リスク軽減措置の実装｜研究セキュリティの7つの例示措置をどこまでやるか

こんにちは、株式会社TIMEWELLの濱本です。

研究セキュリティの相談を受けていて、いちばん反応が割れるのが「リスク軽減措置」の話です。デュー・ディリジェンス（相手方や研究者について確認すべき事項を調べる作業のことです）までは、何を調べるかがはっきりしているぶん、やることが見えます。ところがその先の措置になると、途端に手が止まる。

理由ははっきりしています。内閣府の手順書に書かれている措置が、見出しレベルの一行しかないからです。「施設・設備へのアクセス権限の管理」と書いてあっても、では入退室カードを配ればいいのか、部屋を分ければいいのか、そこは何も書かれていません。書かれていないから、担当者は「どこまでやれば十分なのか」が分からず、上に説明できず、結局いちばん重い解釈を選んでしまう。

前提を一つだけ先に置かせてください。この話は、どの研究にも一律にかかるものではありません。対象は「特定研究開発プログラム」です。成果を公開することを前提とした競争的研究費（研究者や研究機関が公募に応募して獲得する研究資金のことです）のうち、重要技術領域リストに該当する技術を含む可能性があるとして、所管府省が資金配分機関（研究費を配る側の機関で、JSTなどが該当します）と相談のうえで指定したものを指します。そして、指定されたプログラムに応募する研究機関が求められるのは、リスク確認、リスク評価、リスク軽減措置、フォローアップという4段階のリスクマネジメントです。この記事が扱うのは、その3段階目にあたります。

7つの例示措置を一つずつ現場に落としながら、その手前にある大原則を先に共有します。全体像は完全ガイドに、確認事項の集め方は質問票の書き方にまとめてあります。輸出管理側の体制がどこまで整っているか気になる方は、輸出管理の無料セルフ診断で現状を測ってから読み進めていただくと、話がつながりやすいはずです。

「合理的な措置であれば足りる」を正確に読む

最初に、手順書の読み方のルールを置きます。ここを飛ばすと、以降の7項目がすべて義務に見えてしまいます。

手順書は冒頭で、自分自身の文章の強度を定義しています。「本文において、『必要である』としている箇所は最低限実施すべき措置の内容を、『望ましい』としている箇所は実施することが望ましいものの、現時点ではその実施を求めない措置の内容を、それぞれ記載している」¹。つまり、同じ文書のなかに強度の違う記述が混在していて、語尾で読み分けろ、と最初に宣言されているわけです。リスク軽減措置まわりは、この二種類がかなり細かく入り混じっています。

そのうえで、措置についての中心となる一文がこれです。

研究機関は、リスク確認・リスク評価の結果を踏まえ、リスク軽減措置を実施することが必要であり、また、資金配分機関から追加的なリスク軽減措置の実施を要請された場合は、適切に対応することが必要である。研究機関が実施するリスク軽減措置は、以下に例示するものが考えられるところであり、リスクの程度に応じた合理的な措置であれば足りる¹。

この一文は二段構えになっています。措置を実施すること自体は「必要」、中身は「例示」で「合理的な措置であれば足りる」。ここを一体で読むのが正確な理解です。何もしないという選択肢はありませんが、7つを網羅する義務もない。

なぜこういう設計になっているのかも、手順書は正面から書いています。ゼロリスクを求めれば「相手方等の情報を確認するために多大な労力やコストをかけることになったり、研究機関や研究者が、国際共同研究等に過度に抑制的になったりするなど、研究現場に悪影響が生じるおそれがある。結果として、研究に支障をきたすようなことになれば、本末転倒である」¹。制度の側が、過剰対応を明確に否定しているのです。

もうひとつ、そもそも手順書は法令ではありません。研究分野の特性や技術の成熟度、研究機関の実情によって対応が異なり得ることを踏まえ、柔軟に対応できる枠組みとするため、G7各国と同様にガイドラインとして策定された、と説明されています¹。一律運用にしないでほしい、という意思がここに表れています。

そして措置の十分性を最終的に判断するのは、所管府省と資金配分機関です。ただしそれは一方的な審査ではなく、手順書は「リスク軽減措置の内容については、資金配分機関及び研究機関が、適宜、相談・調整して検討するものとする」と書いています¹。相談していい、というより、相談する前提の制度です。ここを知らずに機関側だけで完璧を目指すと、いちばん消耗する進め方になります。

