生成系AIの業務活用で考えられるセキュリティリスクとその対策

生成系AIを利用することで想定されるインシデント

上記３つのインシデントの具体例をいくつか紹介します。

想定インシデント①
担当者が企画書を生成系AIで作ろうとして、許可されていないサービスに顧客情報をインプットしてしまった。結果として顧客の氏名や連絡先などが流出してしまった。

想定インシデント②
英語や中国語で書かれた業務メールや資料を勝手にAI翻訳サービスに入力したところ、それが悪意のあるサイトであったため、情報が流出。情報には未発表の新規事業や新商品、予算などの情報も含まれていた。

想定インシデント③
新商品のデザイン案を画像生成AIで出力しようと勝手に判断し、試作商品のデザインやスケッチを入力してしまい未発表情報が流出してしまった。

こうしたリスクは従業員教育のみでは防げない

今後、生成系AIの業務活用は効率化の観点でも必要と目されていますが、これまで見てきたような些細なミスによって、全世界に機密情報が漏えいしてしまう可能性もあります。
従業員への教育を行っていても「これくらいなら大丈夫」と利用されるリスクは拭えず、セキュリティ意識の向上だけでは阻止することは困難です。そのため、仕組みで防ぐ必要があります。

生成系AIのセキュリティリスクを回避するソリューションとは

ここまで挙げてきたシャドーIT、設定ミス、無意識な利用による情報漏えいの３点ですが、それぞれ求められる対策は異なります。

シャドーITは、会社が認めていない端末が業務に利用された際、または社内データがそれらに持ち出された際に検知する機能が求められます。これにはCASB（キャスビー）というサービスが有用です。

設定ミスに関しては、CSPM（Cloud Security Posture Management）とSSPM（SaaS Security Posture Management）という2つのサービスでインシデントを未然に防ぐことが可能です。2つのサービスは監視範囲などが以下のとおりそれぞれ異なります。

CSPMはIaaSやPaaSといったパブリッククラウドに対して、API連携などによりクラウド側の設定情報を取得し、設定ミスや各種ガイドライン等への違反が無いかを監視することができるソリューションです。
SSPMはSaaSに対して、API連携によりSaaS側のグローバル設定情報を取得し、セキュリティ設定不備や過剰なアクセス権限付与といったリスクを伴う設定が無いかを各種ガイドラインに則り可視化・検知・監視することができます。
CSPMは、クラウド利用そのものを可視化しますが、SSPMはクラウド上のデータやアプリを適切に管理するという違いがあります。

最後の無意識な利用に起因するリスクについては、DLP（Data Loss Prevention）という機密情報やデータの紛失、外部流出を防ぐシステムが有用です。設定された内容に基づいて、扱われている情報が機密情報か否かを識別し、該当するデータには情報の送信やコピーを制限することが可能です。

ソフトバンクでは、シャドーIT制御で約40,000種類のクラウドサービス利用状況を可視化・リスク評価が可能な「Netskope（ネットスコープ）」を提供しています。
Netskopeは、CASB, CSPM, DLP を兼ね備えており、DLPにおいてはChatGPTにも対応。あらかじめNG語句を設定しておけば、その語句を含む入力内容がChatGPTを通じて外部に送信されることを防ぎます。たオールインワンソリューションで、これからの生成系AI普及に伴い対策が求められるさまざまなリスクへの対策手段となっています。
詳細については「Netskopeご説明資料」にてご確認ください。また、ご不明点などございましたらお気軽にこちらよりご連絡ください。