Aikido Security、AIガバナンスの国際規格「ISO 42001:2023」認証を取得

【なぜ重要か】 AIを活用したセキュリティツールの導入審査において、欧州AI規制法（EU AI Act）の影響もあり、ベンダーのAIガバナンス体制の証明が調達要件として定着しつつある。ISO 42001は第三者機関による独立した審査に基づくAIガバナンス認証であり、SOC 2のような汎用的なセキュリティ認証とは異なり、AI固有のリスク管理体制を直接評価する。規制環境下でAI対応セキュリティツールの導入を検討する日本のエンジニア・セキュリティ担当者にとって、ベンダー選定の重要な判断材料となる。

【ポイント】

• 認証の対象範囲： AIペネトレーションテスト（Aikido Attack・Aikido Infinite・Aikido Machine）、コードセキュリティ監査、ディープPRレビュー、APIスキャン、AutoFix、AutoTriage、Aikido Intel、AIクラウド検索、コード品質など、プラットフォーム上の全AI機能が対象。今後追加されるAI機能も同一の監査済みプロセスに従う。
• ISO 42001が認証するもの： AIシステムの境界定義、ガバナンス役割を明確にしたAIポリシーの策定、正式なリスク・影響評価の実施、AIの挙動指標の継続的モニタリング、モデルや環境の変化に応じた不適合事項の是正と継続的改善。なお、個々のAIモデルや出力の安全性を保証するものではなく、ガバナンス管理システムを認証するものである。
• SOC 2との違い： SOC 2は組織全体の一般的なセキュリティ管理策を審査するのに対し、ISO 42001はAI固有のリスクをどのように文書化・監視し、AIの変化に合わせてガバナンスを維持するかを専門的に評価する。AIガバナンス専用の認証を取得しているセキュリティベンダーは現時点では少数にとどまる。
• 認証取得のプロセス： 内部レディネスレビュー、ポリシー・手順を検証するステージ1文書審査、実際のコントロールをテストするステージ2審査を経て取得。既存のSOC 2・ISO 27001の基盤を活用しつつ、AI機能ごとの意思決定プロセスとデータの流れをマッピングし、継続的なモニタリング体制を新たに構築した。
• 現在のコンプライアンス状況： ISO 27001:2022、ISO 42001、SOC 2 Type II、GDPRへの完全準拠に加え、FedRAMPの取得を進行中。証明書はトラストセンターからリクエスト可能。

【まとめ】 Aikido Securityは、AI機能のリスク管理体制を第三者が独立して審査・認証するISO 42001を取得した数少ないセキュリティベンダーの一つとなった。規制対応環境でのAIセキュリティツール導入を検討している場合は、同社のトラストセンターから証明書を取得して自社のベンダーリスク審査に活用することを推奨する。