---
title: SecurityDays2026Fukuoka_FB-05_小出
tags: 
author: [Hiroshi Koide](https://image.docswell.com/user/hirosk)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/4JMY19KPJW.jpg?width=480
description: SecurityDays2026Fukuoka_FB-05_小出 by Hiroshi Koide
published: October 16, 26
canonical: https://image.docswell.com/s/hirosk/5R8483-2026-10-16-114502
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/4JMY19KPJW.jpg)

Security Days Fall 2026 Fukuoka
FB-05
2026年10月16日（金）13:00–13:30
「ひとががんばる」から
「AIとともに判断する」へ
― サイバー危機に備える人材と組織 ―
九州大学 情報基盤研究開発センター
小出 洋
Room B


# Page. 2

![Page Image](https://bcdn.docswell.com/page/PJR9LGXY79.jpg)

はじめに
4分
今日の結論を先に申し上げます
1
攻撃も防御も速くなりました。いま一番遅いのは「人の判断」です
AIで見つけるのも、攻めるのも速くなった。詰まるのは、決めて説明するところです
2
AIを判断の「相手」にします。決める権限と責任は人に残します
選択肢を並べさせ、反対の立場から問わせる。出力は「検証すべき仮説」として扱います
3
がんばる人に頼らず、判断が回る仕組みを平時に作ります
任せ方・判断カード・演習の3つで、限られた人員でも回るようにします
「ひとががんばる」を「仕組みが回す」に置き換える ― 今日はその具体的なやり方の話です。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
2 / 24


# Page. 3

![Page Image](https://bcdn.docswell.com/page/PEXQWX64JX.jpg)

はじめに
4分
これまでの話と、今日の一歩
沈まないための備え
5月
鹿児島
やられても事業が
止まらないことを目標
に。
止まらない力は
訓練で得る
作業はAI、判断は人。
判断をその場で作る
組織は追いつけない。
→ 判断を設計する
9月
FIT2026
AI出力は「答え」では
なく
「検証すべき仮説」。
それを事業継続判断へ
変換する人材を育てる
今日
AIを判断の「相手」にし、
不確実なまま
早く決め直せる組織を、
限られた人員で作る
「作業はAI、判断は人」から一歩進めて、「AIとともに判断する」へ。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
3 / 24


# Page. 4

![Page Image](https://bcdn.docswell.com/page/3EK9VW1PED.jpg)

はじめに
4分
この30分の地図
5分
律速点は人の判断へ
判断に使える時間が短くなった。5つの判断
9分
AIとともに判断する
AIを判断の相手にする。ミニ演習と暫定判断
5分
限られた人員で回す
任せ方の3段階と判断カード
5分
平時に判断を練習する
AIを入れた机上演習と、そこで測るもの
2分
明日からやること
持ち帰っていただく3つ
付録に、判断カードと演習進行の雛形を付けています。そのままお使いください。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
4 / 24


# Page. 5

![Page Image](https://bcdn.docswell.com/page/L73WM1Q475.jpg)

第1部
律速点は人の判断へ
速くなったのは「見つける」まで。遅いのは「決める」


# Page. 6

![Page Image](https://bcdn.docswell.com/page/87DK6X95JG.jpg)

第1部 律速点は人の判断へ
5分
見つけるのはAIで速くなりました。詰まるのはその先です
AI・攻撃
不確実な候補
人の判断と説明
脆弱性候補、PoC、
アラートが大量に、速く届く
本物か、届くのか、
影響はどこまでか未確定
ここが律速点。
判断に使える時間は短くなった
人と組織がこなすべき一連の処理（個々のAIツールの性能だけでは片づかない）
重複を除く
真偽を確かめる
自社に届くかを見る
緩和策を選ぶ
止めるか決める
誰に何を説明するか
AIの性能が上がると、防御は楽になるのではなく、「見つけた後の判断と説明」が重くなります。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
6 / 24


# Page. 7

![Page Image](https://bcdn.docswell.com/page/VJPKYPZDE8.jpg)

