📖 記事の概要
株式会社ソニックガーデンの interu 氏による、ISMS（情報セキュリティマネジメントシステム、ISO/IEC 27001）運用の大幅効率化についての記事です。従来のExcel・スプレッドシートによるドキュメント管理を脱却し、GitHubでドキュメントを管理し、更新作業をClaude（AI）に任せる仕組みを構築・運用した経験をシェアしています。
内容が多いため、前編（本記事）は「日々のドキュメント管理をAIにどう任せるか」、後編は「年間の運用サイクルをGitHubでどう回すか」をテーマにしています。
😤 従来の課題：Excel管理の「つらみ」
ISMS文書をExcelで管理していると、以下のような問題が地味に効いてきます：
- 変更履歴が分からない：「リスク管理表_最新_v2_最終版.xlsx」のようなファイルが増殖。「いつ・誰が・なぜ変えたか」が審査の場で問われても答えられない
- 計算ミスの温床：セルのコピペで数式が壊れる、フィルタで行がずれる。「リスク値が高いのに対策が空欄」を見落とす事故が頻発
- 二重管理の不整合：台帳と見せる資料がズレる。片方だけ直し忘れてデータが乖離
- フォーマットの乱れ：部門ごとに列の順番や書き方がバラバラで、まとめる事務局が泣く
💡 ソリューション：データとレポートを分離して自動化
ソニックガーデンが取ったアプローチは、次の発想に基づいています：
「正データ」はシンプルな構造化ファイル（YAML）で持ち、「人に見せる一覧表」はそこから自動生成する。編集作業はAI（Claude）に自然言語で頼む。
仕組みの全体像
- 担当者がClaudeに「このリスクを完了にして」と日本語で指示
- Claudeが決められた手順（スキル）に従って、正データ（YAML）を書き換え＆再計算
- YAMLデータから一覧表やレポートを自動生成
✨ この仕組みで解決したこと
- 変更履歴の完全追跡：Gitにより「いつ・誰が・何を変えたか」が全て記録される。審査時の「この評価値、誰がどういう根拠で？」に即答可能
- 計算ミスの撲滅：数式が壊れることがない。「リスク値 = 発生可能性 × 影響度」などの計算をプログラム的に確実に実行
- 二重管理の解消：正データは1箇所のみ。一覧表は自動生成されるため、乖離が起きない
- フォーマット統一：部門ごとのバラつきが構造的に防止される
🔑 ポイント
- これは単なる「ファイルの保管場所変更」ではなく、ISMSの運用フローそのものの再設計
- AI（Claude）に自然言語で指示するため、非エンジニアでも更新作業が可能
- 前編ではドキュメント管理の自動化、後編ではレビュー・承認・審査準備フローの自動化を扱う
- キーワード：
ISO/IEC 27001、リスクアセスメント、情報資産管理、ドキュメント管理の自動化
📝 所感
ISMS運用のドキュメント管理は、多くの企業がExcelで苦労している典型的な領域。Gitベースのバージョン管理 + AIによる自然言語インターフェースの組み合わせは、コンプライアンス周りの運用を根本から効率化する強力なアプローチとして注目に値します。特に「AIに自然言語で指示→YAML更新→レポート自動生成」というワークフローは、非エンジニアでも扱える点が秀逸です。後編でのレビュー・承認フロー自動化の内容も期待できます。