not A Drill: Disconnect All Exposed OT Devices]

2026年、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、脅威アクターの活動活発化を受け、重要インフラの一部に対し、インターネットに公開されているすべてのOT（運用技術）デバイスをネットワークから切り離すよう促す警告を発した。 業界では10年以上にわたり、ITとOTの融合やOTネットワークの脆弱性について議論が重ねられてきたが、その過程での判断が、新たなOTシステム侵害の連鎖を招く結果となった。公平を期して言えば、多くのセキュリティ実務者がこの警告に驚くことはない。そもそも、デバイスをインターネットに接続すれば、侵害のリスクにさらされることになるからである。しかし、このリスクは今に始まったことではない。2024年にも、攻撃者が米国の主要な水道事業者を標的にしている。将来的な被害を軽減するためには、今こそOTシステムへの侵害について正しく理解する必要がある。

はっきりさせておくと、侵害のリスクはインターネット接続可能なデバイスに限ったことではない。エアギャップ（外部ネットワークから物理的に隔離された環境）下での侵害に関する数多くの査読付き文献が、その証拠を示している。とはいえ、インターネットに接続されたデバイスは「物理的な近接性」という制約を取り払うため、攻撃を受ける可能性を高めることになる。

本記事のタイトルは、著者の米国海軍時代の経験に由来するものであり、意図的に選ばれたものである。海軍の乗組員はさまざまな事態に備えて訓練を行なうが、中でも「総員配置（General Quarters：GQ）」は、あらゆる準備訓練の中で最も重要なものである。 そもそも、艦船に配属された乗組員こそが、多くの読者が「911」や「112」、「999」といった緊急通報先を連想するような、緊急事態への対応を担う存在なのである。 訓練を繰り返すと油断や慣れが生じやすいため、現実の脅威であることを示すために「これは訓練ではない（this is not a drill）」という言葉が付け加えられる。端的に言えば、あらゆるレベル、あらゆるセクターのリーダーたちが、これほど重大かつ長年にわたる課題に対して、十分な進展を見せてこなかったということである。

現状を認識することと、実際に行動を起こすことは別物である。

<<ISACA Now Blog>>

https://www.isaca.org/resources/news-and-trends/isaca-now-blog
※ 各界の専門家による短い記事がほぼ毎日更新されています。ホットな話題が掲載されることが多いので、興味のあるテーマを選んでチェックしてみてはいかがでしょうか。

・「AIの経済学：組織に損失をもたらしているAIに関する6つの誤解」
[The Economics of AI: Six AI Myths That Are Costing Your Organization Money]

Uberは2026年を、多くの企業が羨むような問題を抱えてスタートした。従業員はAIを積極的に導入し、エンジニアはClaude CodeやCursorといったツールを活用していた。

それから、請求書が届いた。

報道によると、Uberは2026年4月までにAIコーディングツールの年間予算を使い果たし、支出の上限設定、利用状況ダッシュボードの導入、追加容量のための例外処理プロセスの導入を余儀なくされた。さらに懸念されたのは、支出が何を生み出したのかが不明確だったことである。同社は、AI利用の増加と顧客にとってより有用な機能の提供との間に明確な関連性を見出すことができなかった。Uberの事例は、より広範な誤解を浮き彫りにしている。AIの利用と支出の増加は、必ずしもビジネス価値を生み出すとは限らないのである。

一定レベルのAI機能を実現するためのコストは一般的に低下している。しかし、企業はより高度なモデルを採用し、より多くの情報を処理し、AIを企業ワークフローに組み込んでいる。そのため、トークンあたりの価格が低下しても、総支出額は急速に増加する可能性がある。

しかし、多くの企業は依然としてAIを従来のソフトウェアと同様に予算化している。つまり、購入し、導入し、ライセンス料を支払うというやり方である。しかし、AIの経済性は、単価、消費量、価値という3つの変動要因によって左右される。以下に挙げる6つの誤解は、よくある思い込みが、組織にコストの過小評価、消費量の管理ミス、そしてメリットの過大評価を引き起こす可能性があることを示している。