7つの例示措置を、現場に落としてみる

手順書が挙げる措置は、原文の順序で次の7つです¹。

1. 施設・設備へのアクセス権限の管理
2. オフキャンパス等の研究場所の確保
3. 取り扱う情報の機微性に応じたミーティング等への参加者の考慮
4. （研究参画者が学生の場合などにおいて）雇用契約を締結することによるガバナンスの強化
5. 研修の受講による研究セキュリティに関するリテラシーの向上
6. 研究データ等の情報へのアクセス権限の管理
7. サイバー攻撃への対策の強化

この7つが限定列挙でないことは、手順書の別紙にある質問票の雛形を見ると分かります。この7項目のチェックボックスに加えて「その他」と自由記述欄が置かれているのです¹。手順書自身が、例示の外側にある措置を想定しています。

以下、原文にどこまで書いてあるかと、そこから先の実務上の解釈を分けて書きます。混ぜて読まれると誤解のもとになるので、そこは明確にしておきたいところです。

場所と設備に関する措置（1と2）

施設・設備へのアクセス権限について、手順書に具体化の手がかりがひとつだけあります。応募時に適切性を確認することが望ましい事項として、研究で使用される「施設・設備等（建屋、居室、実験室、実験装置等）の管理方針」が挙げられているのです¹。建屋、居室、実験室、実験装置。この4つの粒度が、手順書が想定している管理単位だと読めます。

裏返せば、そこまでしか書かれていません。入退室管理システムを入れろとも、鍵を電子錠にしろとも書いてありません。実務としては、対象プログラムで使う装置と部屋を洗い出し、誰が入れて誰が入れないのかを紙一枚で決めるところから始めれば足りる場面が多いはずです。既存の鍵の管理台帳に一列足すだけで説明がつく機関も、相当あるだろうと私は見ています。

2番の「オフキャンパス等の研究場所の確保」については、手順書に追加の説明が一切ありません。この一行だけです。機微性の高い部分を、通常の共用スペースから物理的に分けるという発想だと理解できますが、それ以上の中身は書かれていないので、断定的な解説は控えます。学外の実験施設を使う、あるいは特定の作業だけ別室で行う、といった運用が想定されているのだろうと読める程度です。

人と契約に関する措置（4と5）

雇用契約の話は、学生を念頭に置いた措置です。学生は大学との関係でいえば学籍を持つ学修者であって、雇用関係がなければ秘密保持義務や情報の取扱いルールを契約として課す根拠が弱い。そこにRA（リサーチ・アシスタント）としての雇用契約を置くと、ガバナンスが効くようになる、という組み立てです。この論点は学生・RAの受け入れ実務で詳しく扱いました。

見落とされやすいのが、この項目に付いている脚注です。「研究参画者が、他機関からの出向者、派遣労働者、業務委託先の従業員等の場合は、研究参画に係る契約の内容を確認することが望ましい」¹。学生だけの話ではないのです。自機関に雇用関係のない人が研究に関わる場合は、その人が結んでいる契約の中身を見に行く。ただしこれは「望ましい」のレベルであり、必須ではありません。

研修については、手順書のなかで三層に分かれています。研究機関は、所属研究者が特定研究開発プログラムに応募する場合やその予定がある場合に、研修の受講を奨励することが望ましい、とされています。研究者本人については、積極的に研修を受講することが望ましい、という書き方です。そして内閣府には、研究セキュリティの確保に関する研修教材の作成、説明会の開催及び研修の実施が「必要である」として求められています¹。教材を作るのは内閣府の役割として書かれているという点は、覚えておくと楽になります。自前でゼロから教材を作らなければならない、という制度ではありません。

情報とシステムに関する措置（3と6と7）

研究データへのアクセス権限を管理しようとすると、必ず最初に「どのデータを管理対象にするのか」で止まります。ここに手順書の答えがあります。「管理対象データ」は、政府の考え方において「研究データのうち、研究者の所属する大学、大学共同利用機関法人、国立研究開発法人等の研究開発を行う機関や資金配分機関の基準等に基づいて、管理・利活用の対象として、研究者がその範囲を定めるもの」と定義されています¹。範囲を定めるのは研究者自身です。したがって6番の実装は、権限設計のツール選定ではなく、範囲の線引きから始まります。

もうひとつ、アクセス権限には契約側の入口があります。手順書は、共同研究契約その他の契約・協定について、協力の内容、研究データ等へのアクセス、発明・特許等の知的財産の取扱い、守秘義務の内容の適切性を確認することが必要であるとしています¹。「望ましい」ではなく「必要」の側です。システム上の権限をいくら細かく切っても、契約でデータへのアクセスが広く認められていたら意味が薄い。順序としては契約が先だと考えるのが自然でしょう。

