要約

  • RIPE NCCが2026年第3四半期に公表した情報セキュリティ計画は、規格・監査、リスク・GRC、アプリケーション安全・侵入テスト、監視・マネージドサービスの四項目をすべて「進行中」としている。
  • それぞれの成果物は代用できない。監査意見はリスク受容ではなく、修正の実装は独立検証ではなく、アラートは確認済みインシデントではない。
  • 公開すべきなのは防御の設計図ではない。限定した主張、対象範囲、証拠の種類、受け渡す職能、受領判断、例外の分類、再検証日を記した版管理付きの引き継ぎ表である。

同じ「進行中」でも、時計の針は同じ場所を指していない。

外部監査には対象期間がある。ISO 27001認証には内部監査の指摘対応、認証審査、認証機関の判断という節目がある。リスク評価は組織の意思決定周期で動く。ソフトウェアの欠陥は発見、評価、修正、配備、再検証の順に進む。監視は秒単位で信号を受け取るが、組織がインシデントと確認するまでには別の判断が入る。

RIPE NCCの「Information Security, Risk and Compliance Quarterly Planning」は、これらを四行にまとめる。2026年6月11日更新の第3四半期計画では、第一にRPKIのSOC 2 Type II保証報告へ向けた第3・第4四半期の外部監査活動と、ISO 27001内部監査の勧告対応、認証審査の準備を掲げる。第二は年次リスク評価とGRCプラットフォームの導入。第三は開発ライフサイクルを通じたアプリケーション安全能力と、組織的な侵入テスト制度の基盤づくり。第四はセキュリティ監視の対象拡大とマネージドセキュリティサービスの調達である。

四項目の状態はすべて「In progress」だ。これは失敗の証拠ではない。むしろ、終わっていない仕事を終わったように見せない慎重な表現である。ただし、この一語では、ある仕事の成果が次の仕事に受領されたかどうかは分からない。

四つの時計を一つの割合にしない

RPKIの保証から見ると、日付の重要さがよく分かる。2025年年次報告によれば、RIPE NCCは2024年のType Iに続き、2025年12月にRPKIのSOC 2 Type II保証報告を受領した。2026年活動計画はType IIを年次の取組とし、新たな審査を予定する。第3四半期ページが示す外部監査活動は、その次の周期を指す。

過去の報告と現在の作業は矛盾しない。Type IIは、定められた期間、対象、統制枠組みについて保証を与える。2025年の報告があるから2026年の審査が済んだことにはならない。2026年の審査が始まったから2025年の報告が無価値になるわけでもない。公開記録に必要なのは、どの期間の証拠か、前回の観察事項や改善が次の周期にどう渡されたか、例外をどの職能が受け入れるか、いつ新しい対外説明へ切り替えられるかである。

ISO 27001の時計はさらに違う。四半期計画は、内部監査の勧告に対応し、認証審査の実施を計画すると述べる。年次計画の目標は認証取得だ。勧告の割当て、是正の実施、証拠の確認、審査準備、審査実施、認証機関の判断は、それぞれ別の状態である。「進行中」だけでは遅延も不調も証明できないが、完了条件も示せない。

公開版は勧告の内容を伏せたまま精密にできる。「内部勧告の是正を検証中」「認証審査を日程化」「審査を完了し判断待ち」といった段階、対象範囲、次の判断日だけを示せばよい。安全上の秘密は統制の中身にあり、証拠を受け取る権限と日付そのものにあるとは限らない。

GRCは帳簿であって意思ではない

年次リスク評価とGRCプラットフォームのオンボーディングも、同じ進捗率では測れない。評価はリスクを識別し、比較し、処置を決める行為である。GRCは所有者、期限、版、証拠、承認を保持し、忘却を減らす道具だ。だがソフトウェアにはリスク選好がなく、残余リスクを引き受ける権限もない。

公開されている理事会議事録から、人が担う部分は読み取れる。第189回会合では、リスク処置計画の80％が期限どおり実行され、重大なセキュリティインシデントは報告されなかったとの説明があり、理事会は改定リスク選好声明を承認した。2026年6月の第194回会合では、高リスクと処置計画、2025年12月に承認された選好の展開状況について報告を受けた。

