情報処理安全確保支援士（登録セキスペ）の2026年度オンライン講習を受講しました。

今回の講習では、登録セキスペに期待される役割や知識だけでなく、SBOM、生成AI、脅威インテリジェンス、ランサムウェア、コンプライアンスとガバナンスなど、現在のセキュリティ実務で重要性が高まっているテーマを幅広く学びました。

特に印象に残った内容をまとめます。

登録セキスペに期待される役割とSBOM

最初に改めて学んだのが、情報処理安全確保支援士に期待される役割と知識です。

近年はシステムをゼロからすべて自社開発するのではなく、OSSや外部ライブラリ、クラウドサービスなど、さまざまなソフトウェアやサービスを組み合わせてシステムを構築することが一般的になっています。

そこで重要になるのが、SBOM（Software Bill of Materials：ソフトウェア部品表）です。

SBOMによって、ソフトウェアを構成しているコンポーネントを把握できれば、新たな脆弱性が発見された際に「自社のシステムがその影響を受けるのか」を調査しやすくなります。

ソフトウェアのサプライチェーンが複雑になる中、単に脆弱性情報を収集するだけではなく、「自分たちが何を使っているのか」を管理すること自体が重要なセキュリティ対策になっていると感じました。

また、政府機関などが公開しているサイバーセキュリティ関連のガイダンスや一般利用者向けの情報も、セキュリティ対策を考えるうえで参考になります。

AI利活用とAI規制の動向

今回、特に興味深かったテーマの一つが生成AIです。

生成AIは急速に発展しており、企業でも業務効率化やサービス開発などへの導入が進んでいます。一方で、組織としてAIを導入するのであれば、現場だけに判断を任せるのではなく、経営層がAIを利用する目的とリスクを理解し、基本方針を決めることが重要です。

現場がそれぞれの判断で生成AIサービスを導入すると、機密情報や個人情報を意図せず外部サービスへ入力してしまうといった事故につながる可能性があります。

しかし、リスクを恐れるあまり利用を過度に制限すれば、AIによる業務改革やDXの機会を逃す可能性もあります。

つまり、

「AIを使わない」のではなく、「リスクを管理しながらどう使うか」

という判断が求められているのだと思います。

そのためには、AIの動作を適切に監視できる仕組みを整え、設計・開発・導入・運用・メンテナンスというライフサイクル全体でセキュリティを考える必要があります。

さらに、著作権侵害、AIを利用したなりすまし、各国のAI規制など、技術以外の動向についても継続的に情報収集する必要があります。

AI利活用に向けたセキュリティ管理

AIを安全に利用するうえでは、データの扱いも重要です。

例えば、AIの学習データや入力データに個人情報を不用意に含めないなど、プライバシーを保護しながらAIを活用する仕組みが求められます。

一方、生成AIのように変化の非常に速い分野では、一度厳密なルールを作って終わりという従来型のガバナンスだけでは対応が難しくなります。

そこで重要になる考え方が「アジャイル・ガバナンス」です。

技術や社会環境の変化に合わせてルールや運用方法も継続的に見直し、AI利用の透明性を確保しながらガバナンスそのものを適応させていく必要があります。

脅威インテリジェンスの生成と活用

脅威インテリジェンスについても学びました。

脅威とは、システムや組織に損害を与える可能性のある、望ましくないインシデントの潜在的な原因です。

そして脅威インテリジェンスとは、単なる脅威情報の収集ではありません。

さまざまな情報を収集・組み合わせ、自組織にとってどのようなリスクがあるのかを評価・分析し、意思決定に利用できる情報へ変換する一連のプロセスです。

重要なのは「情報をたくさん集めること」ではなく、

収集 → 分析 → 評価 → 意思決定 → 対応

につなげることです。

脅威インテリジェンスにはライフサイクルがあり、それを継続して実施できる組織や環境を整備することも必要になります。

また、個別の攻撃手法だけを見るのではなく、経営や組織全体の意思決定に利用する「戦略的インテリジェンス」という視点も重要です。

ランサムウェア被害への対応

今回の講習の中でも、実務に直結すると感じたのがランサムウェア対策です。

ランサムウェアによる被害は依然として大きな問題ですが、最近ではデータを暗号化せず、盗み出した情報を材料に身代金を要求する「ノーウェアランサム」と呼ばれる手口もあります。

特に注意すべきなのは、バックアップを取得しているだけでは十分ではないという点です。

実際のインシデントでは、バックアップが存在していても正常に復元できないケースがあります。

そのため、

「バックアップを取る」だけでなく、「実際にバックアップから復元できることを定期的に確認する」

ことが重要になります。

バックアップ・リカバリ演習まで含めて初めて実効性のある対策になるということです。

また、VPN機器など外部からアクセス可能な機器の脆弱性が侵入経路となるケースも多いため、こうした機器のアップデートは優先して実施する必要があります。

サイバー保険への加入もリスク移転の一つの方法ですが、万能ではありません。契約内容によって補償範囲が異なり、セキュリティ対策に不備があれば十分な補償を受けられない可能性もあります。

さらに、組織が把握していないサービスや端末が利用される「シャドーIT」の防止も重要です。

コンプライアンスとガバナンス

セキュリティを考えるうえでは、技術だけでなくコンプライアンスとガバナンスについて理解することも必要です。

講習では「ハードロー」と「ソフトロー」という考え方について学びました。

ハードローは、法律や政省令など、法的拘束力を持つルールです。

一方のソフトローには、行政機関が公開するガイドラインや業界団体による自主規制などがあります。

サイバーセキュリティの世界では技術の変化が速いため、法律だけを確認していれば十分とは限りません。

法令を遵守することに加え、政府機関のガイドライン、業界標準、ベストプラクティスなどを継続的に確認することが重要だと感じました。

まとめ

今回のオンライン講習を通じて改めて感じたのは、現在のサイバーセキュリティでは技術だけを知っていればよいわけではないということです。

SBOMによるソフトウェアサプライチェーン管理、生成AIの安全な利用、脅威インテリジェンス、ランサムウェア対策、そしてコンプライアンスとガバナンス。

扱う領域はかなり広くなっています。

特に生成AIについては、「危険だから禁止する」「便利だから自由に使う」という二択ではなく、リスクを理解したうえで安全に利用できる仕組みを作ることが、今後ますます重要になると思います。

また、ランサムウェア対策におけるバックアップについても、「バックアップが存在すること」と「実際に復旧できること」は別問題です。

セキュリティでは、対策を導入したという事実だけで安心するのではなく、その対策が実際のインシデント発生時に機能するのかを検証するところまで考える必要があるという点が、今回の講習で特に印象に残りました。

情報処理安全確保支援士として、技術的な知識だけでなく、経営・法制度・ガバナンスを含めて継続的に知識をアップデートしていく必要性を再認識できる講習でした。