カテゴリー別アーカイブ: CCM

AI Controls Matrix (AICM) 速報

コメントをどうぞ

AI Controls Matrix (AICM) 速報

2025年7月10日
諸角　昌宏

本ブログは、2025年7月10日にCSA本部が公開したAI Control Matrix (AICM)について、その概要を説明します。

  1. AICMとは？

    AICMは、クラウドにおけるセキュアで信頼性の高いAIシステムのためのフレームワークを提供する管理策集です。組織がAI技術をセキュアかつ責任ある方法で開発、導入、および活用するための支援を目的とした管理策のフレームワークとなります。
    今回、CSA本部から、AIセキュリティとガバナンスのための最初のベンダーニュートラルフレームワークとして公開されました。AICMでは、以下の点で組織をサポートすることができます。

    • AI固有のリスクを評価し、管理する
    • 信頼性の高いAIシステムを構築する
    • 国際基準に準拠する

  2. AICMの構成

    AICMでは、以下の18のドメインと243の管理策で構成されます。以下が18のドメインの内容です。AICM固有に追加されたドメインがModel Security(MDS)で、それ以外の17のドメインはCCM（Cloud Controls Matrix）のドメインで、CCMのドメインにAICMとしての管理策が記述されています。

  3. AICMのアーキテクチャ

    AICMの各管理策は、以下の内容を含んでいます。

    • Control Type
      管理策がAI向け、クラウド向け、AIとクラウド向け（AI-Specific, Cloud-Specific, Cloud&AI-Related）のいずれかを明示。
    • Control Applicability and Ownership
      管理策の所有者（Cloud Service Provider(CSP), Model Provider(MP), Application Provider(AP)）を表示、および、その責任共有モデル
    • Architectural Relevance – GenAI Stack Components
      対象となる物理インフラ（Network, Compute, Storageなど）
    • Lifecycle Relevance
      AIライフサイクルのうち、対象となるステージ（Preparation, Development, Evaluation, Deployment, Service Retirement）。責任を持つチーム（GRC Team, Internal Audit Team）。
    • Threat Category
      管理策に想定される脅威

  4. AICMの現在の提供状況

    下の図が、AICMとして提供するコンポーネント。また、赤で囲った部分が今回提供されたコアの部分です（MappingについてはBSI AIC4とNIST AI 600-1 (2024)を提供）。
    今後の予定

    • ISO42001とのマッピング（現在公開レビュー中）
    • Implementation Guidelines（現在公開レビュー中）
    • EU AI Actとのマッピング（作業中）
    • Auditing Guidelines（作業中）

  5. 参照

以上

 

ValidAIted　ー　CSAの最新STARレベル1セルフアセスメントツール

コメントをどうぞ

Valid-AI-ted
CSAの最新STARレベル1セルフアセスメントツール

2025年6月16日
日本クラウドセキュリティアライアンス　諸角昌宏

本ブログは、CSA本部が公開している「Valid-AI-ted Overview」の日本語訳です。また、本ブログのPDF版は、こちらからダウンロードできます。

なお、本ブログと原書（「Valid-AI-ted Overview」）の内容に差異があった場合には、原書の内容が優先されます。

Security, Trust, Assurance & Risk（STAR）プログラムのアップグレード

CSAのValid-AI-tedツールは、STARレベル1のセルフアセスメント（自己評価）の新しい方法です。最先端のLLM技術を用いて強化されたこの機能は、STARレベル1のセルフアセスメントで提供している情報の自動品質チェック機能を提供します。”Valid-AI-ted “は、”validated “と発音し、この新しいツールにおけるAIの革新的な利用を強調しています。

Valid-AI-tedにセルフアセスメント結果を提出すると、プロバイダーはすぐに詳細なフィードバックと修正ガイダンスを受け取ります。プロバイダーは、継続的な改善を奨励するため、最大10回まで再提出を行うことができます。合格すると、プロバイダーは、Valid-AI-tedのSTARレベル1バッジを獲得し、コンプライアンスをアピールすることができます。

