サプライチェーン全体に広がるセキュリティ管理への対応
山岡弁護士 自社のサイバーセキュリティの重要性はもはや当然のこととして、取引先やサプライチェーンのセキュリティ管理も重要性が増しています。個人情報保護法でいえば、自社の安全管理措置と委託先の監督に該当します。しかし、委託先だけでなく、サプライチェーン全体やパートナー企業にまで管理の射程が広がると、外部組織の水準をどう底上げしていくかが課題となりますね。
松葉氏 まさに実感しているところです。メルカリグループには、フリマサービスを運営する「メルカリ」のほか、金融サービスの「メルペイ」、暗号資産関連事業の「メルコイン」などがあります。さらに「メルカリShops」「メルカリモバイル」「メルカリNFT」など多様なサービスや海外向け越境事業も展開していますし、外部企業との提携も事業拡大に合わせて広がっています。これらに関わる委託先・外部ツールなどの審査について、リスクに応じてセキュリティチームが横断的に関与し、その評価を行っています。
当社は“Move Fast（はやく動く）”をバリューの一つに掲げており、意思決定のスピードを重視する社風の中、セキュリティチームはサプライチェーンリスクについても適切に管理しつつ、審査を迅速に完了してビジネスを前進させるという、非常に難しい役割を担っています。毎日葛藤ですね。AIを活用した抜本的な審査管理フローの改善は、チームにとって直近の最重要目標の一つとして掲げています。
山岡弁護士 サプライチェーンを管理する側も、管理される側も、双方負担が重く疲弊しているというのが近年のセキュリティ業務の実態です。管理する側は膨大な数の相手先への対応に追われ、管理される側は、複数の取引先から個別にセキュリティ・チェックシートへの回答を求められ、その対応で手一杯になっています。
こうした状況を受けて、現在、経済産業省が「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の整備を進めており、2026年度末までに始まります。同制度はセキュリティ対策の状況を5段階の星で評価するしくみで、たとえば“星4”を取得している企業であれば一定水準を満たしているとし、個別対応を簡略化または割愛できるといった運用が期待されています。
山岡 裕明 弁護士
松葉氏 当社では、NIST CSF、CIS Controls等のフレームワークを参考にしながら、当社実運用に即した独自のリスク評価フレームワークの整備を進めてきました。“影響度（Impact）”と“発生可能性（Likelihood）”の2軸を用い、クリティカル・ハイ・ミッド・ローの4段階でリスクを評価するしくみです。以前は担当者の定性的な判断に依存していた部分もありましたが、直近は基準の言語化と体系化を集中的に進めてきました。目的は、判断レベルの統一とAIによる一部自動化です。判断軸をプロンプトとしてAIに組み込み、一次判定を支援・たたき台化し、最終判断は人間がレビューするしくみを構築中です。
また、同じく私が所掌しているプライバシーチーム側でも、本人への影響や社会的受容性、特にユーザーの期待との整合性、説明可能性、目的との均衡等といったプライバシー固有の観点を同じ“Impact×Likelihood”の枠組みで、共通のスケールを用いて一次判定できるよう検討を進めてきています。これにより、セキュリティリスクとプライバシーリスクを横断した一貫性のある判断・レビューをより効果的に実施できる体制の構築を目指しています。
シャドーAI利用禁止の徹底にはMDM等のシステム制御が効果的
松葉氏 2025年5月に当社は“AI-Native”な会社への転換を宣言し、AIを前提としてすべての業務プロセスを再設計する方針を打ち出しました。ただ、全社でAIを積極的に活用していく中で、セキュリティチームはそのリスク管理も担わなければなりません。これまでもAI利用に関するインシデント未満の懸念・相談が一定数発生しました。権限の混同、信頼性の低いAIサービスの利用、情報の意図せぬ流出リスクなど、問題は多岐にわたります。この状況に対応するため、全社横断で100名規模のAIタスクフォースが組成され、未承認のAIツールについて、端末・ID・ネットワーク等の対策と組み合わせて、その利用を制限するしくみの策定に取り組んできました。
山岡弁護士 AI利用に関するルール作りの一つの視点として、“シャドーAIを使わせない環境を整えること”が重要だと考えます。せっかく業務用のAIツールを用意していても、個人アカウントで別のAIツールを使ってしまうと、情報の境界が一気に曖昧になり、情報漏洩のリスクが高まります。禁止するだけでは必ず抜け穴が生まれるので、“この環境ではこのツールを使う”という導線を先に整備することが必要ですね。
松葉氏 まさにそうですね。当社のバリューに“Go Bold（大胆にやろう）”がありますが、それをリスク管理の軽視と履き違えてしまわないよう、大胆なAI活用と並行して、セキュリティチームから正しい運用を日頃から社内メッセージとして発信しています。AI-Native宣言の直後は、多様なAIツールの利用申請やその各自の使い方への対応に苦慮することもありましたが、現在はポリシーとツール制御の整備が進み、状況は落ち着いてきています。技術的な対応としては、端末管理やID管理を含む統制を強化し、承認済みツールを安全に使える環境を整備しています。AIツールにとどまらず利用できるツールの範囲を明確に定め、エンジニア・非エンジニアそれぞれのニーズに応じた安全な活用環境を整えています。
松葉 公之介 氏
山岡弁護士 スマートフォンやPCにMDM（モバイルデバイス管理）を導入して、アプリやツールに関する構成を統一的に管理する運用が定着しつつありますね。
AI時代の本質的価値は“判断し、責任を負う”こと
山岡弁護士 私自身、法律業務においてAIを活用していますが、“作業”に対価が払われる時代が終わりつつあると感じます。法律のリサーチや一次分析などのサービスについて需要が激減するでしょう。しかしいずれの場面でも、最後は“誰かが判断を下し、その責任を負う”という問題に行き着きます。弁護士の役割も同様で、今後はAIベースの回答にプロフェッショナルとして判断を加え、その責任を引き受けることがより重要になると予想しています。しかも、このことは複数の専門領域が関わる分野ほど需要があると思います。一つの専門性だけでは、AIの回答が正しいかの判断ができないからです。そのため、当事務所では、“サイバーセキュリティ×法律”に特化しています。
松葉氏 深く同意します。それこそが、人間に残された最後の砦になっていくのかもしれません。AIがどれだけ精度の高いアウトプットを出したとしても、人間が業務判断として採用の可否を決め、その結果を引き受けなければなりません。我々のチームでも、AIによる一次判定の自動化を進めていますが、最終的な受容判断は人間が行う体制を敷いています。AIによる自動化が進めば進むほど、責任を担うことができる人間の存在価値は高まっていくのでは、と感じています。
山岡 裕明
弁護士
Hiroaki Yamaoka
日本および米国カリフォルニア州弁護士。18年八雲法律事務所設立。サイバーセキュリティを専門に取り扱う。内閣官房「内閣サイバーセキュリティセンター」タスクフォース、同「サイバー安全保障分野での対応能力の向上に向けた有識者会議」、国家サイバー統括室「重要インフラサイバーセキュリティ研究会」の構成員を歴任。第一東京弁護士会所属。
松葉 公之介
株式会社メルカリ
Konosuke Matsuba
株式会社メルカリにて、Information Security & Privacy領域のマネジメントを担当。Privacy Officeの立ち上げなど、同グループにおけるプライバシー・セキュリティマネジメントの体制整備をリード。現在はセキュリティガバナンス領域全体を管掌し、組織横断のリスクマネジメントと統制の設計・運用とその高度化を推進している。