第1部 律速点は人の判断へ
5分
組織の命運を分ける判断は、いまも人にあります
止めるか
続けるか
説明するか
公表するか
何から戻すか
サービス・リリー
スを止めるか。ど
こまで止めるか
事業をどう続ける
か。手作業や縮退
運用に切り替える
か
顧客・取引先に、
何を、どの順で説
明するか
いつ、どこまで公
表するか。当局へ
の報告
復旧の順番。どの
状態なら信用して
よいか
どれも「取り消しにくく」「影響が広く」「後で説明を求められる」判断です。だからAIに丸投げできません。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
7 / 24


# Page. 8

![Page Image](https://bcdn.docswell.com/page/2EVVG2WGEQ.jpg)

第1部 律速点は人の判断へ
5分
「ひとががんばる」の正体は、判断の材料集めです
初動の工程
AIに任せやすい作業（材料）
人が担う判断
把握
アラートの集約、ログの突き合わせ、時系列の整理
「インシデントだ」と宣言するか
影響
影響範囲の候補、似た事例の検索
どの業務を優先して守るか
封じ込め
隔離手順の案、設定変更の下書き
止める範囲と、止める時刻
説明
経緯の要約、文案、想定問答の下書き
何を、誰に、いつ出すか
復旧
バックアップの確認、手順の提示
何から戻すか、どこまで信用するか
夜通しがんばっているのは、多くの場合、左の列です。左をAIに渡して、人は右に集中します。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
8 / 24


# Page. 9

![Page Image](https://bcdn.docswell.com/page/57GL8RGDEL.jpg)

第2部
AIとともに判断する
「作業はAI、判断は人」の、その先へ


# Page. 10

![Page Image](https://bcdn.docswell.com/page/4EQY9VXXJP.jpg)

第2部 一歩① AIを判断の相手にする
9分
AIに作業だけでなく、判断の「相手」をさせます
選択肢を並べさせる
反対の立場から問わせる
見落とした前提を挙げさせる
「止める／続ける／部分的に止め
る」を、それぞれの根拠・影響・
取り消しやすさとともに並べさせ
ます
決めかけた案に対して、あえて反
論させます。「止めない場合に一
番困るのは誰か」
「この判断が間違っているとした
ら、どの前提が崩れたときか」を
挙げさせます
決めるのは人、責任を負うのも人です。AIは参謀であって、決裁者ではありません。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
10 / 24


# Page. 11

![Page Image](https://bcdn.docswell.com/page/KJ4WXM6271.jpg)

第2部 AIとともに判断する
9分
AIの出力を受け取ったら、4つを問い直します
AIが示した候補を、自社のシステムの構造へ戻して問い直す
共通する姿勢
どの仮定が成り立っているか
？
間違っていたら何が起きるか
？
どの証拠が足りないか？
組織の誰が決めるべきか？
確実な情報が少ない中で、判断を遅ら
せすぎず、かつAIを過信しない。
AIの出力は「答え」ではなく「検証す
べき仮説」です。
「AIを使いこなす」ことより、AIの出力を自社のシステムと組織の文脈に置き直すことが要です。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
11 / 24


# Page. 12

![Page Image](https://bcdn.docswell.com/page/LE1YN8VK7G.jpg)

第2部 ミニ演習（会場参加）
9分
ミニ演習：金曜17時、重大な脆弱性が公表されました
前提
判断してください
・自社の Web システムを複数の顧客企業が使っている
・利用しているフレームワークに重大な脆弱性。
PoC は公開済み
・脆弱な機能を実際に使っているかは未確認。
攻撃の痕跡はまだない
・月曜午前に、大口顧客向けの機能リリースを予定して
いる
A
リリース延期を即決し、週末に緊急
対応する
B
AIの結果を受けて、月曜リリースは
予定どおり実施する
C
今ある材料で暫定判断し、見直す時
刻と条件を決めておく
18時、AIエージェントの調査結果が届く
「脆弱な機能は使われていない可能性が高い（静的
解析による）。リリースは予定どおりで問題ないと考え
られる」
5月（鹿児島）のミニ演習の続編です。前提は同じで、途中でAIの調査結果が届きます。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
12 / 24