議事録には個々のリスクが載らない。そこから、内部に記録がないとは言えないし、隠蔽とも言えない。機微な登録簿を公開しない一方、どの層が報告を受け、どの層が方針を承認したかは分かる。この境界は妥当である。

GRCについて問うべきは、別の現場で生まれた証拠をその権限の鎖へ接続できるかだ。内部監査の観察事項がリスク処置になる際、出所は保持されるか。アプリケーションの例外は誰がいつまで受容するか。監視の空白は単なる技術課題か、年次評価に入るリスクか。整った画面があっても引き継ぎが失われれば、断片化が検索しやすくなるだけである。

修正済みと検証済みの間

アプリケーション安全では、最も危うい空白が「直した」と「直ったことを確かめた」の間にある。ツールが候補を発見し、担当者がサービス文脈を評価し、開発者が変更を作り、特定版へ配備し、別の検証が再現不能を確かめる。この流れの途中で残余リスクが生じれば、期限付きで受容する権限が要る。

スキャナーはリスク所有者ではない。チケットの終了は配備の証明ではない。実装したチームの自己申告は独立した再検証と同じではない。侵入テストは弱点を示せるが、運用上の例外を承認できない。四半期計画が「識別と是正」と「侵入テスト制度の基盤」の両方を挙げるのは、この分業を考える入口になる。

公表する引き継ぎ表には、脆弱性名や攻撃手順を載せなくてよい。所管職能、重大度判断の制度、修正が入った版の区切り、検証の独立性、例外承認の職能、再検証日を、情報の分類だけで示せる。会員が確認したいのは攻撃方法ではなく、発見が閉鎖証拠まで届く経路である。

例外が組織のリスク評価へ渡ることも重要だ。開発側の処理が整っていても、例外が累積する構造をリスク担当が見られなければ、局所的な緑は全体の安全を意味しない。公開図は内容を伏せ、経路と受領職能だけを証明すればよい。

監視を買っても説明責任は移らない

第四項は、監視範囲の拡大と外部サービスの取得を一行に置く。前者は何を観測できるか、後者は誰が観測や対応を助けるかという問題だ。外部事業者は人員、相関分析、24時間対応を提供できる。しかし、RIPE NCCのサービス状態を確定し、会員へ説明し、処置を閉じる責任まで取得するわけではない。

技術緊急窓口のページは、すでに安全な公開境界を示している。RIPE Database、K-root、DNSと逆引きDNS、LIR Portal、RPKI、RIPE NCCのウェブサイトを重要サービスとして24時間監視し、確認済みの障害やインシデントはService Announcementページで知らせるという。信号と確認済み事象を分けている点が重要だ。

引き継ぎ表なら、検知規則を公開せずに次を示せる。事業者からのアラートをRIPE NCCのどの職能が受領するのか。確認済み事象と決める権限はどこか。インシデントで見つかった開発上の問題はどの作業へ渡るのか。監視範囲の空白はいつリスク処置へ格上げされるのか。公開すべきは内部の経路図ではなく、責任が途中で消えないという事実だ。

責任ある開示ポリシーは、別の入口を示す。RIPE NCCは報告を評価し、解決見込み日を三営業日以内に示すよう努める。重大な問題を解決した後の報告は事案ごとに判断する。これは報告者との受付・連絡上の約束であり、監査結果でも全面公開の約束でもない。検証された報告がサービス所有者、是正、再検証へ渡って初めて、他の安全計画と接続する。

公開面を統合せず、接続する

RIPE NCCの安全情報は複数の場所にある。四半期計画は作業と意見募集を扱う。年次活動計画は約束、人員、予算を扱う。理事会議事録は監督と権限の一部を示す。Trust Portalは保証やコンプライアンス情報を示す。状態ページは確認済みの運用事象を伝える。責任ある開示は研究者との機密な入口を整える。

