何が起きたか
2026年10月22日、NISTはSP 800-221 Rev. 1の初期公開ドラフト（IPD）「Governing and Managing ICT Risk Programs Within an Enterprise」を公開し、2026年12月7日までパブリックコメントを受け付けています。この改訂版は、エンタープライズの情報通信技術リスク管理（ICTRM）を拡張し、サイバーセキュリティ、プライバシー、サプライチェーン、運用技術、モノのインターネット、そして「スーパーインテリジェンス」を包含・統合します。OMBサーキュラーA-123（2026年）を反映するためにERMセクションを更新し、NIST IR 8286r1およびCSF 2.0のGovern機能との整合性を強化し、NIST SP 1308に基づくリスクレジスタを使用したリスク情報に基づく workforce 決定を追加します。
なぜ重要か
これは、2026年9月29日の大統領令による方向転換を反映し、NISTが「スーパーインテリジェンス」をエンタープライズICTリスクガバナンスに正式に組み込む最初の出版物です。これにより、組織はAI/SIリスクを、財務、ミッション、評判の観点で、従来のエンタープライズリスクと並行して正規化・集約するメカニズムを得られます。これは、競合するリスクタイプにリソースを配分する経営陣や、CSF 2.0との整合を図る際に直接使用できます。
必要な対応
CISOとリスクマネージャーは、2026年12月7日の締め切り前にレビューとコメントを提出し、改訂されたICTRMアプローチがAI/スーパーインテリジェンスリスクを既存のERMおよびCSF 2.0ガバナンスにどのように統合するかを評価すべきです。