取引先の大手メーカーから、こんな依頼が届きました。「運用管理規定にもとづいて、主要機器の設置場所とウイルス対策の状況を点検してほしい」。半年に一度の定例です。ウイルスチェックについては「毎月やっているはずなので、確認だけで大丈夫です」と一言添えてありました。
規定書のPDFも一緒に届きます。該当する条項の指定つきです。中身を読まないことには、何をどこまで点検すればいいのか分かりません。
私はこの点検を、規定書を全部AIに読ませて、実際のシステムの状態と一つずつ突き合わせる形で進めました。
規定書を全部読ませるところから始めた
まずやったのは、規定書のPDFを最初から最後まで読ませることです。28ページありました。指定された条項のあたりだけ拾い読みしても、周辺の条項との関係が分からないので、章立て全体を通してもらい、点検で実際に何を確認すればいいのかを条文ごとに箇条書きにしてもらいました。
出てきたのは、主要機器の設置場所の管理、ウイルス対策ソフトの導入状況、外部記録媒体を使う場合のフルスキャン記録、データが国内に閉じているか、といった項目です。条文の番号ごとに、何が確認できれば「適合」と言えるのかがはっきりします。
ここが揃わないと、点検は「一通り見てみます」で終わります。規定への適合を答える前に、まず規定の側から「何を確認すれば満たしたことになるのか」を先に決めておく必要がありました。
AIにどう頼んだか
規定書を読ませたあとは、こんな頼み方をしました。
取引先から、運用管理規定にもとづく点検要請が来た。半年に一度のやつ。規定書のPDFはこれ。該当する条項の指定もある。
まず規定書を全部読んで、点検で何を確認すればいいか条文ごとに洗い出して。そのうえで、今動いているシステムの実際の状態と一つずつ突き合わせて、適合してるか、していないかを教えて。フォルダに古い資料もあるけど、そっちを信じるんじゃなくて、今の実物で確認して。
ウイルスチェックは「毎月やっているはず」と先方は言ってるけど、そこも鵜呑みにせず実際に確認して。
指示したのは「何を確認すべきか」と「どこを信用するか」だけです。規定への適合をどう判定するかまでは決めていません。そこは条文と実データを照らし合わせて、AI側に一つずつ拾わせています。
要るのは規定書とアクセス権
同じことをやるのに必要なのは、そう多くありません。
- 点検の根拠になる規定書(取引先や監査機関が出しているもの)
- 対象システムの状態を実際に確認できる権限(読み取り専用で足ります)
- ズレが見つかったときに直せる権限があれば、なお良い
読み取り権限さえあれば、条文との突き合わせまではできます。直すところまでやるなら、書き込み権限も要ります。今回は両方使いました。
資料ではなく、実物から数え直す
点検対象のフォルダには、構成設計書や過去のチェック結果、前回の引き継ぎメモが残っていました。それを読めば済むならそれで十分だったのですが、念のため実際のシステムから今の状態を取り直してもらいました。
これが正解でした。書類に書かれている構成と、実際に動いているものは、時間が経つと少しずつずれていきます。資料をそのまま信じて報告書を書いていたら、現状と合わない内容で提出するところでした。
規定への適合を答える前に、まず今何が動いているかを実物で数え直す。ここを飛ばすと、点検そのものが成立しません。
「やっているはず」を答えにしない
点検の依頼には、前提として「こうなっているはずなので確認だけで大丈夫です」という補足が添えられることがあります。
ただ、点検で答えるべきなのは「はずです」ではなく、今どうなっているかです。言われた前提をそのまま報告書に書き写すのなら、点検をやる意味がありません。だから対象の機器ごとに現在の設定を実際に取得して、規定が求めている状態を満たしているかを一つずつ確認しました。
条文の求める状態と、今の設定。この2つを機器の数だけ突き合わせて、初めて「適合」と書いていいかどうかが決まります。ここを省いて書類だけで答えると、点検は「一通り見ました」以上のものになりません。
送る前に、中の情報を消す
報告書を作る段になって、もうひとつ気をつけたことがあります。点検で実際に見ているのは、サーバー名やリージョン名といった内部の管理情報です。これをそのまま報告書に書くと、取引先に自社のシステム構成を細かく見せることになります。
なので報告書は、条文ごとの適合結果と、機器の区分・用途・設置箇所までにとどめ、個別のリソース名は書かない方針に作り替えました。設置場所も一般的な地域表記に統一しています。実リソース名を残すのは社内側の記録簿だけです。
体裁の話もひとつ。最後の1行「以上」だけが3枚目にはみ出していました。余白を数ミリ単位で詰めて2枚に収め、詰めすぎて読みにくくなっていないかも見直しています。細かいですが、点検報告書はそのまま取引先の手元に残る文書なので、ここで雑になると信頼を落とします。
どんな場面で同じ手が使えるか
点検や監査の依頼には、規定書という「答えるべき項目のリスト」がすでに存在しています。そこを全部読ませてから実際の状態と突き合わせれば、抜け漏れなく答えられます。しかも、書類を読むだけでは気づけない食い違い、つまり古い資料と実態のズレや、先方の前提と実態のギャップまで拾えます。
「規定を読み込む時間がないから、前回の報告書を使い回す」というやり方もよく見ます。でも規定は変わるし、システムの中身も変わります。取引先から定期的な点検・監査が来る仕事をしているなら、規定書を全部読ませて実データと突き合わせる、この手順自体を型にしておく価値はあると思います。