・「リーダーシップチームのサイバー危機対応力を強化するための、極めて実践的な3つのステップ」
[Three Highly Actionable Steps to Strengthen Your Leadership Team’s Cyber Crisis Readiness]

甚大な被害をもたらすサイバー侵害は、単に企業のサイバーセキュリティ対応体制を試すだけにとどまらない。最終的にどのようなビジネス上の影響が生じるかは、信頼が失われ始める前に、経営陣がいかに効果的に連携し、意思決定を行い、一貫したメッセージを発信できるかにかかっている。

サイバーセキュリティやテクノロジー関連のチームを20年以上にわたり率いてきた経験の中で、私は同じような事態が繰り返されるのを何度も目の当たりにしてきた。組織が技術的な対策に巨額の投資を行っても、いざサイバーインシデントが発生すると、ガバナンス、責任の所在、意思決定プロセスにおける不備が露呈してしまうのである。

本記事では、サイバーインシデントによって不確実な状況が深刻かつ長期的なレピュテーション（社会的信用）や財務上の損害へと発展する前に、ビジネスリーダーが重要な不備を特定し、それを解消するための実践的な戦略を提示する。

・「フレームワークを管理するためのフレームワーク：COBITとガバナンス・ギャップ」
[The Framework to Manage Frameworks: COBIT and the Governance Gap]

あらゆる企業が「ガバナンス負債」を抱えているが、その負債の返済期限が迫っていることに気づいている企業はほとんどない。

私たちは常々「技術的負債」について議論する。これは、コードやアーキテクチャにおける安易な近道（手抜き）が積み重なり、やがてシステムが破綻に至るというものである。ガバナンス負債も同様の仕組みで蓄積される。組織は、基盤を刷新することなく、古い構造、すなわち既存の委員会や意思決定の権限、そして同じ証拠確認の仕組みの上に、新しい技術や方針、そして新たな緊急課題を次々と積み重ねていく。それは進歩しているように感じられ、見た目にも進歩しているように映る。しかし、規制当局やインシデント、あるいは取締役会から鋭い質問を投げかけられた途端、その脆さが露呈してしまう。

技術の進化の速さとガバナンスの適応の遅さ、このギャップこそが、2026年以降に直面するガバナンス上の課題である。希望となるのは、このギャップを埋めるために新たなフレームワークが必要なわけではないという点である。必要なのは、私たちがすでに持っているフレームワークを、本来意図された通りに活用することである。

<<ISACA Journal>>

「2026　Volume 4　データの二重性」
企業は、データの収集から削除に至るまで、慎重にデータを扱う必要がある
[2026 Volume4 The Dual Nature of Data]

・「学習モデルにおけるバイアスの抑制」
[Combating Bias in Learning Models]

機械学習（ML）モデルは現在、かつては人間の判断にのみ委ねられていた意思決定（融資の承認、採用の可否、保険料率の設定、ローン債務不履行の予測など）に影響を及ぼしている。これらのモデルが特定の人口統計学的グループに対して体系的に不公平な結果をもたらす場合、その影響は単なる理論上の問題にとどまらない。規制当局による制裁、集団訴訟、顧客離れ、そしてレピュテーション（社会的信用）の低下といった事態を招く恐れがある。

アルゴリズムのバイアスはデータの不備に起因する問題であり、学習データがよりクリーンで代表性の高いものであればモデルは公平になる、という誤解が一般的に見られる。しかし、こうした捉え方は不完全であるだけでなく、逆効果を招くものであることが研究によって示されている。MLシステムには、そのライフサイクル全体を通じて、最大7つの異なる段階（歴史、代表性、測定、集計、学習、評価、または展開の各段階）でバイアスが入り込む可能性がある。それぞれの発生源に対しては、個別の診断および是正戦略が必要となる。

