AI 搭載の自動 ISO 27001 コントロールマッピングによるセキュリティ質問票対応

セキュリティ質問票はベンダーリスク評価のボトルネックです。監査人は頻繁に SaaS プロバイダーが ISO 27001 に準拠していることを示す証拠を求めますが、適切なコントロールを探し、裏付けとなるポリシーを抽出し、簡潔な回答にまとめる手作業は数日かかることがあります。新世代の AI 駆動プラットフォームは、このパラダイムを 反応的で人的負荷が高い プロセスから 予測的で自動化された ワークフローへと変えつつあります。

本稿では、以下の 初のエンジン を公開します。

1. ISO 27001 の全コントロールセットを取り込み、各コントロールを組織内部のポリシーリポジトリにマッピングします。
2. ナレッジグラフを作成し、コントロール、ポリシー、証拠アーティファクト、ステークホルダー所有者を相互に結びつけます。
3. Retrieval‑Augmented Generation (RAG) パイプライン を利用して、コンプライアンス準拠・文脈適合・最新 な質問票回答を生成します。
4. リアルタイムでポリシードリフトを検知し、コントロールの元ポリシーが変わった際に自動再生成を促します。
5. ローコード UI を提供し、監査人が生成された回答を細かく調整または承認できるようにします。

以下では、アーキテクチャ構成要素、データフロー、基盤となる AI 手法、そして初期パイロットで観測された測定可能な効果について解説します。

1. ISO 27001 コントロールマッピングが重要な理由

ISO 27001 は情報セキュリティ管理の世界共通フレームワークです。その Annex A には 114 のコントロールが列挙されており、各コントロールはサブコントロールと実装ガイダンスを持ちます。たとえば、第三者のセキュリティ質問票で次のように尋ねられたとします。

「暗号鍵ライフサイクル（Control A.10.1）をどのように管理していますか？」

セキュリティチームは該当ポリシーを探し、具体的なプロセス記述を抽出し、質問票の文言に合わせて改訂しなければなりません。この作業を多数のコントロール・質問票に対して繰り返すと、以下の問題が生じます。

• 作業の重複 – 同一回答をリクエストごとに書き直す必要がある。
• 表現の不統一 – 微妙な文言の違いがギャップとして解釈される可能性がある。
• 証拠の陳腐化 – ポリシーは進化しても、質問票のドラフトは更新されないことが多い。

ISO 27001 コントロールを再利用可能な回答フラグメントに自動マッピングすれば、これらの課題をスケールで解消できます。

2. コア アーキテクチャ ブループリント

エンジンは 3 本の柱で構成されます。

以下は、取り込みから回答配信までのデータフローを示す Mermaid 図です。

  graph LR
    A[ISO 27001 コントロールカタログ] -->|インポート| KG[コントロール‑ポリシー ナレッジグラフ]
    B[内部ポリシーストア] -->|同期| KG
    C[証拠リポジトリ] -->|リンク| KG
    KG -->|クエリ| RAG[検索拡張生成エンジン]
    RAG -->|生成| Answer[質問票回答ドラフト]
    D[ポリシー変更フィード] -->|イベント| Drift[ポリシードリフト検知器]
    Drift -->|トリガー| RAG
    Answer -->|レビュー UI| UI[セキュリティアナリスト ダッシュボード]
    UI -->|承認/却下| Answer

すべてのノードラベルは Mermaid 構文の要件に合わせて二重引用符で囲んであります。

3. コントロール‑ポリシー ナレッジグラフの構築

3.1 データモデリング

• コントロールノード – 各 ISO 27001 コントロール（例 “A.10.1”）は title、description、reference、family といった属性を持つノードになります。
• ポリシーノード – Markdown、Confluence、Git 管理リポジトリ等から取り込んだ内部セキュリティポリシー。属性は version、owner、last_modified など。
• 証拠ノード – 監査ログ、構成スナップショット、サードパーティ認証へのリンク。
• 所有権エッジ – MANAGES、EVIDENCE_FOR、DERIVES_FROM

このスキーマにより、次のような SPARQL 風クエリが可能です。

MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1

3.2 GNN を用いたエンリッチメント

過去の質問票回答ペアを用いて Graph Neural Network を学習し、コントロールとポリシー片段間の 意味的類似度スコア を算出します。このスコアはエッジ属性 relevance_score として保存され、単純なキーワードマッチに比べて検索精度が大幅に向上します。

4. Retrieval‑Augmented Generation パイプライン

4.1 Retrieval ステージ

1. キーワード検索 – ポリシーテキストに対する BM25。
2. ベクトル検索 – Sentence‑Transformers による埋め込みで意味検索。
3. ハイブリッドランキング – BM25 と GNN の relevance_score を線形ブレンド（α = 0.6 が意味、0.4 が語彙）して上位 k（通常 3 件）を選出し、LLM へ渡す。

4.2 プロンプトエンジニアリング

動的プロンプトテンプレート がコントロールファミリーに応じて変化します。

You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.

