「取引先のサイバーリスクが高い」――不正アクセス相次ぐ今、“AI判定の正しさ”をどう見極める？：SCS評価制度を前に考えるサプライチェーンリスク管理の実践（2/2 ページ）

[橋本詩保／SecurityScorecard, 編集：遠藤文康，＠IT]

自動チェックと人の確認の組み合わせ

　データ品質を保つには、評価を実行する仕組みに、検証と改善の工程を組み込む必要があります。例えば、訂正の内容を記録し、特定の条件で資産のひも付けミスが繰り返されていないかどうかを分析します。共通の原因が見つかれば、個別データの修正に加えて、判定方法を見直します。抜き取り確認も組み合わせることで、利用者からの指摘だけに頼らず、誤りを発見する機会を設けられます。

　自動チェックに適しているのは、データの形式不備や重複、取得日時の矛盾などです。一方、複数の企業が関係する資産の帰属や管理責任を確かめるには、契約や構成情報の確認、当事者との対話が必要になる場合があります。確認が必要なケースを担当者に引き継ぎ、その結果を以後の判定に反映する流れを整えることが大切です。

　評価方法を変更する際は、変更前後の結果を比較し、意図しない変化が生じていないかを検証します。データが少ない場合や、検出件数が極端に多い場合なども確認の対象になります。その上で、変更内容と適用時期を利用者に伝えれば、スコアが変わった理由を理解しやすくなります。評価の方法と限界を公開し、検証と訂正を続けることが、評価への信頼を支えます。

スコアを取引先との対話に生かす

　評価サービスを選ぶ際や、AIを活用した評価を運用する際は、データソースと取得時点を確認できるか、判定から元の証拠を参照できるか、誤りを訂正できるかを確かめたいところです。これらが整っていれば、スコアに疑問が生じたときも、根拠をさかのぼって具体的な確認を進められます。

　その上で、評価結果を委託業務の重要性や停止時の影響と組み合わせ、追加調査や改善の優先順位を決めます。同じスコアでも、機密情報を扱う取引先と、限定的な情報だけを共有する取引先では、必要な確認は異なります。スコアだけを取引可否の条件にせず、何が問題で、何を確認すべきかを話し合う材料とすることが重要です。

　AI時代に信頼できる評価とは、根拠と限界を確認でき、誤りがあれば修正できる評価です。データ品質、透明性、説明可能性を確保することで、評価結果を具体的な改善につなげられます。

　国内でも、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築が進められるなど、サプライチェーンを構成する企業のセキュリティ対策を共通基準で可視化する取り組みが本格化しています。こうした制度を実務で有効に活用するためにも、評価結果だけでなく、その前提となるデータ、評価基準、適用範囲、更新時点を理解することが重要です。

---

　次回は「SCS評価制度」を取り上げ、共通基準による可視化を、発注企業と受注企業の実務にどう生かすかを考えます。

著者紹介

橋本詩保（はしもと しほ）　SecurityScorecard, Inc. インターナショナルマーケティング担当 バイスプレジデント

2021年より現職。サイバーセキュリティやテクノロジー業界で、20年以上の経験を有する。SecurityScorecard以前には、コンピュータゲーム開発企業であるRovio Entertainmentの子会社 Hatch Entertainmentで、SamsungやNTTドコモなどのパートナーと共にモバイルクラウドゲームの世界展開を主導。アイデンティティーアクセス管理および暗号化の世界的リーダであるSSH Communications Securityでは、世界的にマーケティングチームを率いるなど、グローバルな視点でマーケティング戦略を展開。