AIでセキュリティチェックシートはどこまで自動化できるのか？

「ChatGPTを使えば、セキュリティチェックシートも自動化できるのではないか」

そう考えたことのある担当者は多いと思います。実際、設問の下書きはAIが数分で作ります。回答する側も、過去の回答を読ませればドラフトが出てきます。ここだけ見ると、この業務は近いうちに人の手を離れそうに見えます。

ただ、離れるのは半分までです。「作る」と「答える」はかなり任せられます。「回収する」と「確認する」は、人と仕組みの側に残ります。AIの性能が上がっても、この構図はあまり変わりません。賢さの問題ではなく、業務の性質の問題だからです。

この記事では、チェックシート業務を4つの工程に分けて、AIがどこまで入れるのか、どこで止まるのかを具体的に見ていきます。

チェックシート業務は、大きく4つの工程でできています。

1. チェックシートを作る
2. 回答を依頼し、回答を作る
3. 回収し、進捗を追う
4. 内容を確認し、判断する

このうち工程1と2は「文書を生成する」作業です。AIが得意な領域です。工程3と4は「状態を管理し、判断を記録する」作業です。ここはAIが文章を上手に書けることと、ほとんど関係がありません。

この違いが、「どこまで自動化できるのか」という問いへの答えをほぼ決めます。以下、工程ごとに見ていきます。

設問を作る作業は、AIで大きく変わりました。

「委託先向けのセキュリティチェックシートを作りたい。アクセス管理、暗号化、ログ、インシデント対応を含めて」と指示すれば、それらしい設問一覧が数分で出てきます。たたき台としては十分です。ゼロから設問を書き起こしていた頃と比べると、ここに掛かる時間は明らかに短くなりました。

ただし、出てきた設問がそのまま使えるかは別の話です。自社の契約形態に合わない設問。業界の慣行とずれた選択肢。それから、聞いても判断に使えない設問。「セキュリティ対策を実施していますか（はい/いいえ）」のような設問は、形は整っていても、「はい」と返ってきたときに何も分かりません。

どの設問を残し、どれを削り、どれを言い換えるか。ここは、自社が委託先の何を確認したいのかを知っている人にしか決められません。

それでも、「白紙から書く」と「たたき台を直す」では負担がまったく違います。工程1は、AIが実際に役立つ場面です。

依頼メールの文面も、AIが書けます。宛先ごとの言い回しの調整も得意です。

そして回答側。ここが、この1〜2年で一番変わった部分です。チェックシートを受け取った委託先の担当者が、過去に別の会社へ提出した回答や自社のセキュリティ規程をAIに読ませて、回答のドラフトを作らせる。この使い方は、すでに珍しくありません。100問のチェックシートに手作業で答えていた仕事が、下書きレベルなら短時間で終わるようになりました。

回答する側にとって、これは間違いなく助かる変化です。似たような設問に毎年、会社ごとに微妙に違う形式で答え続ける負担は、依頼する側からは見えにくいだけで、相当なものでした。

ただ、ここにも工程1と同じ構図があります。AIのドラフトが自社の実態と合っているかは、その会社の運用を知っている人が確かめるしかありません。「アクセス権限は年1回棚卸ししています」とAIが書いても、実際にやっているかどうかはAIには分からないからです。

ここから話が変わります。

30社に依頼を送ったとして、期限までに返ってくるのは一部です。期限を過ぎた先には催促が要ります。「送ったはずですが」「担当が変わりまして」「別のアドレスに再送してもらえますか」というやり取りが挟まります。返ってきたと思ったら、添付が付いていない。

この工程に、AIの出番はほとんどありません。文章の生成が速くなっても、相手が回答を返すまでの時間は縮まらないからです。催促メールの文面をAIに書かせることはできますが、催促という仕事そのものは消えません。誰に送って、誰から返ってきて、誰が期限を過ぎているか。必要なのは文章力ではなく、状態の管理です。