LLM はプレースホルダーに取得した片段を埋め込み、引用付きドラフト を生成します。

4.3 ポストプロセッシング

• 事実検証レイヤー – 2 回目の LLM パスで、すべての記述が取得テキストに根拠付けられているか確認。
• 赤字フィルタ – 開示すべきでない機密情報を検出・マスク。
• フォーマットモジュール – 出力を質問票が要求するマークアップ（HTML、PDF、プレーンテキスト）に変換。

5. リアルタイム ポリシードリフト検知

ポリシーは静的ではありません。Change Data Capture（CDC）コネクタ がリポジトリのコミット、マージ、削除を監視します。変更がコントロールに紐づくノードに及んだ場合、ドリフト検知器は以下を実行します。

1. 旧・新ポリシー片段の diff hash を算出。
2. policy.drift トピックへ ドリフトイベント を送信（Kafka）。
3. RAG パイプラインをトリガーし、影響を受けた回答を再生成。
4. ポリシー所有者とアナリストダッシュボードへ 通知 を送る。

この閉ループにより、公開済みの質問票回答が常に最新の内部コントロールと整合します。

6. ユーザーエクスペリエンス：アナリスト ダッシュボード

UI は 保留中質問項目のグリッド を表示し、ステータスを色分けします。

• 緑 – 回答生成済み、ドリフトなし、エクスポート可。
• 黄 – 最近ポリシー変更があり、再生成待ち。
• 赤 – 人的レビュー必須（曖昧なポリシーや赤字フラグ等）。

主な機能

• ワンクリックエクスポート（PDF または CSV）。
• インライン編集 で例外ケースに対応。
• バージョン履歴 が各回答に使用された正確なポリシーバージョンを示す。

プラットフォーム内に埋め込まれた短い動画デモは、典型的なフロー（コントロール選択 → 自動生成回答確認 → 承認 → エクスポート）を実演します。

7. 定量的なビジネスインパクト

中規模 SaaS 企業（従業員約 250 人）で実施したパイロットは、セキュリティチームの週次作業負荷を 約 30 時間 削減し、古い回答による 4 件のコンプライアンス事故を防止しました。

8. セキュリティとガバナンスの考慮事項

• データレジデンシー – ナレッジグラフデータはすべて組織のプライベート VPC 内に保持。LLM 推論はオンプレミスハードウェアまたは専用プライベートクラウドエンドポイントで実行。
• アクセス制御 – ロールベース権限でポリシー編集、再生成トリガー、生成回答閲覧を細かく管理。
• 監査トレイル – 各回答ドラフトは使用した正確なポリシーバージョンへの暗号ハッシュを保持し、監査時に不変の検証が可能。
• 説明可能性 – ダッシュボードの トレースビリティビュー で、取得されたポリシー片段とそれに付与された relevance_score を表示し、AI の利用が適切であることを規制当局に説明できます。

9. ISO 27001 以外へのエンジン拡張

現在のプロトタイプは ISO 27001 に特化していますが、アーキテクチャは レギュレーター非依存 です。

• SOC 2 Trust Services Criteria – 同じグラフに別のコントロールファミリをマッピング。
• HIPAA Security Rule – 18 の基準を取り込み、医療特有のポリシーと結合。
• PCI‑DSS – カードデータ取扱手順とリンク。

新しいフレームワークを追加するだけで、コントロールカタログをロードし、既存のポリシーノードへのエッジを作成すれば完了です。GNN はトレーニングペアが増えるにつれ自動的に適応します。

10. 始め方：ステップバイステップ チェックリスト

1. ISO 27001 コントロールを取得（公式 Annex A CSV をダウンロード）。
2. 内部ポリシーを構造化フォーマット（バージョン管理付き Markdown）にエクスポート。
3. ナレッジグラフをデプロイ（Neo4j Docker イメージ、事前定義スキーマ使用）。
4. RAG サービスをインストール（Python FastAPI コンテナ、LLM エンドポイント接続）。
5. CDC を設定（Git フックまたはファイルシステムウォッチャ）し、ドリフト検知器へフィード。
6. アナリスト ダッシュボードを起動（React フロントエンド、OAuth2 認証）。
7. パイロット質問票を実行し、プロンプトテンプレートを繰り返し調整。

このロードマップに従えば、ほとんどの組織は 4〜6 週間で完全自動化された ISO 27001 マッピングパイプライン を構築できます。

11. 今後の方向性

• フェデレーテッドラーニング – 匿名化したコントロール‑ポリシー埋め込みをパートナー企業間で共有し、機密ポリシーを露出せずに類似度スコアを向上。
• マルチモーダル証拠 – 図表、構成ファイル、ログスニペットを Vision‑LLM で取り込み、回答のリッチさを拡大。
• 生成的コンプライアンス Playbook – 単一質問への回答から、証拠表やリスク評価を含むエンドツーエンドのコンプライアンスドキュメントへ拡張。

ナレッジグラフ、RAG、リアルタイムドリフト監視 の融合は、すべてのセキュリティ質問票自動化の新基準となりつつあります。早期導入者は速度だけでなく、トレーサビリティ、最新性、監査可能性 が保証された回答を得られるでしょう。

参考リンク

• ISO 27001 – 公式 Annex A コントロール
• NIST SP 800‑53 と ISO 27001 のマッピング
• Retrieval‑Augmented Generation: 手法と応用の調査