外部から購入した AI を使っているだけです。それでも CISO は ISO 42001 を導入すべきですか？
ISO/IEC 42001 は AI 製品・サービスを提供または利用する組織に適用され、自らモデルを訓練する会社に限られません。購入した生成 AI を使うだけなら、範囲の焦点は「利用」です。どの部門が、どの AI ツールで、どのデータを扱い、誰が承認し、問題が起きたら誰が責任を負うかです。
認証を取るかどうかは、顧客や市場が AI ガバナンスの証明を求めているかによります。社内の AI が人事判断や信用評価などの高リスクな場面に関わるなら、外部に販売していなくてもガバナンスの仕組みを整えることが推奨されます。複数の法人がある場合は、まず一つの事業グループまたは法人を最初の認証範囲とし、認証範囲を顧客への説明と一致させます。
従業員が顧客データを生成 AI で処理しています。CISO はどう管理しますか？
まず、自社で管理できる証跡を区別します。利用記録、承認、教育訓練、出力レビューは自社のもので、モデルの訓練データやテストの多くは供給者に求めるしかありません。実務では：
- AI システム台帳：用途、利用部門、データ区分、供給者、承認者
- 利用ルールと、データの入力・出力のレビュー
- 供給者管理にモデルのバージョン、データの利用、変更通知を追加
自動車関連の供給者が顧客の機密データや試作データを AI ツールで処理する場合、その処理は TISAX が評価する情報セキュリティマネジメントの範囲に含まれ、AI ツールの利用も管理が必要です。
ISO 27001・27701 を取得済みです。どの証跡を共有でき、何を追加する必要がありますか？
42001 は 27001 と同じ上位構造を持ちます：
| 区分 | 項目 |
|---|---|
| 共有できる | 文書・記録の管理、内部監査、マネジメントレビュー、是正処置、教育訓練記録、供給者管理の一部 |
| 強化が必要 | 供給者管理にモデルのバージョン、データ利用、変更通知を追加。インシデント対応に AI インシデントの振り分けを追加 |
| 新設が必要 | AI 方針、AI システム台帳、AI のリスク・影響評価、データ品質とモデル検証、ライフサイクル手順 |
プライバシー影響評価をそのまま AI システム影響評価として使うことはできず、27001 の認証も AI マネジメントシステムを対象としません。それぞれ別に認証を受けます。
ISO 42001 の認証を取れば、EU AI 法に適合したことになりますか？
なりません。ISO/IEC 42001:2023 の証明書は ISO/IEC 42006 に基づき認定された認証機関が発行しますが、EU AI 法の適合性評価、EU データベースへの登録、認定代理人、第 50 条の透明性は証明書で代替できない法定手続きで、42001 は適合推定にもなりません。
規則 (EU) 2026/1744 による改正後の時期：
- 第 50 条の透明性義務は 2026 年 8 月 2 日から適用済み
- 附属書 III の高リスク AI システムは 2027 年 12 月 2 日から
- 附属書 I の規制製品に組み込まれる AI は 2028 年 8 月 2 日から
利用者が EU 内にいれば、台湾企業も遵守が必要です。
AI が誤作動したとき、CISO はインシデント対応手順をどう調整しますか？
AI インシデントはセキュリティインシデントと同じ手順を共有できますが、侵入を伴わないことが多く、原因はデータ、モデル、使い方にあります。振り分けのルールでこれを識別し、調査の責任者を割り当てられる必要があります。よくある失敗は、AI が誤った提案をした後、研究開発は使い方の問題、営業はモデルの問題、セキュリティ部門は侵入はないと言い、誰も調査しないことです。
推奨される仕組み：AI インシデントの振り分けルール、証跡の保全、根本原因の調査、社内外へのコミュニケーション、是正と有効性の検証。法定の報告対象となるかは適用法令によって判断が必要で、個別案件ごとに法律顧問が判断します。
予算と期間はどう組み、CISO は取締役会にどう報告しますか？
サービスページ記載では、ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからなら約 6〜9 か月で認証に到達します。
| 段階 | 期間 |
|---|---|
| 範囲設定と棚卸し | 2〜4 週 |
| リスク・影響評価 | 3〜5 週 |
| 仕組みの構築 | 6〜10 週 |
| 監査と認証 | 4〜8 週 |
附属書 A の 38 の管理策を一つずつ実装し、証跡を残します。上場・店頭公開企業は「上市上櫃公司資通安全管控指引」第 37 条により、取締役会または経営陣に情報セキュリティの実施状況を定期的に報告しており、AI システム台帳、リスク分類、マネジメントレビューの結果をその既存の報告に組み込めます。公開発行会社でない企業はこの指引の対象外ですが、任意で参考にできます。
積穗科研は CISO の ISO 42001 対応をどう支援しますか？
積穗科研のやり方（上の質問で私たちも検証してください）：
- 副社長・取締役クラスのコンサルタントが自ら担当し、外注しない
- 進出市場、顧客が求める証明、社内で管理すべきリスクを確認し、42001 のみ、順次、AI 法と同時のいずれかを提案
- 42001 を土台に ISO 27001／27701 と骨格を共有し、統合ギャップ表を納品
- 法的意見は提携弁護士、認証は ISO/IEC 42006 認定機関が行い、私たちは同行し代わりに審査しない
ISO 42001 導入支援、42001 と 27001・27701 の統合、AI 稼働後のインシデント対応。無料の仕組み診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CISO が ISO 27001 を導入するとき：取締役会報告、ESG 加点、認証範囲をどう決めるか
- CISO が見る ISO 27701 と GDPR：越境データ、従業員データ、72 時間報告をどう管理するか
- CISO が向き合う NIS2：対象事業体か、複数国の拠点、取締役会、報告をどう整理するか
- CISO が向き合う DORA：EU の金融顧客にサービスを提供するとき、契約・報告・テストで何を準備するか
- CISO が向き合う EU CRA：主導者、24 時間報告、SBOM、予算をどう整理するか
- CISO が ISO/IEC 29147 を導入するとき：脆弱性の受付窓口、CVD 方針、CRA 報告をどうつなぐか
- CISO の ISO/IEC 30111 導入：脆弱性対応プロセスを CRA 報告にどうつなぐか
- CISO の IEC 62443 対応：どのパートを選び、EU CRA とどう関係するか
- CISO の TISAX 準備：評価レベル、ISA2027、期間をどう決めるか
- CISO の ISO/SAE 21434 対応：TISAX 以外に製品セキュリティで何を準備するか
- CISO の ISO 22301 導入：ICT 復旧、RTO、訓練をどう準備するか
- CISO と EU AI 法：AI システムのセキュリティ、ログ、人による監督に何を備えるか
- CISO の営業秘密保護：通用する情報区分とアクセス記録をどう設計するか