3番のミーティング参加者の考慮は、一見すると運用の心がけのように読めますが、7番のサイバー対策と地続きです。手順書の脚注は、情報セキュリティを確認すべき代表的なケースとして、システムの開発・運用・保守等の外部委託、仮想サーバーやWeb会議サービス等のクラウドサービスの利用、IT関連機器の調達の3つを挙げています¹。Web会議サービスが名指しで入っているところが実務的です。誰を会議に呼ぶかという話と、そのツールがどこで動いているかという話は、切り離せません。

なお、入退室管理システムやゼロトラスト、端末管理、ログ監視といった具体的な技術の名前は、手順書には一切出てきません。この段落までに書いた具体策も、あくまで実務上の一案です。手順書がそこまで書いているかのように社内資料へ転記すると、後で説明が破綻しますのでご注意ください。

措置を支える土台は、DMPと3つの管理方針

7つの措置を実装しようとすると、その手前に共通の土台が要ることに気づきます。手順書はそれを、措置の項目とは別のところに置いています。

ひとつめは、日常的な情報収集の段階です。手順書は、研究機関が収集することが望ましい情報として3つを挙げています。政府の「公的資金による研究データの管理・利活用に関する基本的な考え方」に基づき作成されたデータマネジメントプラン（DMP。研究データをどう管理し公開するかを事前に定める計画書のことです）に関する情報、当該研究機関における情報システムの管理に関する情報、そして各種施設・設備等の管理に関する情報¹。

ふたつめは、応募時の確認です。研究代表機関は、その研究に関するDMP、電磁的な形態で管理できないもの（試料等）の管理方針、使用される情報システムの管理方針、使用される施設・設備等の管理方針という4点の適切性を確認することが望ましいとされています¹。

この4点のうち、情報システムの管理方針には見逃せない括弧書きが付いています。「（PIが管理するものを含む。）」¹。研究者向けの記述では「（PI及びCo-PIが管理するものを含む。）」となっています。PIは研究代表者、Co-PIは共同研究機関側の研究責任者を指す略語です（それぞれPrincipal Investigator、Co-Principal Investigatorの略で、要するに研究室を率いる先生のことだと考えてください）。研究室が独自に立てたサーバーやNAS、研究費で契約したクラウドストレージ。いわゆるシャドーIT（組織のIT部門が把握していない機器やサービスのことです）が、明示的に管理方針の対象に入っているわけです。ここを外して情報セキュリティを語っても実態には届かない、という認識が制度側にあると読めます。

一方で、正確に押さえておきたいことがあります。DMPも3つの管理方針も、すべて「望ましい」の側であり、別紙のチェックリストや質問票の設問には入っていません。質問票に入っているのは「必要である」とされた事項に絞られています。ですから、DMPが未整備だから応募できない、という話ではないのです。

とはいえ、実効性はここで決まります。管理対象データの範囲が定義されていなければアクセス権限は設計できませんし、装置と部屋の管理方針がなければ施設のアクセス権限も決めようがない。措置は上物で、土台はこちらです。義務ではないが先に要る、という位置づけになります。この整理を最初に持っておくと、着手順を間違えずに済むはずです。

役割分担も書かれています。管理方針を作るのは機関の側で、PIとCo-PIは適切なDMPを作成し、研究に参加する研究者に対して管理対象データや施設・設備等の管理に関する指導を行うことが望ましいとされています¹。機関が枠を作り、研究室が運用する。この形が想定されています。

統一基準群とTICS。参照先の「強度」を取り違えない

サイバー攻撃への対策の強化について、手順書は本文では一行しか書いていませんが、脚注でかなり具体的な参照先を示しています。ここは強度の書き分けが繊細なので、原文どおりに追いかけます。

国の行政機関、独立行政法人及び指定法人（以下「機関等」という。）については、全ての機関等に共通して求められる情報セキュリティ対策を講じるための「統一基準群」が作成されている。そのため、機関等においては、統一基準群を踏まえて各機関等が策定している情報セキュリティポリシー、運用規程等に照らして、特定研究開発プログラムで取り扱う重要技術の情報について情報セキュリティが確保されているかどうかを確認することが必要である。研究機関（機関等を除く。）においても統一基準群を参考として、情報セキュリティが確保されているかどうかを確認することが考えられる¹。

読み分けのポイントは一箇所です。機関等、つまり国の行政機関や独立行政法人については「確認することが必要」。それ以外の研究機関については「参考として、確認することが考えられる」。国立大学法人や国立研究開発法人と、私立大学とでは、この脚注の効き方が違います。自機関がどちらなのかを最初に確認してから読んでください。

