💻 computer science

Towards the Development of an LLM-Based Methodology for Automated Security Profiling in Compliance with Ukrainian Cybersecurity Regulations

本論文は、ウクライナのサイバーセキュリティ規制を事例に、ISO/IEC 27001 や NIST などの国際基準を統合し、ベクトルデータベースと RAG 技術を活用した大規模言語モデル（LLM）によるセキュリティプロファイルの自動生成手法を提案し、ハイブリッド脅威下におけるコンプライアンス遵守の効率化と精度向上を目指すものである。

原著者： Daniil Shafranskyi, Iryna Stopochkina, Mykola Ilin

公開日 2026-04-09

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Daniil Shafranskyi, Iryna Stopochkina, Mykola Ilin

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

🏠 1. 背景：なぜこんな研究が必要なの？

「家を守る鍵」の選び方が難しすぎた
昔は、家（組織のシステム）を守るために、警察（専門家）が「玄関に鍵を付けよう」「窓にシャッターを付けよう」と一つずつ手作業で決めていました。
しかし、ウクライナのような国では、**「新しい法律（ND TPI 3.6-006-24）」**ができました。これは「家を守るためのルールブック」のようなもので、国際的な基準（NIST や ISO）を取り入れた非常に詳細なものです。

問題点：
このルールブックは分厚すぎて、専門家でもすべてを読み込み、自分の家の状況に合わせて「どの鍵をどこに付けるか」を決めるのは、時間がかかりすぎて大変でした。しかも、間違えると法律違反になったり、ハッカーに侵入されたりするリスクがあります。

🤖 2. 解決策：AI 助手（RAG）の登場

そこで著者たちは、**「AI 助手」を作ることを提案しました。
ただの AI ではなく、「RAG（検索拡張生成）」**という技術を使った AI です。

📚 比喩：「辞書付きの優秀な弁護士」

普通の AI： 記憶力だけは抜群ですが、最新の法律を知らなかったり、嘘（ハルシネーション）をついたりする可能性があります。
この論文の AI（RAG）： 常に**「最新の法律書（ウクライナの規制）」と「組織の設計図（システム情報）」を横に置いて、それらを参照しながら回答する「優秀な弁護士」**のような存在です。

🛠️ 3. 仕組み：3 つのステップでセキュリティを設計

この AI 助手は、以下の 3 つのステップで「ターゲット・セキュリティ・プロファイル（目標とするセキュリティ設計図）」を作ります。

ステップ 1：家の状況を確認する（入力）

まず、ユーザー（組織）が「どんな家ですか？」「誰が住んでいますか？」「どんな貴重品を保管していますか？」という情報を AI に伝えます。

例：「銀行のシステムです」「顧客の預金データを扱います」「クラウド上にあります」など。

ステップ 2：ルールブックから必要なものを探す（検索）

AI は、ウクライナの法律（ルールブック）を瞬時に読み込み、「銀行のシステムなら、この『防犯カメラ（アクセス制御）』と『警備員（監視システム）』が必須ですよ」という**最低限必要なルール（ベースライン）**を見つけ出します。

ステップ 3：家に合わせてカスタマイズする（生成）

ここが最も重要です。AI は「最低限のルール」をベースに、その家の状況に合わせて調整します。

例：「最低限は『鍵を 1 日 1 回チェック』ですが、あなたの家は『24 時間有人』なので、『鍵を 1 時間ごとにチェック』に強化しましょう」という提案をします。
補償： もし「物理的な警備員が置けない（コストがかかる）」場合、「代わりに高機能な電子ロックを設置して、その効果は同等です」という代替案も提案します。

📊 4. 実験結果：AI はどれくらい優秀か？

著者たちは、実際に 3 つの AI（Claude, Gemini, ChatGPT）を使って実験しました。

結果： 最も優秀な AI（Claude）は、人間の専門家の判断と 75% 一致する設計図を、わずか 4 分で作り上げました。
人間との役割分担： AI は「下書き」や「候補」を作ります。しかし、最終的な決定権は人間（専門家）にあります。
- 比喩： AI は「レシピの提案をする料理人」、人間は「味見をして『これで OK』と認めるシェフ」です。AI が提案したレシピが完璧かどうか、人間が最終確認します。

