見出し画像

AIでISMS事務局を作り直して分かった、「AIだけでは解決できないこと」

株式会社KiteRa

私は、KiteRaで社内の情報セキュリティ運用を担当している、管理本部総務グループ シニアマネージャーの井上です。
当社では、「KiteRa Biz」「KiteRa Pro」「ヨクスル」を提供しています。

先日、ISMSのサーベイランス審査に向けて、約3年間運用してきたGoogle Drive中心のISMS運用を、Claude Code × Notionを活用した仕組みに作り直しました。

期間はおよそ2週間。

結果として、監査やレビューの準備工数は大幅に削減され、記録と実態の整合性も以前より保ちやすくなりました。

ただ、今回の取り組みで得た学びは「AIは便利だった」という話だけではありません。

むしろ印象に残ったのは、

AIが得意なことと、人間が担うべきことは何か。

そして、

AI時代にKiteRaが提供する価値とは何か。

という問いでした。
今回は、その話を書いてみたいと思います。


「運用できている」と「回っている」は違う

KiteRaがISMSを取得したのは2022年です。
当時から運用の中心はGoogle Driveでした。

情報資産管理台帳、リスク管理表、委託先管理台帳、監査記録、教育記録―。
個々のファイルとして見れば、どれも機能していました。

問題は、それぞれが独立して存在していたことです。

例えば新しいSaaSを導入した場合、本来であれば、

  • 情報資産に登録する

  • リスクを評価する

  • 委託先として管理する

  • 監査対象へ反映する

といった複数の更新が必要になります。

しかし実際には、
「台帳には登録したが、リスク管理表は更新されていない」
「監査の直前に更新漏れが見つかる」
そんなことが少なくありませんでした。

ISMS事務局は実質1人体制。
日々の業務と並行しながら、複数の台帳を人力で維持するには限界があります。

あるとき私は気づきました。
これは運用できているだけで、仕組みとして回っているわけではない。
そこで、運用そのものを見直すことにしました。

Claude Code × NotionでISMSを再設計する

選択肢はいくつかありました。

  • 専用SaaSを導入する

  • 内製システムを作る

  • Notionを基盤に再構築する

最終的に選んだのは、Notionをデータ基盤として整備し、その上でClaude Codeを活用する方法でした。

Notionには情報資産、リスク、監査、教育などのデータを構造化して保存します。
Claude Codeは、それらの情報を横断して読み取り、集計し、必要なドキュメントや記録を生成します。

イメージとしては、
「ISMS事務局のもう一人の担当者」
です。

例えば、

  • 監査チェックリストの生成

  • 監査報告書の作成

  • 指摘事項の登録

  • マネジメントレビュー資料の作成

  • 情報資産候補の抽出

  • リスク候補の洗い出し

といった業務をスキル化しました。

これまで人が何時間もかけて行っていた定型作業の多くが、数分で終わるようになります。

特に驚いたのは、監査チェックリスト作成です。

以前は各部門向けに個別調整しながら準備していましたが、今では監査計画を登録してスキルを実行するだけで、各部門向けのチェックリストが自動生成されます。

初めて動いたときは、
「ここまでできるのか」
と素直に驚きました。

AIは万能ではない。でも強力だった

順調に進んでいるように見えた一方で、当然ながら失敗もありました。

サーベイランス審査当日、AIが前年の日付を参照していたことに気づいた場面があります。

幸い大きな問題にはなりませんでしたが、そのとき改めて理解しました。

AIの出力品質は、AIそのものではなく、土台データの品質で決まる。

AIは正しそうな文章を作ることができます。
しかし、

  • 日付が古い

  • 版数が違う

  • 前提情報が誤っている

そんな状態であれば、もっともらしい誤りを生成します。

これは規程やガバナンスの領域では特に重要です。
だからこそ、

  • 最新のデータを維持すること

  • 人が最終確認すること

は不可欠でした。

AIが得意なのは「検知」、人が担うのは「判断」

もう一つ学んだことがあります。

AIはリスク候補を見つけることができます。
新しいSaaSを検知したり、想定されるリスクを提案したりすることもできます。

しかし、
そのリスクを受容するのか。
どのレベルまで対策するのか。
これは人間の仕事です。

つまり、

  • 検知はAI

  • 判断は人

という役割分担です。

AIが進化するほど、人間の仕事がなくなるのではありません。
むしろ、

  • 何をAIに任せ、何を人が判断するか

を設計することが重要になります。

AI時代に、KiteRaが提供する価値

今回の取り組みを通じて、私は改めて考えました。
AIが普及したとき、KiteRaはどんな価値を提供できるのだろうか。

AIは規程を作れます。
就業規則も、社内ルールも、それらしい文章なら数秒で生成できます。

でも、その規程が本当に会社の実態を反映しているかは別問題です。
実際の企業運営では、

  • 法改正への対応

  • 組織変更への追従

  • 責任範囲の整理

  • 運用との整合性確保

が必要になります。

そして、ここには専門知識と判断が求められます。
AIが生成する規程の価値は、その土台となるデータや知見の質に依存します。

これは今回のISMS運用でも同じでした。
AIの出力品質は土台データで決まる。

だからこそAI時代には、

信頼できる規程データ、整合性の取れたレギュレーション情報

の重要性が高まります。
私はこれこそが、KiteRaが目指している世界だと思っています。

AIと競争するのではなく、
AIが正しく活用されるための土台を作る。
それがKiteRaの役割です。

だからこそ、KiteRaはAIを使い倒す

今回のISMS再構築も、その実践のひとつでした。

私自身はエンジニアではありません。
それでもClaude Codeを使いながら、自分の業務を仕組み化し、改善することができました。

KiteRaには、「AIをどう活用するか」
を議論するだけでなく、

実際に自分たちの業務で使い倒している文化があります。

規程やコンプライアンスを扱う会社でありながら、同時にAI活用の最前線にも立っている。

その両方を経験できる環境は、決して多くないと思います。

こんな人と働きたい

今回の取り組みを通じて改めて感じたのは、KiteRaは「規程」「プロダクト」「AI」が同時に交差する場所だということです。

  • コンプライアンスを形式論で終わらせたくない

  • AIを業務の武器として使いこなしたい

  • 繰り返し作業を仕組みに変えることが好き

  • 本質的な課題解決に時間を使いたい

そんな想いがあるなら、きっと面白い環境だと思います。

私たちは今も、自分たちの業務そのものをアップデートし続けています。

この記事を読んで少しでも興味を持っていただけたら、ぜひ採用ページを覗いてみてください。

一緒に、「AIを当たり前に使い倒しながら、その土台となる仕組みや規程も進化させていくKiteRa」を作っていける仲間をお待ちしています。

KiteRaでは、開発/ビジネス/コーポレート、あらゆる職種を絶賛採用中です！

採用サイトを見る