# Page. 13

![Page Image](https://bcdn.docswell.com/page/GEWG4ZLPJ2.jpg)

第2部 一歩② 暫定判断
9分
判断を遅らせすぎず、AIを過信しない ― 暫定判断
不確実なときの2つの失敗
暫定で決め、見直す時刻を決める
過信：AIのもっともらしい結論をそのまま採用
する（ミニ演習の B）
「今の材料では、リリースは保留。顧客に暫定の
連絡を入れる」
「日曜12時に、動的な確認の結果を見て見直す」
「脆弱な機能の利用が否定できれば、予定どおり
出す」
先送り：情報がそろうまで決めない。その間に
悪用と問い合わせが広がる
（AIの出力を一律に信じない「過剰な拒否」も
こちら）
この3点を、決めた人の名前と時刻とともに記録
します。
完全な情報は来ません。決め直せる形で早く決めることが、不確実な状況での判断の型です。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
13 / 24


# Page. 14

![Page Image](https://bcdn.docswell.com/page/47ZL21M6J3.jpg)

第3部
限られた人員で回す
「あの人がいないと動かない」をなくす


# Page. 15

![Page Image](https://bcdn.docswell.com/page/YJ6WVLNLJV.jpg)

第3部 限られた人員で回す
5分
「ひとががんばる」体制の弱さは、判断が人に貼りついていること
よくある状態
規模の小さい組織ではさらに
・判断できる人が1〜2人に集中している
・夜間・休日・長期戦で、その人が倒れる
・判断の根拠が頭の中にあり、記録に残らない
・情シスが1人、または兼務
・経営層が「ITの問題」と捉えている
・反対意見を言ってくれる同僚がいない
・頼る先を、事故が起きてから探す
人を増やすのは難しい。変えられるのは、判断を人から仕組みへ移すことです。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
15 / 24


# Page. 16

![Page Image](https://bcdn.docswell.com/page/GJ5MD15MJ4.jpg)

第3部 一歩③ 任せ方を書く
5分
AIへの任せ方は、3つの問いで3段階に分けておきます
問い
自動でよい
人の承認つき
人が決める
取り消せるか
すぐ戻せる
手間はかかるが戻せる
戻せない
影響はどこまでか
一部の端末・利用者
一つの部署・サービス
全社・顧客・社会
後で説明できるか
根拠が記録に残る
根拠を人が確かめられる
説明責任を人が負う
例
不審な端末の隔離
一部サービスの一時停止
リリース延期、公表、身代金
3つのうち1つでも右に寄れば、右の段階に置きます。AIエージェントのリスクは「賢さ」より
「権限」にあります。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
16 / 24


# Page. 17

![Page Image](https://bcdn.docswell.com/page/9E2981NR7R.jpg)

第3部 一歩③ 判断カード
5分
5つの判断を、1枚ずつ「判断カード」にしておきます
項目
記入例：「リリース・サービスを止めるか」
決める人／代わりの人
事業部長 ／ 不在時は情報システム部長（連絡がつかなければ当番責任者）
確認する順番
露出 → 実際に使っているか → 顧客・業務への影響 → 停止以外の緩和策
AIに出させるもの
影響範囲の候補、選択肢とその根拠、反対の立場からの指摘
期限と見直し
公表から○時間以内に暫定判断。○時間ごとに見直す。覆す条件
伝える先
経営層、広報、主要顧客の窓口、委託先
頼る先
保守ベンダー、インシデント対応事業者、保険、警察の相談窓口、地域の協議会
判断を「その場で作らない」ための1枚です。5つの判断 × 1枚、A4 で5枚から始められます。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
17 / 24


# Page. 18

![Page Image](https://bcdn.docswell.com/page/D7Y46ZP5EM.jpg)

第4部
平時に判断を練習する
一度も決めたことのない判断は、当日も決められません


# Page. 19

![Page Image](https://bcdn.docswell.com/page/VENYZ354J8.jpg)

