TISAX2026.10.08
ChatGPT、Microsoft Copilot、Geminiなど、生成AIの業務利用が急速に広がっています。
会社として正式に導入したAIサービスだけでなく、各部門が独自に契約したサービスや、従業員が個人アカウントで利用しているサービスなど、情報システム部門や情報セキュリティ部門が把握していないAI利用が存在する企業も少なくありません。
例えば、次のような状態です。
2026年7月に公開されたISA2027では、こうしたAIツールも含めた「外部ITサービス」を適切に管理することが重要になります。
ISA2027は、2027年に新たに発注されるTISAX Assessmentの基準となります。
本コラムでは、生成AIを例に、ISA2027への対応にあたり改めて確認しておきたい「外部ITサービス」の管理について解説します。
VDA ISAでは、企業の情報をAssessmentのスコープ外で処理するサービスを「Cloud／external IT service」として扱っています。
その例には、クラウドサービスやホスティングサービス、外部企業が提供するSIEMなどに加え、AIチャットボットやAIエージェントなどのAIツールも含まれます。
ここで注意したいのは、「ISA2027でAI専用のセキュリティ要求が新しく設けられた」ということではありません。
生成AIも、会社の情報を外部で処理するサービスであれば、他のクラウドサービスなどと同様に、外部ITサービスとして適切に管理する必要があるという考え方です。
したがって、AIだけを特別扱いするのではなく、
という観点から管理することが重要です。
外部ITサービス管理において特に注意したいのが、組織が把握していないサービスの利用です。
会社が正式に契約した生成AIサービスであれば、利用者や設定、契約条件などを一定程度管理できます。
一方で、
などについては、情報システム部門や情報セキュリティ部門が利用実態を把握できていないことがあります。
いわゆる「Shadow IT」に加え、このような組織が把握・承認していないAI利用は「Shadow AI」と呼ばれることもあります。
重要なのは、AI利用を一律に禁止することではありません。
まず実態を把握したうえで、利用目的や取り扱う情報、サービスの特性に応じてリスクを評価し、「利用を認めるのか」「どのような条件で認めるのか」を判断できる仕組みを持つことが重要です。
以下では、ISA2027の要求事項を踏まえ、AIを含む外部ITサービスを管理する際に実務上確認しておきたいポイントを整理します。なお、以下に示す管理項目や証跡は、ISA2027の要求事項そのものではなく、要求事項への対応を検討する際の一例を含みます。
まず必要なのは、どの外部ITサービスが利用されているのかを把握することです。
AIサービスについても、サービス名だけを一覧化するのではなく、
などを整理しておくことが望まれます。
新しいサービスを利用する際には、取り扱う情報の保護ニーズに応じたセキュリティ要求を確認し、評価・承認したうえで利用を開始するプロセスも必要です。
生成AIの場合、特に重要なのが入力する情報です。
同じAIサービスを利用していても、
では、考慮すべきリスクが大きく異なります。
「どのAIを使っているか」だけでなく、「そのAIにどのような情報を入力しているか」まで確認することが重要です。
情報の機密性などに応じて、入力可能な情報、禁止する情報、必要となる承認などを定めておく必要があります。
クラウドサービスやAIサービスでは、すべてのセキュリティ対策をサービス提供事業者が実施してくれるわけではありません。
例えば、
などは、利用企業側の責任となる場合があります。
サービス提供事業者が実施する対策と、自社が実施すべき対策を整理し、責任分界を明確にしておくことが重要です。
契約書やサービス仕様を確認するだけでなく、自社側の責任者や実施内容まで明確にしておくことがポイントです。
外部ITサービスでは、サービス利用中のセキュリティだけでなく、サービス終了時の取り扱いについても確認が必要です。
例えば、
といった点です。
生成AIサービスについても、入力データやアップロードしたファイル、保存された履歴などがどのように管理・削除されるのかを確認しておく必要があります。
外部ITサービスは、一度評価・承認すれば終わりではありません。
サービスの機能、利用条件、提供事業者のセキュリティ対策、自社での利用方法などは変化する可能性があります。
そのため、
などを定期的に見直すことが重要です。
また、TISAX Assessmentでは、「ルールがある」ことだけでなく、「実際に運用している」ことを説明できることも重要になります。
外部ITサービス一覧、リスクアセスメント記録、承認記録、責任分界表、設定確認記録、定期レビュー記録など、管理状況を説明できる証跡を残しておきましょう。
生成AIを含む外部ITサービスについて、まずは次の点を確認してみてください。
一つでも「把握していない」「決まっていない」という項目があれば、ISA2027への対応を機に管理方法を見直すことをおすすめします。
生成AIは、外部ITサービス管理の課題を分かりやすく表面化させている一例にすぎません。
Microsoft 365、Azure、AWSなどのクラウドサービス、外部SOC・SIEMサービス、Webサービスなどについても、Assessmentのスコープ外で自社の情報を処理している場合には、同様の観点から管理状況を確認する必要があります。
ISA2027への対応では、AIツールだけを個別に確認するのではなく、これを機会に外部ITサービス全体を棚卸しし、
を説明できる状態にしておくことが重要です。
生成AIを利用していること自体がTISAX上の問題になるわけではありません。
重要なのは、
という一連の管理を行うことです。
既にTISAXへ対応している企業においても、生成AIの急速な普及により、従来の外部ITサービス一覧や利用ルールでは実態を十分に把握できなくなっている可能性があります。
ISA2027への移行を機に、生成AIを含む外部ITサービスの利用実態と管理状況を改めて確認してみてはいかがでしょうか。
TISAX対応では、Assessment Scopeの整理、現状分析、成熟度の向上、規程・手順の整備、証跡の整理など、幅広い対応が必要となります。
また、ISA2027への対応では、現行の管理体制との差分を確認するとともに、生成AIを含む外部ITサービスや取引先の管理状況についても改めて確認しておくことが重要です。
ブロードバンドセキュリティでは、現状分析・ギャップ分析から、規程・手順の整備、証跡整理まで、TISAX対応を一貫してご支援しています。
ISA2027への対応やTISAXについてお悩みの方は、ぜひご相談ください。
TISAX認証支援コンサルティングを見る＜参考資料＞
この記事をシェアする