Excelの管理表とメールでこれを回すと、依頼先が増えるほど管理表の更新が現実に追いつかなくなります。この問題は後述します。

回収した回答を確認する工程です。ここにはAIが部分的に入れます。

たとえば、空欄や記載の矛盾のスクリーニング。「暗号化していない」「ログを取得していない」と答えた先の抽出。長いフリーテキスト回答の要約。回収した回答をまずAIに読ませて、引っかかった箇所から担当者が見ていく。この流れは、確認に掛かる時間を実際に短くします。

ただし、「この回答で問題ないと判断する」行為そのものは委譲できません。判断には責任が伴い、責任には名前が要るからです。「AIが問題ないと言ったので承認しました」という説明は、監査でも、取引先への説明でも、社内の稟議でも通りません。

AIは確認を速くします。確認を肩代わりはしません。この線は、モデルの性能が上がっても動きにくい線です。

工程2で触れた話には、確認側にとって重要な続きがあります。

回答側がAIでドラフトを作るようになると、確認側から見える風景が変わります。文章は整っている。空欄もない。しかし、その回答が実態を反映しているかは、文面からは以前より見分けにくくなりました。かつては「回答が雑な会社は運用も雑」という粗い推定がある程度は働きましたが、AIが文面を整えるようになると、この推定は使えません。

だから確認側の仕事は、文面の巧拙を見ることから、回答の根拠を確かめることへ寄っていきます。規程の該当箇所、設定画面のスクリーンショット、証跡となるファイル。「きれいな回答」ではなく「裏付けのある回答」を求める方向です。チェックシートの設計段階で、ファイル添付やURLで根拠を出してもらう設問を混ぜておくのは、そのための布石になります。

なお、委託先が業務そのものに生成AIを使っている場合に何を確認するかは、この記事とは別のテーマです。確認項目の実務は委託先のAI利用を確認するチェックリストに、そもそもなぜ確認が必要になるのかは委託先のAI利用、なぜ「使っていますか」だけでは足りないのかにまとめています。

「送った」と「返ってきた」の間には、実際にはもっと細かい状態があります。

未送付。送付済み。開封されたか不明。一部だけ回答。回答済み。確認中。差し戻し。再提出待ち。確認済み。

Excelとメールの運用では、これらの状態は管理表の色分けと、担当者の記憶に依存します。3社なら回ります。30社を超えたあたりから、「この会社、差し戻したんだっけ」「再提出、来てたっけ」が発生し始めます。管理表を更新する時間より、管理表が正しいか確かめる時間の方が長くなったら、それは管理表が仕事をしていない状態です。

AIはこの問題を解決しません。状態の管理は、生成の問題ではなく記録の問題だからです。

年次更新のあるチェックシートでは、「去年と何が変わったか」が確認の中心になります。

去年「暗号化している」と答えた先が、今年「していない」に変わっていたら、そこは聞かなければなりません。逆に、全項目が去年と一言一句同じなら、それはそれで「本当に見直して回答したのか」という疑いが立ちます。回答側のAI利用が広がるほど、去年の回答をそのまま流し込んだ「全部同じ」回答は起きやすくなります。

比較をするには、過去の回答が取り出せる形で残っている必要があります。過去のメールを遡って添付ファイルを探す運用では、比較に入る前の段階で力尽きます。

誰がいつ、どの回答を見て、問題ないと判断したのか。差し戻したなら、何が理由だったのか。

この記録は、確認した瞬間には誰も必要としません。必要になるのは半年後や1年後、インシデントや監査で「当時どう確認していたか」を問われたときです。そのとき記録が残っていなければ、確認していたとしても、していなかったのと区別が付きません。

文面の生成がどれだけ速くなっても、この記録は誰かが残さない限り存在しません。

ここに逆説があります。

AIが「作る」「答える」を速くするほど、チェックシートの流通量は増えます。作るのが簡単になれば、依頼は増える。答えるのが楽になれば、回答も返ってくる。すると、回収・確認・記録という残りの工程に掛かる負荷は、減るどころか増える方向に動きます。