なお、統一基準群の正式名称は「政府機関等のサイバーセキュリティ対策のための統一基準群」で、統一規範、統一基準、対策基準策定のためのガイドラインで構成されています。統一基準の令和7年度版は令和7年6月27日にサイバーセキュリティ戦略本部で決定され、ガイドラインの令和7年度版は令和7年7月1日に内閣官房国家サイバー統括室が作成しています²。所管はNISCから内閣官房国家サイバー統括室に移り、公開URLも移行済みです。ただしこれらは統一基準群側の一次情報であって、手順書には「統一基準群」としか書かれていません。社内資料を作る際は、出典を分けて書いたほうが安全です。

高等教育機関向けには、もうひとつ参照先が示されています。「高等教育機関の情報セキュリティ対策のためのサンプル規程集」（国立情報学研究所）も参考とすることが考えられる、という一文です¹。大学であれば、統一基準群よりこちらのほうが実務に近いはずです。

TICSについても触れておきます。手順書は脚注で「リスク軽減措置を実施する場合には、包括的な組織・情報管理体制を構築する必要がある。関連する取組として、国の基準に基づき、国の認定を受けた機関が、組織の情報セキュリティ体制を審査・認証する『技術情報管理認証制度』（TICS）がある」と書いています¹。

ここで大事なのは、手順書はTICSの取得を求めていないということです。「必要である」でも「望ましい」でもなく、関連する取組の紹介にとどまります。TICS自体、経済産業省が「企業の情報セキュリティ対策を、国の認定を受けた認証機関が国が策定した基準に基づいて審査・認証する制度です」と説明している、事業者向けの制度です³。認証機関のなかには対象を製造業や中小企業者に限定しているところもあります。大学がTICSを取得すべき、という記述は一次情報のどこにもありません。

それでも紹介する価値があるとすれば、思想が共通している点です。経済産業省はTICSについて「本制度では自社のレベルに合わせ対策を選択し認証を取得することができます」と説明し、費用は「早い場合は１～２ヶ月、費用は数十万円程度」、認証を取得する部署を限定することで低減できる場合がある、としています³。自分のレベルに合わせて選ぶ、範囲を絞れば負担は下がる。手順書の「リスクの程度に応じた合理的な措置であれば足りる」と、まったく同じ考え方だと思います。研究機関が企業である場合や、包括的な体制を検討する際の参考として押さえておくとよいでしょう。

紙に書いた措置が、実際に動いているか

措置を決めて質問票に書き込めば終わり、とはなっていません。手順書の別紙にある質問票の雛形は、7項目と「その他」の記入欄に続けて、こう求めています。「上記の回答について実行可能であることを確認しておく必要があります。□ 実行可能であることを確認しました」¹。措置を並べるだけでなく、それが実行できることの確認までがセットです。

さらに雛形の末尾には、研究開始の条件が書かれています。記載事項すべてについて、研究体制におけるPI、Co-PI及び研究参画者の同意を得たこと、そして研究代表機関及び共同研究機関の担当部署の確認を得たこと。この両方にチェックが入っていないと研究を開始できない、と注記されています¹。研究者側の同意と事務部署の確認、その両輪が要るわけです。事務が独走して措置を決めても、研究者が納得していなければ形になりません。

研究が始まった後もフォローアップがあります。手順書は「研究機関は、特定研究開発プログラムにより行う研究の開始後、適宜、リスク軽減措置の実施状況等を確認し、その結果を踏まえた取組を実施することが必要である」としています¹。ここは「必要」の側です。あわせて、研究参画者を追加する場合はその人にデュー・ディリジェンスを実施することが必要、申告情報に誤りが発覚した場合は速やかに資金配分機関へ報告して改めてデュー・ディリジェンスを実施することが必要、とも書かれています¹。

ここまで読んでいただくと分かるとおり、リスク軽減措置の実務は、大きなシステム投資の話ではありません。誰が、どこに、どの情報にアクセスできるのかを決めて、それを記録し、変わったら直す。その繰り返しです。

そのうえで、どうしても機関だけでは埋めにくい部分が残ります。措置の重さを決めるには、まずリスク評価が要る。手順書はリスク評価を、リスクがどのような影響をもたらすのか、また発生の可能性がどの程度あるのかを見るもの、と定義しています¹。影響の大きさと発生可能性。この2軸を根拠づける材料が手元にないと、措置の強弱は決められません。そして材料のなかでいちばん手間がかかるのが、人と組織の関係性です。共著論文、共同出願、共同研究、学会での連名発表。そうしたつながりを過去にさかのぼってたどらないと、どの研究者にどこまでのアクセスを与えるべきかの判断がつきません。手順書も、公開情報のツールだけでは十分な確認が困難な場合に、企業が提供する情報分析ツールや企業への委託調査を活用することも考えられる、と書いています¹。

