Beyond Check the Box（形だけの対応を超えて）：AIリスク、量子脅威、規制要件、および組織の実情に対応したセキュリティフレームワークの選定

本「IDC Perspective」は、大きく変化した状況を反映するため、フレームワーク選定に関するIDCの基本的なガイダンスを更新したものです。具体的には、2024年にNIST CSF 2.0の適用範囲が拡大され、「ガバナンス（Govern）」機能が追加されたこと、2025年1月にDORAがEU内の約22,000の金融機関に適用されるようになったこと、そして2024年3月にPCI DSS v4.0が旧規格を廃止したことが挙げられます。セキュリティフレームワークの選定は、単なる技術的なチェックリストではなく、リスク管理上の意思決定です。2022年以降、フレームワーク戦略を見直していない組織は、利用可能な選択肢や、その選択を制約する（あるいは推進する）可能性のある規制上の義務について、時代遅れの前提に基づいて運営している可能性が高いでしょう。2022年には第一義的な考慮事項として存在しなかった2つの基準が、現在では明確な注意を要するようになっています。AIの導入により、モデルポイズニング、プロンプトインジェクション、エージェント型システムのリスクといった新たな攻撃対象領域が生まれました。これに対し、NISTは2025年12月に「サイバーAIプロファイル」の草案を公表しました。また、ポスト量子暗号（PQC）は、理論上の懸念から運用上の必須事項へと移行しており、NISTは2024年8月に3つのPQC規格を最終決定し、規制当局も移行期限を設定しています。これらの両方の考慮事項を、今すぐフレームワーク選定プロセスに組み込む組織は、それらを将来的な課題として扱う組織よりも、はるかに有利な立場に立つことになるでしょう。 「適切なセキュリティフレームワークは、現在のセキュリティリスクだけでなく、将来発生しうるリスクも適切に管理するための重要な要素です」と、IDCのサイバーセキュリティGRCソリューション担当リサーチディレクター、Phil Harris氏は述べています。「2026年の状況においては、組織はAIガバナンスとポスト量子暗号への対応準備を、将来的な課題としてではなく、最優先の評価基準として検討することが求められます。優れたGRC技術に支えられた、体系的で基準に基づいたアプローチを採用する組織は、今日にふさわしいだけでなく、脅威や規制状況の変化に合わせて進化できる十分な強靭性を備えたフレームワークを選択することになるでしょう。」

エグゼクティブスナップショット

• 主なポイント
• 推奨される対応策

状況の概要

• 意思決定の基準
• 主要な意思決定領域、詳細なガイダンス
  • データの分類と最重要資産
  • 規制および法的義務
  • 脅威の状況と攻撃者のプロファイル
  • AI導入の範囲とAIガバナンス
  • サードパーティおよびサプライチェーンのリスク
  • ポスト量子暗号への対応状況
  • 組織規模とセキュリティ成熟度
  • 予算、TCO、および優先順位付け
  • 複数フレームワーク間の相互運用性とGRC技術
• 意思決定の調査手法
  • 規制対象組織
  • 規制対象外の組織

テクノロジーバイヤーへのアドバイス

• 必須のガイダンス

参考資料

• 関連調査
• 要約