Geminiで顧客のセキュリティ質問状とRFP回答を起草する方法

結論から言うと： 自社の規程、監査結果、証跡から「回答ライブラリ」を作ってDriveに置き、Geminiには一般知識ではなくその資料だけを根拠に各設問を起草させます。作成時間は数日から数時間になります。変わらないのは、返送前に、記名された誰かがすべての統制の記述を「本当にそうか」確認する工程です。

セキュリティ質問状は、半分勝ちかけた案件に添付されてやってきます。二百行。管理者アカウントで多要素認証を強制しているか。データ保持期間の一覧。直近のペネトレーションテスト報告書。締切は金曜。社内にコンプライアンス専任はおらず、インフラをいちばん理解している人は、今週それを動かし続けなければならない人でもあります。

結果、いつもどおりの答え方になります。去年の回答に照らして当てはめ、確信のないところは推測で埋め、いくつかを「対応中」として誰も追及しないことを願う。盗むように捻出した二週間を費やし、それでも追加質問つきで返ってきます。

Geminiはここで確かに役に立ちます。役に立つのは、特定の半分です。回答の文章を書くこと——明快で、漏れがなく、レビュアーが期待する語調で——は言語モデルにとって速い仕事です。その回答が事実かどうかは別で、本当のリスクはその隙間にあります。

セキュリティ質問状に二週間かかり、それでも追加質問が来る理由

遅れの原因が「書くこと」であることはまれです。原因は別の四つです。

答えが人の頭の中にある。 バックアップの保持期間が実際にどうなっているか、あの古いサーバーにローカル管理者アカウントが残っているか、本番データベースに誰がアクセスできるか。知っている人はいますが、営業が届く場所には書かれていません。

どの質問状も同じことを違う言い方で聞く。 ある一枚は「MFAを強制していますか」、次は「特権アクセスの認証統制を説明せよ」、三枚目はフレームワークの統制番号への対応づけを求めます。事実は同一なのに、回答は毎回書き直しになります。

どの回答がまだ有効か誰も知らない。 去年の回答集は最も手近な出発点であり、同時に罠です。構成は変わり、ツールは入れ替わり、規程は起草されたまま完成していない。2025年に真だった回答の使い回しは、持っていない統制を契約上約束してしまう典型的な経路です。

証跡が欠けている。 今日「はい、MFAは強制です」で通したレビュアーが、来四半期には画面の証跡、規程文書、監査報告を求めるかもしれません。誰も実際に確認していなければ、回答と証跡は静かに離れていきます。

追加質問が返ってくるのは、レビュアーが「証跡から書かれた回答」と「楽観から書かれた回答」を見分けられるからです。曖昧で、含みがあり、貼り付けたような回答は、質問を減らすどころか増やします。

Geminiが本当に根拠にできる回答ライブラリを作る

出力の質は、モデルに何を指し示したかでほぼ決まります。一般知識から起草された質問状は、もっともらしく、一般的で、検証できない文章を生みます。まさに追加質問を呼ぶ種類のものです。

本当に効く入力は三つ

文書化された規程。 アクセス制御、データ保持、インシデント対応、利用規程、委託先管理、事業継続。短く不完全な規程でも、無いよりはるかに良い。モデルが引用するのが「同種の企業が普通に掲げる内容」ではなく「自社が約束した内容」になるからです。

監査・評価の結果。 直近のセキュリティ評価、脆弱性スキャンの要約、構成レビュー——「そうしたい」ではなく「実際にそう設定されている」を述べる文書です。追及に耐える回答と、願望の回答を分けるのはこの入力です。

証跡の一覧。 求められたら出せるものの簡単な目録。MFA強制の設定、復旧テストの記録、退職時チェックリスト、研修の受講記録。手元の証跡を挙げられる回答こそ、レビュアーが掘るのをやめる回答です。

三つとも、構造の分かるDriveの一つのフォルダにまとめてください。そのフォルダこそ、これから何年も維持していく資産です。資産は回答ライブラリで、起草は易しいほうの仕事です。文書ライブラリを整理しタグを正しく保つ規律は、ここでも「誰も信用しないフォルダ」への劣化を防ぎます。

