研究セキュリティの実装に向けて

研究活動の国際化・オープン化は、わが国の科学技術・イノベーションを発展させるうえで不可欠である。一方で、安全保障環境が厳しさを増すなか、研究成果や技術の不適切な流出リスクへの対応（研究セキュリティ対応）もこれまで以上に求められている。こうした状況を受け、内閣府は2025年12月に「研究セキュリティの確保に関する取組のための手順書」を公表した。これは、資金配分機関や大学・研究機関等における研究セキュリティ対応の基本的な枠組みを示すものである。

もっとも、この手順書は詳細な運用マニュアルではなく、ゼロ・リスクを求めるものでもない。各機関は、それぞれの実情に応じて、合理的なリスクマネジメントを構築・実行することが求められている。そのため現場では、「何をどこまで実施すれば十分なのか」「限られた人員や予算のなかでどのように対応すべきか」といった実務上の問いに直面している。

本稿は、手順書策定の背景や考え方を概観したうえで、資金配分機関と大学・研究機関それぞれが直面する論点を整理している。さらに、研究セキュリティ対応の中核でありながら、多くの関係者が難しいと感じている「デュー・ディリジェンス」（研究に参画する研究機関や研究者等の適切性の確認）に焦点を当て、実務的かつ現実的な対応策を提案している。

資金配分機関にとっては、研究公募に提案してくる研究代表機関等が実施したリスクマネジメント結果の確認が大きな論点となる。例えば、研究代表機関から提出される申告内容（質問票の回答）を確認するだけで足りるのか、資金配分機関として独自に公開情報を調査し、申告内容と突合すべきなのか。突合する場合には、どの範囲まで確認し、どのようなバックデータの提出を求めるべきなのか。これらはいずれも、一義的な答えを導きにくい課題である。

大学・研究機関においても、研究代表者や研究参画者、共同研究機関に所属する研究者等を対象としたデュー・ディリジェンスが求められる。自己申告情報に加え、オープンソース情報を用いた確認も想定されているが、研究チームや共同研究先が増えるほど、確認すべき対象者や情報量は大きく増加する。研究活動を停滞させることなく、必要な調査等をどのように実施するかは、今後、大学・研究機関にとって重要な経営課題にもなり得る。

研究セキュリティ対応のなかで実務上の難度が高いのがデュー・ディリジェンスである。研究者の学歴、研究経歴、研究費の取得歴、外国の人材採用プログラムへの参加歴、リスト掲載機関との関係など、確認対象となる情報は多岐にわたる。これらをどの程度まで調査し、どのように評価するのか。こうした課題に対し、本稿では3つの現実的な対応の方向性を提示している。

第1は「濃淡管理」である。すべての対象者を同じ深度で調査するのではなく、提案書や研究経歴書（CV）等から把握できる情報を用いて初期段階でリスク度を振り分け、リスクが相対的に高い対象には詳細な確認を行い、低い対象には簡易な確認を行うという考え方である。これは、手順書が示す「ゼロ・リスクを求めない」合理的なリスクマネジメントの考え方にも沿うものである。

第2は、生成AIの活用である。本稿では、実際に生成AIを用いたデュー・ディリジェンス調査を試行し、その検証結果についても触れている。生成AIは、オープンソース情報の調査作業を大幅に効率化できる可能性を持つ一方、誤情報や調査漏れのリスクを完全に排除することはできない。そのため、出所明示、推測禁止、参照すべき情報源の指定など、プロンプト設計上の工夫に加え、人による検証可能性を確保することが重要となる。

第3は、デュー・ディリジェンス事例の共有である。研究セキュリティ対応では、多くの機関が類似する調査や判断を個別に実施することになり得る。そこで、非公開の枠組みのもとで、資金配分機関間あるいは大学・研究機関間で事例を共有できれば、社会全体として対応の質と効率を高めることが期待される。ただし、個人情報や機微情報を含むため、共有に際しては慎重な設計が不可欠である。

重要なのは、完璧な対応を一足飛びに目指すことではなく、各機関が自らのリスク、体制、リソースといった実情を踏まえ、合理的かつ継続可能な仕組みを段階的に整備していくことである。本稿は、研究セキュリティ対応に悩む関係者にとって、制度理解から実装検討へ進むための実践的な視座を提供している。研究セキュリティ対応を本格的に進めるうえで、ぜひ全文をご一読いただきたい。