規制当局の指針にも、こうした認識の変化が反映され始めている。欧州連合（EU）のAI法（AI Act）では、高リスクAIシステムに対し、学習、検証、テストの各データセット全体にわたってバイアスを検出し、防止し、軽減することが義務付けられている。また、NIST（米国国立標準技術研究所）のAIリスク管理フレームワーク（AI RMF 1.0）では、公平性と有害なバイアスの管理が、信頼性を構成する中核的な要素として位置付けられている。 さらに、ISACAの『Leveraging COBIT® for Effective AI System Governance（効果的なAIシステムガバナンスのためのCOBIT®活用）』では、確立されたITガバナンスの枠組みを、アルゴリズムのバイアスを含むAI特有のリスク管理へと拡張する方法が示されている。

こうした関心の高まりにもかかわらず、多くの組織では、MLモデルのバイアスを監査するための体系的な手法がいまだ確立されていない。バイアスに関連する問題は、規制当局やその他の外部機関から指摘されて初めて発覚することが少なくない。その一因として、AI関連のリスクを事前に評価しようとする際、管理部門が大きな障壁に直面していることが挙げられる。「バイアスの分類（タクソノミー）」、「リスク評価」、「ガバナンスへの統合」という相互に関連する3つの側面を軸とした実践的な手法を取り入れることで、バイアス監査を反復可能かつリスクに見合ったものとし、既存の企業ガバナンス体制と整合させることが可能になる。

・「医療・製造分野におけるデータ損失防止の再考」
[Reimagining Data Loss Prevention in Healthcare and Manufacturing]

かつて、医療や製造の業務は、主に資材、設備、生産ラインといった物理的な資産を中心に展開されていた。しかし今日、業務遂行において極めて重要な資産となっているのは「データ」である。医薬品や医療機器の製造、検査・分析サービス、そして医療提供に至るまで、イノベーションのあらゆる段階が、正確かつ安全なデータに依存している。高度なロボティクス、製造実行システム（MES）、臨床検査情報システム（LIS）、そして産業用IoT（IIoT）センサーの統合により、世界各地に分散する拠点間でのリアルタイム監視や適応型制御が可能になった。その一方で、こうしたデジタルトランスフォーメーション（DX）は、サイバーセキュリティやデータガバナンスに関する重大なリスクをもたらしている。世界のライフサイエンス企業が直面したサイバーインシデントの事例は、データやシステムへの攻撃が製品の供給遅延を招き、社会的な信頼を損なう恐れがあることを浮き彫りにした。こうした事象は特定の地域に限った問題ではなく、相互に接続されたデータ主導型のエコシステムに内在する、構造的な脆弱性を反映したものである。

・「IaCを活用したガバナンスの向上とクラウドリスクの低減」
[Using IAC to Improve Governance and Reduce Cloud Risk]

クラウドコンピューティングの普及により、リソースの拡張やシステム更新の迅速化が飛躍的に進んだが、こうした変化は従来のセキュリティや管理・統制のあり方に新たな課題を突きつけている。特に、ユーザーによる過剰な権限（IDロール）の作成、ストレージバケットの公開、ログ管理の不備といった設定ミスが依然としてクラウドセキュリティの大きなリスクとなる動的なインフラ環境において、従来の手作業によるレビューや監査の手法では、変化のスピードに対応しきれない。

こうしたリスクを低減する現実的なアプローチとして、「Infrastructure as Code（IaC）」の活用が挙げられる。IaCでは、あらかじめ定義されたテンプレートやバージョンを用いてインフラを構築するため、組織はセキュリティやコンプライアンスの要件をワークフローに直接組み込むことが可能になる。クラウド環境における一貫性、説明責任、および監査証跡を確保するための予防策としてIaCを運用することには、大きなメリットがある。これにより、確立されたガバナンスやセキュリティの枠組みとの整合性を図り、クラウド環境における組織的・実装上の重要課題に対処できるようになる。