短期間・低負荷でセキュリティ対策の現状を可視化─ AIを活用したNIST CSF 2.0ベースのクイック診断

特定のフレームワークへの準拠や個別のセキュリティ対策は進めていたものの、対策全体の成熟度や残存課題を俯瞰的に把握することができず、「現在どこに課題があるのか」「次に何へ投資すべきか」を客観的に説明する材料が不足していた。また、限られたリソースの中でセキュリティ対策を推進するためには、改善施策の優先順位付けや中長期的なロードマップ策定に向けた判断材料を整理する必要があった。加えて、海外株主を含むステークホルダーへの説明責任も見据え、国際的に広く活用されているフレームワークであるNIST CSF 2.0に基づく客観的な評価への関心が高まっていた。
一方で、詳細な監査レベルのアセスメントは期間・工数・費用面の負荷が大きく、通常業務と並行して実施することは容易ではない。そのため、短期間かつ低負荷で現状を把握しながらも、セキュリティ対策を網羅的に評価できる手法が求められていた。
自然電力とアビームコンサルティングは、2025年からセキュリティ教育やワークショップなどを通じて継続的な関係を構築していた。その中で、NIST CSF 2.0をベースに短期間でセキュリティ対策の成熟度を評価できる「セキュリティ成熟度クイック診断」が同社の課題感と合致したことから、本支援の実施に至った。

本プロジェクトの成功要因は、短期間かつ低負荷で実施できる進め方と、改善施策の検討につながる粒度で現状を評価できる設計を両立した点にある。従来のアセスメントでは、多くの関係者へのヒアリングや証跡確認を中心に進めるため、実施期間や工数の負荷が大きかった。一方、本診断ではセルフチェックを起点とし、必要な証跡確認や妥当性確認を組み合わせることで、通常業務と並行して実施できる進め方を実現した。
また、NIST CSF 2.0をベースとした評価項目を採用し、セキュリティ対策の実施有無だけでなく、「責任者が特定されているか」「定期的に改善しているか」といった運用・定着状況まで確認できる設計とした。各設問は自社の状況に近い選択肢を選ぶ形式とすることで回答しやすさを確保するとともに、定量評価によって対策状況や成熟度を客観的に把握できるよう工夫している。
さらに、証跡確認やレポート作成の一部工程にAIを活用することで、従来は人手に依存していた分析・整理作業を効率化し、短期間かつ低負荷でのアセスメントを実現した。評価結果はフレームワークに沿って整理され、セキュリティ対策の全体像や重点課題を可視化するとともに、優先的に取り組むべき改善施策の検討材料として活用できる形で提供した。これにより、複数の関係者が共通認識を持ちながら、ロードマップ策定に向けた議論を進められる状態を実現した。

アビームコンサルティングは、2025年から実施しているセキュリティ教育やワークショップ支援を通じて、自然電力の事業環境やセキュリティ課題への理解を深めてきた。今回の支援では、その知見を活かしながら、対策全体の成熟度や課題を俯瞰的に把握したいというニーズに対し、短期間かつ低負荷で実施可能なアセスメントを設計・推進した。
具体的には、NIST CSF 2.0をベースとした評価フレームワークを活用し、判断基準や記載例を提示することで回答品質の平準化を図った。また、必要に応じて追加説明や想定ドキュメントの例示、回答内容の精査を行うことで、通常業務と両立可能な形で評価を実施した。
さらに、回答内容や評価結果を分析し、AIも活用しながら証跡確認や結果整理の効率化を図ることで、セキュリティ対策の全体像と重点課題を可視化した。また、最新の脅威動向やベストプラクティスを踏まえながら、優先的に取り組むべき改善テーマを整理した。
これにより、自然電力はセキュリティ対策の成熟度や残存課題を客観的に把握するとともに、優先的に取り組むべき課題を明確化し、改善施策の検討やロードマップ策定に向けた議論を進められる状態を実現した。
アビームコンサルティングは今後も継続的な情報提供や改善検討支援を通じてAI技術を活用しながら、セキュリティガバナンスのさらなる強化と持続的なセキュリティレベル向上に貢献していく。