セキュアベースがCISOaaSに「AIガバナンス成熟度評価」を提供開始、技術リスクと組織ガバナンスリスクの一元管理を実現

株式会社セキュアベースは、サイバーリスクガバナンスSaaS「CISOaaS」において、新たな評価フレームワーク「AIガバナンス成熟度評価」の提供を開始しました。NIST AI Risk Management Framework（AI RMF 1.0）およびISO/IEC 42001:2023に基づき、組織全体のAIガバナンス成熟度を可視化するサービスです。AI利用方針やリスク管理、データガバナンスなど10領域68設問を通じて、課題の特定からロードマップ策定まで一貫して支援します。

生成AIの急速な普及により、多くの企業でAI活用が進んでいます。その一方で、AI利用ルールの未整備や責任体制の不明確さ、入力データの管理不足といったガバナンス上の課題も顕在化しました。

経済産業省「AI事業者ガイドライン」や欧州「AI規制法（EU AI Act）」など、AIの安全性や透明性、説明責任を求める規制整備も進んでいます。こうした要求事項を実務レベルで評価し改善につなげるには、専門知識と多くの工数が必要です。

株式会社セキュアベースは、AIとの対話形式によるヒアリングと専門家レビューを通じて、企業のAIガバナンス状況を効率的に評価します。課題の特定から改善施策の策定までを一貫して支援する体制です。

本評価フレームワークの設計にあたっては、組織がAI利活用を安全かつ健全に進めるための要件を抽出しています。参照しているのは、NIST AI RMFの4機能（GOVERN・MAP・MEASURE・MANAGE）およびISO/IEC 42001:2023の体系です。評価対象となる10領域は以下の通りです。

• AIガバナンス体制・方針（AI責任者の設置・方針策定）
• AIリスクマネジメント（AI特有リスクの識別・評価・対応）
• AIシステムのインベントリと分類（利用中AIの把握・ライフサイクル管理）
• データガバナンス（データ品質・プライバシー・セキュリティ管理）
• AIシステム開発ライフサイクル（開発・調達・導入・運用・廃棄プロセス管理）
• 信頼性の計測・評価（公平性・説明可能性・堅牢性等の評価）
• AI運用・監視・インシデント対応（継続的監視と異常発生時の対応体制）
• 透明性・説明責任・利害関係者対応（AI利用に関する情報開示と説明責任）
• サードパーティ・調達ガバナンス（外部AIサービスやSaaSの評価・契約・管理）
• 人的要素・責任あるAI利用・教育（社員教育・倫理指針・責任体制の整備）

設問は、AIとのチャット形式で進行し、回答に応じて選択肢が動的に生成されます。自由記述型の回答からもAIがリスク項目を洗い出し、可視化する設計です。CISOaaSの既存機能と連携することによって、リスク分析・投資対効果（ROI）算出やレポート作成、改善ロードマップの策定まで一貫して実施できます。

CISOaaSでは、すでに「OWASP Top 10 for LLM 2025」に対応した評価フレームワークを提供しており、プロンプトインジェクションや機密情報漏洩など、個々のAIシステムに対する技術的リスクを評価できます。今回の「AIガバナンス成熟度評価」の追加によって、企業は「技術層:AIシステムの安全性・セキュリティリスク評価」と「組織層:AIガバナンス体制・方針・運用プロセス評価」という二つの観点からAIリスクを包括的に管理できるようになりました。

AIガバナンス評価の結果はリスク分析・投資対効果（ROI）算出機能と連携しており、AIガバナンス上の課題を財務インパクトとして、定量的に把握することも可能です。個別システムのセキュリティ対策にとどまらず、経営・管理レベルを含めた全社的なAIリスク管理を実現します。

代表取締役社長 阿部 実洋氏は、「AIガバナンス成熟度評価により、CISOaaSは個々のAIシステムのセキュリティ評価だけではなく、組織全体のAI統治体制の整備まで支援できるようになりました」と述べています。

10領域68設問という評価の網羅性は、AIガバナンスへの本格的な取り組みを示す指標です。AIガバナンス市場全体としては、技術面のリスク評価のみを扱うサービスが先行してきた一方で、組織ガバナンス層まで含めて評価対象とするフレームワークの整備は、業界動向として注目されるフェーズに入ってきました。同種サービスでは技術的なセキュリティ評価に特化するケースが多く、経営・管理レベルを含む組織全体のAI統治体制まで評価の射程に収めている点は、マーケティング業界を含むBtoB領域全体で議論が本格化している「AIをどう統治するか」という課題に応える設計です。

「AIを導入する」から「AIを統治する」というフレーズは、多くの企業が直面している課題を端的に言い表したものです。マーケティング業界の文脈に置き換えると、ツール導入の意思決定だけではなく、利用ルールや責任体制の整備まで含めて議論すべき段階に来ているということではないでしょうか。

References

1. ^ PR TIMES. 「セキュアベース、サイバーリスクガバナンスSaaS「CISOaaS」で「AIガバナンス成熟度評価」の提供を開始 | 株式会社セキュアベースのプレスリリース」. https://prtimes.jp/main/html/rd/p/000000006.000052703.html, (参照 26-06-25).

ITやプログラミングに関するコラム

• 
  【CSS】notで複数の件を除外する方法
• 
  【Git】remote設定を変更する方法
• 
  【VBA】コメントアウトを設定する方法
• 
  x86とx64の違いを分かりやすく解説
• 
  マークダウンで改行する方法
• 
  CapsLockキーを解除する方法
• 
  GitLabとGitHubの違いを解説
• 
  Linuxで環境変数を確認する方法
• 
  UbuntuのIPアドレスを確認する方法
• 
  パソコンのメモリの目安を用途別に選ぶ方法

ITやプログラミングに関するニュース

• 
  VercelがAI GatewayにSeedream 5.0 Proを追加、AI SDKのモデル指定で画像生成と編集が可能に
• 
  AWSがAmazon LocationのPlaces APIを強化、住所表記の指定と移動手段別の検索が可能に
• 
  VercelがトレースにTree・Waterfallビューを追加、ログ画面で処理の階層と所要時間を確認可能に
• 
  Googleがエージェント評価の再考を提唱、難易度を情報量で測るDiscovery Benchを解説
• 
  Google CloudがCloud Runサンドボックスを公開プレビューで提供、サービスヘルスは一般提供に
• 
  Google Cloud EMEAが英国金融の重要第三者に指定、イングランド銀行・PRA・FCAの直接監督下に
• 
  AWS DMS Schema ConversionがSQL Serverのオフライン変換に対応、ソースDBへ接続せずスキーマを変換可能に
• 
  EC2 G7インスタンスが米国東部（バージニア北部）で利用可能に、G6比でAI推論性能が最大4.6倍
• 
  SageMaker HyperPodが継続プロビジョニングでのAMIベース構成に対応、S3のスクリプト管理なしでSlurmクラスターを作成可能に
• 
  AWSがEMR on EKSでSparkトラブルシューティングエージェントに対応、失敗ジョブの原因分析を自然言語で依頼可能に