ここから、境界保護やフロー制御、リモートアクセス、内部接続、情報交換、ネットワーク切断、トラフィック監視といった、ネットワークポリシープレーンが適用や証跡の取得を担う管理策に絞り込むと、およそ24項目が残る（この抽出は筆者が独自に行ったものであり、NISTがそのようなマッピングを公開しているわけではない）。

　顔触れはおなじみの「SC-7」（境界保護）、「AC-4」（情報フローの強制）、「CA-9」（内部システム接続）、「SI-4(4)」（インバウンドおよびアウトバウンド通信トラフィック）などだ。そのうち6つには、組織が定義する頻度または期間の指定が含まれている。SI-4(4)だけでも2つの頻度パラメーターを持つ。

　実施頻度の指定が求められると、証明の性質そのものが変わる。組織が具体的な実施間隔を定めた瞬間、もはや「ある時点の状態」を証明するだけでは済まなくなり、「一定の周期で運用し続けているサイクル（リズム）」の証明が求められる。サイクルは1枚のスクリーンショットでは示せない。一定期間にわたる記録が必要になる。

　業界全体も同じ方向に動いている。ISACAは改訂したIT監査フレームワーク「ITAF」第5版で監査の範囲を広げ、継続的保証を盛り込んだ。ITAF第5版の開発を主導したメアリー・カーマイケル（Mary Carmichael）氏は、この変化を「定期的なレビューから継続的なインサイトへの移行」と表現している。

　米国政府のクラウド認証制度「FedRAMP 20x」はさらに一歩踏み込んでいる。クラスC認証を取得しようとするプロバイダーは、該当する全ての主要セキュリティ指標について、直近30日の要約に加え、最長1年分（入手できる範囲で）の指標の推移を提出しなければならない。提出時点の単発のステータス報告ではなく、6カ月間の推移が求められる。

第1のギャップ：自動化の導入そのものの壁

　この要件を満たすためのツール自体はすでに存在する。継続的な制御監視プラットフォーム、OSCALネイティブのコンプライアンスツール、クラウドの構成履歴機能などを使えば、結果を時系列で保持して一定期間ごとに検証できる。AWSなどのクラウドプロバイダーも、まさにこの目的のためのレファレンスアーキテクチャを公開している。

　しかし、ISACAの調査によると、ツールそのものが最大の障壁になっているわけではない。「ツールのコスト」（18％）や「適切なツールの欠如」（18％）は、時間や人手の問題よりもはるかに下位に位置している。

　回答者の55％がセキュリティ予算は不足していると答えているものの、継続的保証パイプラインの構築にはデータソースの接続、実行間隔の定義、連携の維持といった作業に、多くのエンジニアリング工数が必要になる。8人規模のチームは評価作業そのものに時間を使い切ってしまい、エンジニアリングの時間を確保できない。

　人員に余裕のあるチームは高頻度でセキュリティ評価を実施しており、仕組みを構築する余力もある。一方で、年1回の評価サイクルに縛られているチームほど、自動化によってその状況から抜け出す余力が最も乏しいというジレンマに陥っている。

第2のギャップ：自動化を信頼できるか、という壁

　自動化を導入しても、労働がなくなるわけではない。労働の形が変わるだけだ。

　FedRAMP 20xの評価担当者向けガイダンスは「自動化はそれ自体が証明にはならない」と明言している。評価担当者は、検証が定められた頻度で実行されているか、適用範囲全体を網羅しているか、一貫した結果を出しているかをテストするよう指示されている。誰も仕組みを説明できないツールから出力された証跡は厳しく精査するように求められている。

　そして、それこそが新たな業務だ。実行漏れが「異常なし」と誤認されず「証跡の欠落」として検知されるか、適用範囲にズレがないか、チェック間隔がセキュリティ計画と一致しているか――こうした点を正しく保証できるほど、パイプラインを深く理解している人材が不可欠だ。

　自動化された証跡の信頼性は「証跡がどのように生成されたか」を説明できる人間の能力に依存する。システムが出力するレポートも、人間が信頼性を検証すべき対象にすぎない。

　ISACAの調査は、その対応力がどれほど手薄であるかを示している。業務でAIを使う回答者のうち、定型的なセキュリティ業務の自動化に利用している割合は40％で、1年前（28％）から12ポイント上昇した。それにもかかわらず、AI関連のインシデント対応訓練を定期的に実施している企業はわずか8％にとどまる。LLM SecOps（大規模言語モデル向けのセキュリティ運用）は前年の33％から45％に上昇し、2番目に大きなスキルギャップになっている。

　レポートの結論も「AIの導入スピードに受け入れ態勢の整備が追いついておらず、熟練した実務担当者や人間による監視の必要性は依然として減っていない」と明快だ。

　これは、新しい懸念に対する答えにもなっている。ISACAの監査証跡を巡る議論は「提出された成果物の真正性をそもそも証明できるのか」という点に焦点が移っている。明確な来歴を持つ機械生成の時系列データであれば証明できるが、スクリーンショットは改ざんや偽造が簡単なため、証拠として弱い。しかし時系列データさえ、機械生成の仕組みを説明できる人間がいなければ意味を成さない。

誰も計算に入れていない代償

　レポートの結論には、より静かに進行するリスクも潜んでいる。定型業務が自動化されるにつれて、若手専門家が実践的なスキルを身につける機会が減っているという点だ。回答者の42％は、すでに経験年数3年未満のスタッフをマネジメントする立場にある。

　自動化された証跡を検証するのに最も適した人材は、かつてその証跡を手作業で収集していた経験を持つ人々だ。彼らはスキャン漏れがどのような状態を指すのか、どこで適用範囲がひそかに縮小しやすいのか、どのエクスポートデータが誤解を招くのかを熟知している。教育計画もないままそうした業務を自動化でなくしてしまえば、自動化をチェックできる人材の層も同時に縮小することになる。

ギャップを埋めるためのアプローチ

　「第1のギャップ：自動化の導入そのものの壁」を埋めるには、頻度パラメーターを持つ管理策から小さく始めることだ。管理策とタイムスタンプごとに全ての結果を保持して、セキュリティ計画で定めた実行間隔をそのすぐ隣に記録しておく。実行されなかったスキャンは記録に残らないため、この2つをセットにしておくことでチェック漏れを可視化できる。これは範囲が限定的で、コストをかけずに始められる現実的な第一歩だ。

　「第2のギャップ：自動化を信頼できるか、という壁」を埋めるには、パイプラインを単なる「評価を生み出す仕組み」ではなく「評価すべき対象」として扱うことだ。仕組みを文書化して設計通りの頻度で動作しているかテストし、複数の人間がそれを説明できる状態にしておく。そして若手スタッフに対して、証跡の「保管場所」だけでなく、その証跡が「何を意味するのか」を教える教材としてパイプラインを生かすべきだ。

　FedRAMP 20xのパイロットプログラムから得られた教訓の一つは、検証データを時系列で追跡することで、プロバイダーのセキュリティプログラムに対する信頼が築かれるという点だ。単発のスキャンではなく、推移が重要になる。

　ISACAの調査も、実務者の視点から同じ結論にたどり着いた。人員増強によって評価サイクルを短縮できないチームからは「監査サイクルの速度は証跡の収集にかかる時間だけでなく、その証跡の正当性を保証できる人材の少なさも影響する」という声が上がっている。

　記録を残す仕組みを整え、その中身を正しく読み解ける人材を育てて定着させることが求められている。