セキュリティ対策は、導入した後も日々の仕事の中で使い続けられることが大切です。誰が操作し、誰が維持し、困ったときには誰に相談するのか。AiSpaceは、こうした人と現場の視点を、医療機器サイバーセキュリティ支援サービス「AIGIS」やCSV支援と結びつけて考えていきたいと考えています。その手がかりとなるのが、HCCです。
なぜ、人と現場の視点が必要なのか
たとえば、安全な操作手順が用意されていても、担当者がその手順を見つけにくければ、必要な場面で使えないかもしれません。ソフトウェアを更新する仕組みがあっても、実施する人や判断する人が曖昧なら、対応が止まることも考えられます。
こうした場面を考えるとき、技術的な対策とともに、仕事の流れ、役割分担、説明の分かりやすさに目を向ける必要があります。安全な行動を取りやすくし、迷ったときや問題が起きたときに相談・復旧につなげやすくする。そのために、人が実際に置かれている状況を理解することが大切だと考えます。
HCCとは何か
HCCは、Human-Centered Cybersecurity（人間中心のサイバーセキュリティ）の略です。ここでは、人の行動や必要としていること、組織の仕組みを踏まえ、セキュリティを設計・改善する考え方として紹介します。
米国国立標準技術研究所（NIST）のHCCプログラムは、人・プロセス・技術の関係を捉え、関係者のニーズや行動、実証データに基づく研究と指針づくりを進めています。人がセキュリティに主体的に関われる環境も、その対象です。NISTのHCCプログラム紹介
NISTは2026年8月、HCCに関するガイドラインや実務資料の整備を目指すコンセプトペーパーを公開しました。実務で活用するための整理も進められています。NISTのコンセプトペーパー紹介
AIGIS・CSV支援とどうつながるか
AiSpaceでは、AIGISやCSV支援の評価・改善に、この視点を生かすことを検討しています。
AIGISで行う医療機器のサイバーセキュリティ試験では、技術的な試験で確認する内容に加え、その対策を使う人や保守する人の作業にも目を向けたいと考えています。たとえば、更新や設定変更の担当は明確か、異常時の対応を関係者が理解できるか、といった問いです。
CSV（Computerized System Validation）支援では、システムが意図した用途に適していることを確認する活動と、実際の業務や運用とのつながりを考えます。手順と現場の仕事が合っているか、記録や確認の意味が伝わるか、変更時に誰が何を判断するか。こうした点を、関係者と確かめる視点としてHCCを生かすことが考えられます。
これらは、AiSpaceが今後検討する活用例です。HCCという言葉によって、個別の試験やバリデーションの結果が保証されるわけではありません。それぞれの目的に必要な確認を行い、そのうえで運用の実態も捉えていきたいと考えています。
現在の整理と、これから検証すること
まずは、HCCの考え方をAIGISやCSV支援の仕事にどう取り入れるかを整理するところから始めます。具体的な適用範囲や進め方を関係者と確認し、小さく試しながら確かめていくことを想定しています。
たとえば、手順を見直したときに、迷いや手戻りは減ったか、担当者への負担の偏りは変わったか、必要な確認や記録は保たれているか、といった点を観察することが考えられます。
私たちが検証したいのは、必要な安全性を確保しながら、運用の負担を減らし、対策を続けやすくできるかということです。この段階で、全社への導入や効果の実証が完了したとお伝えするものではありません。取り組む中で、分かったことと、まだ判断できないことを区別していきます。
日々の仕事で意識したいこと
新しい仕組みを考えるときも、既存の手順を見直すときも、次の問いを持つことから始められます。
- 誰が使い、どのような場面で判断するのか。
- 誰が維持し、担当が変わった後も続けられるのか。
- どこで迷いや負担が生じ、困ったときに相談できるのか。
設計、試験、文書作成、お客さまとの相談、社内の事務。関わる仕事は違っても、人と現場の状況を知る機会があります。AiSpaceは、その気づきを持ち寄り、安全に使い続けられる仕組みづくりにつなげていきたいと考えています。