RPKI認証サービスの規約は、この階層をさらに明確にする。安全方針と対策に関する情報はTrust Portalで公開するとしつつ、利用可能な監査報告は、証明書保有者の請求と秘密保持契約を条件に共有できる。公開か非公開かの二択ではない。公開する主張の範囲と日付を明らかにし、その根拠の詳細へアクセス制御を掛ける設計である。

これらの公開面を一つにまとめる必要はない。相互に参照できるようにすべきだ。「2025年12月のRPKI Type II」と「2026年の年次審査」は別周期だと分かるようにする。「ISO対応中」は、勧告是正、審査準備、認証判断のどれかを明示する。「監視拡大」は、対象サービスと受領日を伴う。「GRC運用開始」は、どのリスク、統制、処置、証拠の分類が移行・受入れ済みかを限定して述べる。

2026年活動計画は、情報セキュリティ・リスク・コンプライアンスに9 FTEと280万ユーロを計上し、主な費用としてITに103万ユーロ、コンサルティングに47万ユーロを挙げる。これは予算であり、実支出や有効性の証明ではない。同じ計画はRPKI、RIPE Database、DNSとK-root、LIR Portal、IT Supportにも規格対応や安全作業を割り当てる。中央機能が方法を整えても、証拠を生むのは各サービスの現場である。

だから引き継ぎが重要になる。監査は運用証拠を受け取る。リスク処置はサービス所有者を必要とする。侵入テストは配備版を必要とする。監視は事象の判断を必要とする。理事会は残余リスクを集約した説明を必要とする。部門内で仕事が終わっても、受け手が使える形で受領しなければ組織の仕事は終わらない。

十項目の公開台帳

大規模な新システムは要らない。限定主張ごとに一行、次の十項目を持つ版管理表で足りる。

  1. 作業またはプログラム名
  2. 支えられる限定的な主張
  3. 対象サービス・組織範囲
  4. 責任を負う職能
  5. 入力証拠の分類と基準日
  6. 証拠を渡す職能
  7. 受領・承認の行為と権限
  8. 技術詳細を除いた例外分類
  9. 失効、更新、再検証日
  10. 結果を反映する公開面

「コンプライアンス完了」は広すぎる。「明示期間・範囲のRPKI Type II保証」は検証できる。「安全なアプリ」も広すぎる。「配備済み修正を別工程で再検証し、例外は期限付きで権限者が受容」は閉鎖条件を持つ。「24時間監視」は、サービス境界、受領職能、試験日があって初めて限定された主張になる。

公開表からは、未修正の問題、統制設定、監査作業文書、内部資産、個人情報、事業者の機密条項、具体的なエスカレーション経路を除く。これは防御の配線図ではなく乗換案内だ。受け渡しが存在し、誰が確認し、いつ再び確認するかだけを伝える。

「公開しすぎるな」という正しい反論

安全の透明性は多ければよいわけではない。攻撃者に役立つ情報や、改善作業を広報演出に変える指標は有害だ。この反論は提案を止める理由ではなく、公開項目を絞る設計原則になる。統制の仕組みを説明しなければ埋められない欄は公開版から外すべきである。

四半期ページは短いままでよい。詳細な引き継ぎ表はTrust Portalや年次報告の付属資料に置き、四半期ページは版へのリンクだけを持てばよい。一般の読者は四行を読み、専門的に保証を判断する会員は根拠と期限を追える。

また、内部ではすでに十分な接続が行われている可能性がある。GRC、監査追跡、開発手順、サービス管理、理事会報告が厳密に結ばれていても、今回確認した公開資料だけでは見えない。その可能性を認めることが重要だ。本稿は統制の欠如を主張していない。複数の公開主張の関係が、現在は読者の推測に委ねられていると指摘している。

四つの「進行中」は、分散した安全活動の正直な姿かもしれない。ならば、すべてを一つの点数にせず、証拠が一つの時計から別の時計へ渡る瞬間を示すべきだ。そこに日付と受領責任があれば、短い状態表示でも曖昧ではなくなる。

出典