第4部 一歩④ AIを入れた演習
5分
机上演習に、AIを「3つの役」で入れます
状況をまとめる役
状況を揺さぶる役
記録を残す役
次々に入る情報を AI が整理し、
判断者に要約を渡します。参加者
がそれを鵜呑みにしないかも見ま
す
誤った要約や、自信過剰な提案、
想定外の問い合わせを AI が差し
込みます。毎回違う演習になりま
す
誰が、いつ、何を根拠に、暫定で
決め、いつ見直したかを記録し、
振り返りの材料にします
AIは参謀であって、決裁者ではありません。そのことを、演習で体に覚えてもらいます。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
19 / 24


# Page. 20

![Page Image](https://bcdn.docswell.com/page/Y79PZ9Y4E3.jpg)

第4部 平時に判断を練習する
5分
演習で測るのは、判断の「質」です
観点
記録するもの
暫定判断までの時間
情報が入ってから暫定で決めるまで。決めずに止まっていた時間
見直し
決めた時刻どおりに見直したか。何を見て覆した／維持したか
AIとの距離
要約を確かめたか（過信）。使える材料を捨てていないか（過剰な拒否）
伝わり方
判断が次の部門・取引先へ、いつ届いたか
人の評価はしません。演習の成果物は、書き直した判断カードです。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
20 / 24


# Page. 21

![Page Image](https://bcdn.docswell.com/page/G78D196V7D.jpg)

明日からやること
2分
持ち帰っていただきたい3つ
1
5つの判断を判断カードにし、決める人と代わりの人を決める
止める・続ける・説明する・公表する・何から戻す
2
AIへの任せ方を3段階に分け、判断の場ではAIに反論させる
取り消せるか・影響はどこまでか・後で説明できるか。決めるのは人
3
AIを入れた机上演習で「暫定判断と見直し」を練習する
終わったら判断カードを書き直し、次の演習日をカレンダーに入れる
どれも予算より先に、決めることで始められます。「ひとががんばる」から「AIとともに判断する」へ。
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
21 / 24


# Page. 22

![Page Image](https://bcdn.docswell.com/page/L7LMQW9RJR.jpg)

付録 1
配布用
判断カード（雛形）
項目
書くこと
判断
止める／続ける／説明する／公表する／何から戻す のどれか。対象（どのサービス・業務か）
決める人／代わりの人
役職で書く。連絡がつかないときの順番まで
判断の材料
何を見て決めるか。AIに出させるもの、人が確かめるものを分けて書く
任せ方の段階
自動／人の承認つき／人が決める。どこまでが自動か
期限と見直し
暫定判断の期限。見直しの間隔。覆す条件
伝える先
経営層、広報、法務、現場、取引先、委託先、当局
頼る先
ベンダー、インシデント対応事業者、保険、警察の相談窓口、地域の協議会
記録
誰が・いつ・何を根拠に決めたか。決めなかった場合はその理由
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
22 / 24


# Page. 23

![Page Image](https://bcdn.docswell.com/page/4EMY19ZPEW.jpg)

付録 2
配布用
AIを入れた机上演習の進行雛形（90分）
時間
内容
0:00–0:10
目的とルール。人を評価しない。正解はない。AIは参謀で、決めるのは人
0:10–0:25
状況1（発覚）。AIの要約を受け取り、暫定判断と見直し時刻を決める
0:25–0:45
状況2（連絡手段が使えない／AIの要約に誤りが混ざる）。確かめ方を言ってもらう
0:45–1:00
状況3（取引先・委託先・拠点からの問い合わせ）。誰が何を答えるか
1:00–1:10
状況4（報道・SNS・身代金要求）。「人が決める」段階の判断者を特定する
1:10–1:30
振り返り。AIが残した記録を見ながら、詰まった場所だけを拾う。判断カードを直す
Security Days Fall 2026 Fukuoka FB-05 小出 洋（九州大学）
23 / 24


# Page. 24

![Page Image](https://bcdn.docswell.com/page/PER9LG6YJ9.jpg)

ご参加いただき
ありがとうございました
九州大学 情報基盤研究開発センター 小出 洋