💡 5. この研究のすごいところ（まとめ）

ミスを減らす： 人間が何百ものルールを全部覚えてチェックするのは大変ですが、AI はそれを完璧に守って提案してくれます。
スピードアップ： 数週間かかっていた作業が、数分〜数時間に短縮されます。
透明性： AI は「なぜこの鍵が必要なのか？」という**理由（根拠）**を、法律のどの条文に基づいているかを示しながら答えます。
ウクライナの状況に最適化： 戦争やハイブリッド脅威（サイバー攻撃と物理攻撃の組み合わせ）が常態化しているウクライナにおいて、組織が素早くセキュリティを強化できる画期的な方法です。

🎯 結論

この論文は、**「AI に法律と設計図を覚えさせて、人間の代わりにセキュリティ対策の『下書き』を作らせる」**という新しい方法を提案しました。
これにより、ウクライナの組織は、複雑な法律に追われることなく、ハッカーから守られるための「最強の防衛ライン」を素早く、かつ正確に作れるようになります。

一言で言えば：
**「AI を『法律に詳しい優秀な助手』にして、セキュリティ対策の設計図を自動作成させることで、ウクライナの組織をハッカーから守り、法律違反も防ぐ方法」**です。

論文技術サマリー：ウクライナのサイバーセキュリティ規制に準拠した LLM ベースの自動セキュリティ・プロファイリング手法の開発

本論文は、ウクライナのサイバーセキュリティ規制（特に ND TPI 3.6-006-24）の枠組みにおいて、大規模言語モデル（LLM）と検索拡張生成（RAG）技術を統合し、ターゲット・セキュリティ・プロファイル（TSP）の自動作成を支援する手法を提案するものです。以下に、問題定義、手法、主要な貢献、結果、および意義について詳細を記述します。

1. 問題定義 (Problem Statement)

ウクライナでは、国際的なベストプラクティス（ISO/IEC 27001、NIST サイバーセキュリティ・フレームワーク）を国内規制に統合する動きが進んでおり、リスクベースのアプローチへの移行が図られています。しかし、以下の課題が存在します。

手作業の複雑性と非効率性: 従来のセキュリティ・プロファイル（ベースライン・プロファイルからシステム固有のターゲット・プロファイルへ）の策定は、規制文書と組織のリスクを専門家が手動で分析・照合する必要があり、時間と人的リソースを大量に消費します。
実装ギャップ: ウクライナの新しいリスク指向の承認アプローチの導入と、それを実践的に実装するための明確で再現性のあるワークフローの欠如との間にギャップが存在します。
AI 活用の限界: 既存の AI 研究の多くは、単なるレポート生成や特定の分野（法務など）に特化しており、ウクライナの規制文脈に即した、追跡可能性（Traceability）と説明責任を備えたセキュリティ制御の決定支援には不十分でした。

2. 提案手法 (Methodology)

本研究は、LLM を RAG 技術で強化し、ウクライナの規制文書（ND TPI 3.6-006-24）と組織のシステム情報を基に、構造化された TSP を生成する手法を提案しています。

2.1 技術的アーキテクチャ

RAG（検索拡張生成）の活用: 規制文書（ND TPI 3.6-006-24）や組織ポリシーをベクトルデータベースに格納し、LLM が生成する回答の根拠を常に最新の規制に基づいて提供します。これにより、ハルシネーション（幻覚）を抑制し、出典の追跡を可能にします。
人間による監視（Human-in-the-Loop）: AI は草案を作成するだけであり、最終的な承認と責任は人間の専門家（システム所有者）が担います。