私たちがTRAFEEDで輸出管理のために積み上げてきたのが、まさにこの関係性のデータです。論文約9,000万件、特許約1億件、研究者約30万人を含む2億件超のナレッジグラフ（人・組織・論文・特許といった要素を、つながりの線ごと保持したデータベースのことです）に、企業リストや各国の規制リストを重ねています。念のため書き添えておくと、こうしたリストへの掲載は各国の制度上の区分を示すものであって、掲載された組織や研究者の是非を判断するものではありません。掲載の有無は確認事項の一つにすぎず、それ自体が取引や共同研究の可否を決めるわけでもない、という前提で扱っています。日本の安全保障輸出管理（リスト規制とキャッチオール規制）分野のAIエージェントとしては世界初のもので、これは2026年3月時点の当社調査により確認しています。岡山大学との共同実証では、過去審査データ約3万件を用いてAI判定精度95%以上という結果が出ています（自社調べ）。特許第7862062号を取得し、20組織以上で導入いただいています。

リスク軽減措置の文脈で言えば、どの研究者に、どの共同研究先に、どこまでのアクセスを与えるかを決めるための材料として、関係性の可視化が効きます。名前を照合するだけでは見えない、1ホップ先や2ホップ先のつながりを計算で扱えるからです。研究者情報に加えて、共同研究先の株主・資本関係のリサーチにも対応を広げているところです。研究インテグリティ・研究セキュリティへの本格対応は今後の強化領域として開発を進めている段階で、実装済みと申し上げるつもりはありません。そして最終的な判断は研究機関（企業の場合は各社の輸出管理責任者）が行うものです。私たちが担えるのは、判断の材料を揃えることと、その根拠を後から説明できる形で残すことに限られます。

なお、この記事の全体を通じて前提にしていることをひとつ。手順書は「相手方等が信頼できるパートナーであるかどうかを判断するに当たって、国籍や人種、宗教・文化等を理由とした差別的な取扱いがあってはならないことは当然である」と明記しています¹。アクセス権限の設計は、属性で人を分ける作業ではありません。リスクの所在に応じて情報と場所を設計する作業です。ここを取り違えた運用は、制度の趣旨からも外れます。

まとめ

• 措置を実施すること自体は「必要」ですが、中身は例示で、リスクの程度に応じた合理的な措置であれば足ります。7つを網羅する義務はありません
• 手順書は見出しレベルの一行しか書いていません。具体策を社内資料に落とすときは、原文と実務上の解釈を分けて書いてください
• DMPと3つの管理方針は「望ましい」の側で質問票の設問にも入りませんが、措置の実効性はここで決まります
• 統一基準群は、機関等は「確認が必要」、それ以外の研究機関は「参考として考えられる」。強度が違います
• TICSは手順書が紹介する関連取組にとどまり、取得は求められていません
• 措置は書いて終わりではなく、実行可能であることの確認と、開始後のフォローアップまでが求められています

正直なところ、この分野でいちばん多いつまずきは、対策が足りないことではなく、決めた対策を説明できないことだと感じています。何を根拠にこの措置を選んだのか。なぜこの研究者にはここまでのアクセスを認めたのか。そこが残っていれば、措置そのものは軽くても筋が通ります。逆に、重い措置を並べても根拠がなければ、追加要請が来たときに答えられません。

まずは、対象プログラムで使う部屋と装置とデータを一枚に書き出してみてください。そこから先は、たぶん思っているより短い道のりです。着手順に迷っておられるなら、TRAFEEDの担当までご相談ください。

参考文献・一次情報

Footnotes

1. 研究セキュリティと研究インテグリティの確保に関する有識者会議「研究セキュリティの確保に関する取組のための手順書」令和7年12月（内閣府）https://www8.cao.go.jp/cstp/kokusaiteki/integrity/yushikisha/guidelines_v1.pdf ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶ ↩¹⁷ ↩¹⁸ ↩¹⁹ ↩²⁰ ↩²¹ ↩²² ↩²³ ↩²⁴ ↩²⁵ ↩²⁶ ↩²⁷

2. 内閣官房国家サイバー統括室「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」令和7年6月27日サイバーセキュリティ戦略本部決定 https://www.cyber.go.jp/pdf/policy/general/kijyunr7.pdf 、および同「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」令和7年7月1日 https://www.cyber.go.jp/pdf/policy/general/guider7.pdf ↩

3. 経済産業省「技術情報管理認証制度」 https://www.meti.go.jp/policy/mono_info_service/mono/technology_management/index.html ↩ ↩²