AI ・量子コンピュータにかかわるリスク管理(エーアイリョウシコンピュータニカカワルリスクカンリ)

これからのシステムリスク管理の常識をわかりやすく解説
本書は、 AI と量子コンピュータが当たり前になる、これからの IT システムのリスク管理について、基本からわかりやすく解説した書籍です。特に、リスク管理を有効に機能させるために重要な考え方や具体的な手法についても詳しく解説したうえ、主要なポイントとセルフチェックのためのワークを設けています。

今後、 AI や量子コンピュータのもたらす技術革新にかかわるリスク管理能力の欠如は、あらゆる組織にとって致命的なウィークポイントになります。しかし、革新的な技術のもたらすリスクを網羅的に洗い出すことは難しいのが実情です。また、それらのリスクにより生じる損害の大きさや、損害がどの程度の可能性で発生するのかが不明瞭であることも多く、従来からのプロジェクトごとでのリスク管理手法がうまく適用できません。

そのようなリスクをうまく管理するために組織に必要となる、重要な IT ガバナンスについてのはじめの一歩もまとめています。
第 1 章 IT システムにおけるリスクと新技術
1.1 量子コンピュータの暗号リスク
1.2 AI の脆弱性によるリスク
1.3 IT システムにおけるリスク管理の全体像
1.4 IT システムのリスク管理のフレームワーク
1.5 リスク評価の方法
1.6 新技術によるリスクへの対応方針
1.7 まとめー自分の組織の対応を確認してみよう

第 2 章 量子コンピュータがもたらす暗号解読のリスク
2.1 量子コンピュータと開発動向
2.2 NIST リスク管理フレームワークに基づく新リスク対応の全体像
2.3 リスクアセスメント実施ガイドに基づくリスクの算出
2.4 リスク対策手法の検討
2.5 海外のセキュリティ当局の動向
2.6 金融業界における動向
2.7 まとめー自分の組織の対応を確認してみよう

第 3 章 AI の発展と規制
3.1 AI 研究開発の進展と AI システムのライフサイクル
3.2 トラストワージネスをもつ AI システム
3.3 AI システムに対する各国および国際的動向

第 4 章 AI システムにおけるリスク管理
4.1 NIST 「 AI リスク管理フレームワーク」および関連文書
4.2 統治機能 (GV)
4.3 位置づけ機能 (MP)
4.4 測定機能 (MS)
4.5 管理機能 (MG)

第 5 章 これからのリスク管理とガバナンス
5.1 新たな技術に対するリスク管理と組織としての対応
5.2 わたしたちの世界におけるリスク管理

AI と量子コンピュータという二つの技術潮流は、これまでのプロジェクト単位のリスク管理がうまく通用しない種類のリスクを組織に持ち込みます。本書はこの新型リスクへの向き合い方を正面から扱った一冊で、坂本静生・宇根正志の両氏の共著によりオーム社から 2025 年 2 月に刊行されました。副題は「セキュリティからガバナンスへ」。版元の紹介によれば、リスク管理を有効に機能させる考え方と具体的な手法を基本から解説し、章ごとに主要ポイントとセルフチェックのためのワークを設けた作りです。

5 章構成、暗号解読リスクと AI リスクを NIST の枠組みで

構成は 5 章です。第 1 章で 量子コンピュータ の暗号リスクと AI の脆弱性によるリスクを含む全体像とリスク評価の方法を押さえ、第 2 章が量子コンピュータによる暗号解読のリスクを掘り下げます。ここでは NIST リスク管理フレームワークに基づく対応の全体像、リスクアセスメント実施ガイドに基づくリスクの算出、海外のセキュリティ当局や金融業界の動向までを扱います。第 3 章は AI の発展と規制 (トラストワージネスを持つ AI システム・各国および国際的動向) 、第 4 章は NIST の「 AI リスク管理フレームワーク」に沿って統治・位置づけ・測定・管理の 4 機能を解説し、第 5 章がこれからのリスク管理とガバナンスで締めます。二つの新技術それぞれに NIST の枠組みを対応させる、実務の参照点がはっきりした構成です。

「損害の大きさも確率も不明瞭」という新型リスクの性格

このテーマがなぜ独立した一冊に値するのかは、版元の紹介文が的確に言い当てています。革新的な技術のリスクは網羅的に洗い出すことが難しく、損害の大きさも発生確率も不明瞭なことが多いため、従来のプロジェクトごとのリスク管理手法がうまく適用できないのです。たとえば量子コンピュータによる暗号解読は「いつ実用化されるか」が読めない一方、暗号化された通信を今のうちに収集しておき将来解読する攻撃の可能性を考えると、対応を先送りにもできません。この種の不確実性を扱うには、個別対策の積み上げではなく、組織としてのリスク評価と意思決定の仕組み、つまりガバナンスの層が必要になります。本書が副題で「ガバナンスへ」と掲げているのは、まさにこの層の話です。

向いている読者と使い分け

最も価値が出るのは、 IT 部門やセキュリティ部門で中長期のリスク評価や経営層への報告を担う立場の人です。セルフチェックのワークが付いているため、自分の組織の対応状況を確かめながら読み進められます。 AI 導入や暗号移行の計画に説明責任を負うコンサルタント、金融のように規制動向へ敏感な業界の担当者にも向きます。一方、量子アルゴリズムや機械学習の理論そのものを深く学ぶ本ではないので、技術の中身は専門書との併読が前提です。防御の実務寄りの本から入りたい場合は セキュリティ本の選び方 も参考にしてください。技術動向をビジネスリスクの言葉へ翻訳する道具が欲しい人にとって、 2025 年刊という時点の新しさも含めて投資に見合う一冊です。