2.2 導出プロセスの形式化

ターゲット・セキュリティ・プロファイルの導出は、以下の形式化されたシナリオとしてモデル化されています。

システム文脈の形式化: システムパスポート（目的、アーキテクチャ、データカテゴリ、ユーザー役割など）を構造化モデル $S$ として定義。
ベースライン・プロファイルの選択: システムの重要度（Low, Moderate, High）に基づき、NIST SP 800-53 や ND TPI に基づくベースライン制御セット $B$ を選択。
制御レベルの文脈分析: 各ベースライン制御 $b_i$ に対して、システム文脈 $S$ との関連性スコア $\rho$ と、パラメータの適切性 $\alpha$ を評価。
意思決定関数: 以下の 5 つの決定のいずれかを割り当てます。
- Keep: そのまま維持。
- Refine: パラメータの微調整（例：ログオン失敗の通知頻度）。
- Enhance: 強化オプションの追加（リスクが高い場合）。
- Add: 新規制御の追加。
- Compensate: 実装不可能な場合の代替措置（Compensating Control）。
出力生成: 各制御について、提案されたパラメータ、根拠、責任者、検証アーティファクトを含む構造化された TSP 草案を生成。

3. 主要な貢献 (Key Contributions)

ウクライナ規制枠組みにおける TSP 導出手法の提案: ND TPI 3.6-006-24 に準拠し、ベースラインからターゲット・プロファイルへの変換を自動化する構造化されたワークフローを確立しました。
追跡可能性と標準化された出力を備えた LLM-RAG アーキテクチャ: 制御レベルの決定案を生成し、その根拠を規制文書に遡って示すことができるモデルを設計しました。
実験的検証: 複数の大規模言語モデル（Claude Sonnet 4.6, Gemini 3.1 Pro, ChatGPT Thinking 5.4）を用いた比較評価を行い、専門家による監督下での手法の有効性を実証しました。

4. 実験結果 (Results)

合成データを用いたケーススタディにおいて、3 つの LLM モデルを比較評価しました。

性能評価:
- Claude Sonnet 4.6 Extended: 最も優れた性能を示しました。4 分未満で詳細なレポートを生成し、生成された制御の75% が専門家の判断と直接一致し、15% は最小限の編集のみで済むという結果でした。
- ChatGPT Thinking 5.4: 非常に保守的な挙動を示し、不確実な点でユーザーへの確認を頻繁に行う傾向があり、ハルシネーションの発生率は 25% でした。
- Gemini 3.1 Pro: 包括的なレポートを生成できず、セグメントごとの分析に留まりました。また、システム情報が不足している場合のハルシネーション発生率が**43%**と最も高く、入力データの質への依存度が大きいことが判明しました。
品質指標: 規制の関連性、意思決定の適切性、パラメータの質、根拠の質において、Claude が「High」または「Above Medium」の評価を獲得しました。
重要な知見: 入力データ（システムパスポート）の不完全さがモデルの信頼性に直接影響を与えることが確認されました。したがって、AI は意思決定支援ツールとして機能し、最終判断は人間が行う必要があります。

5. 意義と結論 (Significance and Conclusion)

本研究は、以下の点で重要な意義を持っています。

規制対応の効率化: ウクライナの複雑なサイバーセキュリティ規制（ND TPI 3.6-006-24）への準拠プロセスを、手作業から構造化された自動化サイクルへと変革しました。
意思決定の精度向上: 提案された手法により、AI 生成の決定の約 80% が専門家の判断と一致することが実証され、人的ミスの削減とプロセスの透明性向上が期待されます。
ハイブリッド脅威への対応: 高強度のハイブリッド脅威に直面する環境において、組織が専門家の増員なしに、変化する規制や脅威に合わせて防御策を動的に調整・スケーリングできる基盤を提供します。
将来展望: 本研究では「代替措置（Compensation modeling）」の完全な実装は今後の課題とされていますが、この手法は自律的なセキュリティ管理を情報システムのライフサイクルに統合するための重要な第一歩です。

総じて、本論文は AI を活用したサイバーセキュリティ・コンプライアンス管理の新たな標準を示唆し、ウクライナおよび同様の規制環境を持つ国々におけるセキュリティ・プロファイリングの近代化に寄与するものです。