Google Docsでやるか、質問状専用ツールを買うか

多くの中小企業は、DocsとDriveから始めるのが妥当です。GeminiのDocs/Driveのサイドパネルは、指定したファイルを対象に作業できます。必要なのはその仕組みだけです。AI機能の内容と提供範囲はプランによって異なり、変わりもしますので、自社のWorkspaceエディションに何が含まれるか確認してください。決まった資料だけを根拠に作業する方法として、NotebookLMも知っておく価値があります。

専用ツールが見合うのは規模が変わってからです。月に何件も回答し、承認フローと回答の有効期限が要り、統制セット間の自動対応づけが欲しくなったとき。それ以下の量では維持の手間が利点を上回りますし、回答ライブラリの整備はどちらの道でも必要です。

実例——白紙の質問状から、確認済み・証跡つきの回答集へ

社員120人のソフトウェア企業が、大企業の見込み客から180行の質問状を受け取ります。回答ライブラリはDriveの一フォルダ。規程六本、前四半期のセキュリティ評価報告、証跡索引一枚です。

一巡目——まず全部起草する。 質問状をドキュメントに貼り、ライブラリ内のファイルだけを使って所定の形式で各回答を起草し、その資料からは答えられない設問を明示するようGeminiに指示します。最後の指示が肝心です。おおよそ6割が使える草案、25%がモデルの持たない具体的事実を要する草案、15%が「ライブラリからは回答不能」と明示されて返ります。

二巡目——欠落リスト。 その15%こそ、この作業全体でいちばん価値のある出力です。規程がない、証跡がない、あるいは統制そのものがない箇所です。一覧としてIT管理者に渡せば、正直に埋めるのに半日で足ります。三件は「あるが文書化されていない」、二件は「無い、そして持つべきだ」、一件は「自社構成には該当しない」。

三巡目——確認。 統制を主張する回答はすべて、システムを見られる人が実際の設定か文書に照らして確かめます。この工程は省けず、モデルに委ねることもできません。草案が統制領域ごとに整理されているので、思うより速く終わります。

四巡目——承認。 記名された一人が完成した回答集を読み、署名します。肩書きより名前が重要です。持ち主のいる回答集だけが、更新され続けます。

所要は二週間ではなく一日半ほど。そして残るものは質問状より価値があります。欠落リストと、次回を速くするライブラリです。

AIによる起草 vs 質問状ツール vs ゼロから回答

• 最初の一件の速さ — AI起草が有利。導入プロジェクトもデータ移行もなく価値に届きます。
• 月に十件の速さ — ツールが有利。承認フロー、回答の有効期限、統制セットの対応づけはまさにその存在理由です。
• 費用 — ゼロから回答は名目上ただで、上級人材の時間としては最も高い。AI起草が現実的に最も安い選択です。
• 回答間の一貫性 — ツールがわずかに有利。同じライブラリを全員が使う前提なら、AI起草もすぐ後ろに付けます。
• 持っていないものに気づく — AI起草が有利で、ここは過小評価されています。答えられない設問を明示させれば、誰も書き出していなかった統制の欠落一覧が手に入ります。
• 主張そのものの正確さ — どれも勝ちません。テナントでMFAが強制されているかを知っている道具は存在しません。それは確認の工程であり、どの道でも人がやります。

選択は結局のところ件数の問題です。どれを選んでも、続く資産は回答ライブラリのほうです。

越えてはいけない線

「回答を起草すること」と「統制を主張すること」は違います。AIはその線を軽々と越えさせるので、はっきり書いておきます。

起草された回答は、自社の状態についての提案にすぎません。送った瞬間に主張へ変わります。契約の文脈では、統制についての主張は責任を問われうるもの——基本契約の表明保証、監査権、あるいは事故のあとに「その統制は最初から無かった」と判明したときの信用の代償として。

安全を保つ規則は三つ。誰も確認していない回答を送らない。 始まってもいないことを「対応中」と書かない。 そして主張を再確認せずに回答集を使い回さない。 設問が古びなくても、回答は古びます。

