【ITニュース解説】The Ghost in the BISO 👻

システムエンジニアを目指す皆さんにとって、企業の情報セキュリティは常に重要なテーマだ。日々の業務の中で、セキュリティチームは多くの課題に直面している。その中でも特に厄介なのが、「忘れ去られたリスク」や「未解決のまま放置されている監査指摘」といった問題だ。これらはまるで「幽霊」のように、スプレッドシートや管理ツールの中にひっそりと潜み続け、誰もが「なぜこれがまだ残っているのか？」と疑問に思うまで、その存在が意識されないことが多い。このような放置されたリスクは、企業のセキュリティ体制に潜在的な穴を開け、将来的に大きな情報漏洩やシステム障害、あるいは厳しい監査指摘につながる可能性を秘めている。

今回紹介する「The Ghost in the BISO」は、まさにこの「忘れ去られたリスク」という名の幽霊を特定し、調査し、対処するためのAIコンパニオンツールだ。このツールは、ビジネスインフォメーションセキュリティオフィス（BISO）のようなセキュリティ関連部署の業務を支援するために開発された。具体的な目的は、見落とされがちなセキュリティリスクを事前に発見し、監査の準備を効率化することにある。

このツールには主に四つの機能がある。一つ目は「Ghost Radar」だ。これは、企業のセキュリティリスク管理台帳を分析し、未解決のままになっている課題、長期間放置されている項目、重要度の高いリスク、そして監査に必要な証拠が不足している箇所などを明確に可視化する。これにより、どこに問題が潜んでいるのかを一目で把握できる。二つ目は「Evidence Séance」という機能だ。セキュリティ監査では、リスクに対する対策が適切に行われていることを示す「証拠」が不可欠だが、これが不足しているケースは少なくない。この機能は、不足している監査証拠を特定し、それを集めるために必要な具体的なチェックリストを自動的に生成する。まるで幽霊を呼び出す儀式のように、見えない証拠を呼び出す手助けをするわけだ。

三つ目は「Ask the Ghost」である。これは自然言語処理を活用した機能で、ユーザーはセキュリティリスク登録簿に対して、まるでAIに話しかけるかのように質問できる。例えば、「最も深刻な未解決のリスクは何か？」や「特定のベンダーに関連するリスクはどれか？」といった質問をすれば、AIが登録簿から関連情報を引き出し、人間が理解しやすい形で回答を生成する。これにより、大量のデータの中から必要な情報を効率的に見つけ出すことが可能になる。そして四つ目は「BISO Briefing」だ。この機能は、特定された主要な懸念事項や、それらに対する推奨されるフォローアップ行動をまとめた、経営層向けの簡潔なサマリーレポートを自動的に作成する。これにより、セキュリティの専門家は経営層に対して、現状のリスクと必要な対応について、分かりやすく迅速に報告できるようになる。

この「The Ghost in the BISO」は、Pythonというプログラミング言語と、WebアプリケーションのUI（ユーザーインターフェース）を簡単に作成できるStreamlitというフレームワークを組み合わせて開発されている。データ分析にはPandasが使われ、そして最も注目すべきは、AIモデルの実行に「Ollama」というツールと「Qwen3」というオープンウェイトモデルが利用されている点だ。Ollamaを使うことで、AIモデルをユーザーのコンピューター上で「ローカル」に実行できる。これは、セキュリティ分野において非常に重要な意味を持つ。

なぜ「ローカルファースト」と呼ばれるこのアプローチが重要なのか。それは、セキュリティリスクに関するデータは、企業の技術的な弱点や、修正すべき優先順位など、非常に機密性の高い情報を含むからだ。もしこのような機密データを外部のAIサービスに送信して分析させる場合、その情報が外部に漏洩するリスクや、データプライバシー、契約上の制約、企業のガバナンス（統治）に関する懸念が生じる。しかし、AIモデルを自分のコンピューター上で動かす「ローカルファースト」のアプローチでは、プロンプト（AIへの指示）やテストデータがマシンから外部に出ることがないため、情報のプライバシーを高く保てる。また、一度モデルと必要な依存関係をインストールすれば、インターネット接続がなくてもアプリケーションをオフラインで実行できる利点もある。さらに、ローカルでAIを動かすため、モデルの入れ替えが容易で、さまざまなモデルを試して、応答の品質や速度、必要なコンピューターのリソースなどを比較検討する自由度が高い。そして、このプロジェクトのコードは公開されており、リスク指標がPythonの明確なルールに基づいて計算されるため、その処理の透明性が保証されている。

「The Ghost in the BISO」は、AIがセキュリティ上の意思決定を「する」ことを目的としているのではない。そうではなく、人間がより良い質問をし、不足している情報を見つけ出し、次に何に注意を払うべきかを判断するのを「手助けする」ツールである。セキュリティにおいて最も恐ろしい幽霊は、AIそのものではなく、皆がもう解決済みだと思い込んでいる「死んだはずのリスク」なのだ。このツールは、その見えないリスクを可視化し、システムエンジニアを含むセキュリティ担当者が、より効果的に企業のデジタル資産を守るための強力なパートナーとなるだろう。