AI時代のサイバーセキュリティに向けたNISTのドラフト指針

人工知能（AI）は多くの組織の活動に影響を及ぼしており、サイバーセキュリティもその例外ではない。米国立標準技術研究所（NIST）は、サイバーセキュリティとAIの交差点における機会とリスクに関心を持つ関係者に向け、「Cyber AI Profile」の予備ドラフトを公開した。正式名称は「Cybersecurity Framework Profile for Artificial Intelligence（NISTIR 8596）」である。この文書は、NISTの「Cybersecurity Framework（CSF 2.0）」を用いて、AIの安全な導入を加速させるためのガイドラインを提供する。組織は、AIの急速な進展から生じる新たなサイバーセキュリティリスクに対処しながら、AIを戦略的に導入する方法を検討できる。

本ドラフトは、NISTのサイバーセキュリティおよびAIの専門家による1年間の取り組みの成果である。この間、6,500人以上の個人が関心コミュニティに参加し、プロファイルの開発に貢献した。2025年2月に概念ペーパーを公開し、4月にワークショップを実施、夏には一連のコミュニティ会議を開催した後、現在、45日間のパブリックコメント期間として予備ドラフトを公開している。

Cyber AI Profileは3つの重点分野を中心に構成されている。著者の一人であるBarbara Cuthillによれば、これらの重点分野はAIが組織の意識の中に異なる方法で浸透しているという事実を反映しているが、最終的にはすべての組織がこれら3つの分野すべてに対処する必要があるという。本プロファイルは、CSF 2.0を活用してAIに関するサイバーセキュリティ目標を具体化するのに役立つ。組織がAIに関連するサイバーセキュリティの懸念を理解、調査、対処し、AIをサイバーセキュリティ戦略に慎重に統合するための知見を提供する。

NISTは「コミュニティプロファイル」という用語を使用して、組織間の共通の関心事や目標に対処するためのCSF 2.0の適用を説明している。Cyber AI Profileは、製造、金融、電気通信などのコミュニティ向けにNISTが作成した他のコミュニティプロファイルに加わるものである。今回の予備ドラフト公開は、最初のパブリックドラフトに向けたフィードバックを求めることを目的としている。Cuthillは、このプロセスを通じてプロファイルがさらに洗練され、CSFに対する追加のリソースのマッピングが含まれると述べている。45日間のコメント期間を経て、NISTは2026年に最初のパブリックドラフトを公開する予定である。

最終版では、優先すべき主要な行動の提案、AIを考慮する際のCSFの特定の箇所に関する特別な配慮の強調、AIリスク管理フレームワーク（AI Risk Management Framework）を含む他のNISTリソースへのマッピング提供を通じて、組織がサイバーセキュリティ計画にAIを組み込むことを支援する。コメントは、2026年1月30日までにフォームに記入の上、指定のメールアドレスへ送付する必要がある。また、NISTは2026年1月14日に予備ドラフトについて議論するワークショップを予定しており、登録用リンクを後日公開する。