これが「記憶ではなく実際の監査を根拠にせよ」という主張の理由です。環境を実際に見て、点数のついた出力可能な報告を出す評価——ITセキュリティ監査ツールが備える八領域の形——は、「MFAは強制されているはずだ」を、日付と文書の裏づけを持つ記述に変えます。追及に耐える回答と耐えない回答の差はそこです。

ここを外さない——証跡、表明のリスク、そしてITに相談すべき時

次の質問状が来る前に決めておくべきことが三つあります。

ライブラリの置き場所と閲覧範囲。 規程、監査所見、証跡索引がそろえば、自社のセキュリティ状態とその弱点のかなり完全な記述になります。何年も前に半数の社員が権限を引き継いだ共有フォルダではなく、権限を適切に設定したDriveの場所に置いてください。範囲を絞り、アクセス一覧を見直し、自社のエディションで有効なAI機能の処理のされ方が顧客との契約で許容されるか確認します。

誰が承認し、間違ったらどうなるか。 回答集に持ち主を決め、その人に「いいえ」と言う権限を与えてください。表明に関する問題の多くは、営業が案件を進めるために「いいえ」を「一部対応」に和らげるところから始まります。

欠落を記述するのではなく、埋める。 欠落リストは、何かが起きて初めて役に立ちます。正直な答えが「無い、そして持つべきだ」である箇所は、費用と期日のある是正作業です。それを担うのがAI+サポートとマネージドITサポートで、MFAの適用範囲、退職手続きの徹底、パッチの証跡といった、質問状が最もよく尋ね、最も地味な部分を含みます。Brocentは2007年の北京での創業以来アジアでマネージドITとセキュリティを提供しており、本社はシンガポール、2016年から香港にも拠点があります。

よくある質問

セキュリティ質問状にAIを使って回答してよいのですか

構いません。ワープロを使ってよいのと同じ意味で。レビュアーが気にするのは正確さと証跡であって、どの道具で書いたかではありません。許されないのは、誰も確認していない回答を送ることです。それは人が記憶で書いた場合も同じく許されません。

AIが起草した回答が間違っていたらどうなりますか

人が起草した回答が間違っていた場合と同じです。そこが要点で、誰が書いたかにかかわらず主張の責任は自社にあります。契約によっては、重要な統制記述の誤りは表明保証違反、監査の不合格、取引の終了につながります。確認が「望ましい実務」ではなく必須工程である理由です。

去年の回答を使い回せますか

起草の入力としてなら、はい。手持ちの中では良い材料です。最終回答としては、再確認なしには使えません。環境は人が覚えているより変わっており、古い「はい」は、もう持っていない統制を約束してしまう最も多い経路です。

ライブラリを陳腐化させないには

既にある行事に紐づけた見直しの周期を決めてください。年次評価、保険の更新、四半期のIT棚卸しなど。すべての文書に日付を入れ、各回答を最後にどの質問状で使ったか記録します。十八か月誰も触っていないライブラリは、人が信用してしまう分だけ負債です。

最終的な回答集は誰が承認すべきですか

主張が事実かどうか分かるだけの可視性を持つ、記名された一人です。多くはIT管理者、業務責任者、あるいはセキュリティ窓口の担当。案件を持つ営業が同時にセキュリティ回答を承認する体制は、理由は明らかですが避けるべきです。

RFPのセキュリティ章やデューデリジェンスにも使えますか

使えます。RFPのセキュリティ章、顧客のデューデリジェンス質問状、保険の申込書は同じライブラリから引けます。作る労力が報われる大きな理由です。書式は変わり、事実は変わりません。

まずどこから

直近で回答した質問状と、既にある規程を一つのフォルダに入れ、そのファイルだけを根拠に同じ回答を起草させ、裏づけられないものを明示させてください。出てきたものを、実際に送った回答と突き合わせます。重なりは、あなたの回答のうちどれだけが既に根拠を持っていたかを示します。欠落リストが残りです。その一覧が思ったより長いなら、それは文書化ではなく是正の話です。お問い合わせください。