Valid-AI-tedのメリット

CSAのValid-AI-tedツールは、AIを使用したクラウドセキュリティ評価の自動化という点でユニークです。このツールは、STAR レベル 1 の申請に対して、正確で客観的かつ迅速な検証を提供します。さらに、Valid-AI-tedは以下を提供します。

  • 保証の向上。従来のSTARレベル1のセルフアセスメントでは、プロバイダーの回答の質には大きなばらつきがありました。Valid-AI-tedは、セルフアセスメントが慎重に実施され、組織が強固なセキュリティベースラインを達成したことを保証します。
  • 定性的なベストプラクティス分析Valid-AI-tedは、クラウドコントロールマトリックス（CCM）による実証済みのimplementation guidanceに基づき、標準化されたスコアリングモデルを実施します。
  • より実用的な洞察。合格、不合格に関わらず、組織は、管理策ごとにきめ細かなフィードバックを受け、改善が必要な領域を強調できます。
  • STAR Registryにおける認知度の向上。STAR Level 1 Valid-AI-tedバッジを持つ組織は、顧客、パートナー、規制当局に対して、チェックボックスによるコンプライアンスを超えていることを示すことができます。
  • 継続的改善への容易なアクセス。修正と再提出が可能なため、成熟しつつある組織にとって理想的であり、STAR Level 2の第三者評価ソリューションに向けた、より利用しやすい道筋を提供します。

CSAプログラムの強力な組み合わせ

AI Safety Initiative:　AIブームへの対応として、CSAは2024年にAI Safety Initiativeを立ち上げました。この業界の連携は、さまざまな背景を持つ専門家で構成され、力を合わせて不可欠なAIガイダンスを提供し、組織が安全で責任あるAIソリューションを展開できるようにします。AI Safety Initiativeの活動により、CSAはセキュリティに配慮したAI開発の最前線に立つことになります。

リサーチ:　CSAは、ベンダーニュートラルなリサーチと専門教育のための機敏なプログラム、および業界エキスパートと支部によるグローバルなフットプリントにより、クラウドサービスプロバイダーのニーズとペインポイントを常に念頭に置いた、権威あるAIツールを構築しています。

STAR:　2011年に開始されたSTARプログラムは、長い歴史と信頼を得ています。世界中で、STARのエントリーは、クラウドサービスの信頼性を示す指標として、民間部門と公共部門の両方で使用されています。イタリアのように、公的部門や重要インフラに対する国家要件遵守のメカニズムとしてSTARを公式に使用している国もあります。この主要な認証プログラムは、Valid-AI-tedのような市場初のAIコンプライアンスツールをサポートするために、長年にわたって確立された強固な基盤を提供しています。

Valid-AI-tedの仕組み

  1. 完成したCAIQ（STARレベル1セルフアセスメント）をSTARプラットフォーム上の安全なポータルから提出してください。開始前に$595の料金をお支払いいただきます。
    • この料金で、1年以内に10回のスコアリングを試みることができます。
    • 複数の製品/サービスをSTAR Registryに掲載する場合は、複数の提出書類に記入し、製品/サービスごとに$595を支払う必要があります。
    • CSA会員はValid-AI-tedに無料で利用できます。
    • スコアを最適化するには、セルフアセスメントの「CSP Implementation Description」カラムに、Y/N の各回答の説明を行う必要があります。
  2. Valid-AI-tedは、提出が完了したことを確認し、回答を処理し、合否ステータス、ドメインスコア、および改善のための推奨事項を含む詳細なレポートを作成します。
  3. 合格すると、Valid-AI-tedバッジが発行され、STARレジストリに表示されます。このデジタルバッジを自身のプラットフォームに表示し、信頼できるステータスをオーディエンスにアピールすることが推奨されます。Valid-AI-tedバッジは、将来的な継続的検証のアップデートがあるまで、現在のところ有効期限はありません。

さらに詳しく

Valid-AI-ted の詳細と申請については、CSA STAR のウェブサイトをご覧ください。Valid-AI-tedに関するご質問や、この新しいツールの活用方法については、support@cloudsecurityalliance.org までお問い合わせください。