生成が安くなった分だけ、管理の相対的な重みが上がる。この構図の中で、SaaSの役割は「文書を作る場所」から「状態と判断を記録する場所」へ寄っていきます。設問の文面はAIが書けます。しかし「どの回答が、誰の確認を経て、いつ確認済みになったのか」は、どこかのシステムが構造として持っていない限り、後から再構成できません。

現時点での現実的な分担は、3層に分かれます。

• 設問のたたき台作成
• 依頼文面の作成
• 回答ドラフトの作成（回答側）
• 回答の一次スクリーニングや要約（確認側）

生成と要約です。ここはAIに任せて構いません。ただし、いずれも最終判断の手前までです。

• 回答状況の一覧化と、未回答先の把握
• 差し戻しと再提出のやり取りの記録
• 過去回答の保管と、年次更新時の参照
• 確認済み・差し戻しの履歴と、PDFでの証跡保存

マモリスはこの層を担う位置づけです。回答依頼を送り、回答状況を一覧で追い、差し戻しコメントを記録し、確認済みチェックと履歴を残す。繰り返し依頼と前回回答のプリセットを使えば、年次更新の依頼作業も減らせます。回答者側はログイン不要・無料で、URLを開くだけで回答できるので、委託先にアカウント作成をお願いする必要もありません。

一方で、マモリス自体は、回答の中身をAIが自動で判定するツールではありません。判定は人に残す前提で、その判断の前後にある依頼・回収・記録の運用を持ちやすくする。そういう役割分担です。

• 設問の取捨選択
• 回答内容の最終判断
• 差し戻しの決定と、その理由の言語化

ここは残ります。残すべき、というより、外形的に残らざるを得ません。判断から名前を消した組織は、監査にも取引先にも説明ができなくなるからです。

• チェックシート業務のうち、「作る」「答える」はAIにかなり任せられます。設問のたたき台も回答ドラフトも、生成は速くなりました。
• 「回収する」「確認する」は残ります。状態の管理と判断の記録は、生成の問題ではないからです。
• 回答側のAI利用が広がるほど、確認側は文面ではなく根拠を見る方向に寄ります。
• 生成が速くなるほどチェックシートの流通量は増え、回収・確認・記録の負荷は相対的に重くなります。
• AIには生成と要約を、SaaSには状態と履歴の管理を、人には判断を。現時点ではこの3層が現実的な分担です。

Q1. ChatGPTなどの生成AIでセキュリティチェックシートの回答を作ってもいいですか？

A. 依頼元との契約やNDA、自社の生成AI利用ルールによります。チェックシートの回答には自社のセキュリティ体制という機密性の高い情報が含まれるため、AIに入力してよい情報の範囲を先に確認してください。ドラフト作成に使う場合も、内容が実態と合っているかは自社の運用を知る担当者の確認が必要です。

Q2. AIが作った回答をそのまま提出しても問題ありませんか？

A. おすすめしません。AIは自社の実際の運用状況を知らないため、事実と異なる記載が混ざる可能性があります。チェックシートの回答は取引先への説明責任を伴う文書なので、提出前に人が事実確認を行ってください。

Q3. 回収した回答の確認（レビュー）はAIに任せられますか？

A. 一次スクリーニングや要約には使えます。空欄や矛盾の検出、リスクの高い回答の抽出は、確認に掛かる時間を短くします。ただし「この回答で問題ない」という最終判断は、責任の所在が必要になるため、人が行う領域です。

Q4. セキュリティチェックシート業務は、結局どこまで自動化できますか？

A. 設問の作成、依頼文面、回答ドラフト、回答の一次スクリーニングまでは、AIで大きく時間を短縮できます。一方、回収状況の管理、差し戻しのやり取り、確認判断とその記録は残ります。「生成」は任せられて「管理と判断」は残る、というのが現時点の答えです。

Q5. マモリスはAIで回答や確認を自動で行うツールですか？

A. いいえ。マモリスは、チェックシートの作成、回答依頼、回収状況の管理、差し戻し、確認済みチェック、履歴・PDF保存による証跡管理という、運用の部分を担うサービスです。回答内容の判断はAIに委ねず人に残す前提で、その判断の前後にある業務を管理しやすくします。