サイバーセキュリティクラウドは10月21日、生成AI・AIエージェントの利用に伴うセキュリティ対策の実施状況と課題について分析・安全なAI活用についての4つの提言を発表した。これは、同社が運営に参画する一般社団法人サイバーセキュリティ連盟および同連盟の運営会員企業4社が共同で実施した「セキュリティ対応実態調査2026」の結果をもとにまとめたもの。
■調査結果の主なポイント
１．AI利用ルールの整備率は企業規模によって35.7ポイントの差
AI利用ルールを整備していると回答した割合は、従業員1000名以上の企業に勤務する回答者では50.9％、49名以下では15.2％となり、企業規模によって取り組み状況に大きな違いが見られた。
２．AIアプリケーションの脆弱性診断は26.6%、AI特有の攻撃検証は20.6%
AI利用ルールや入力制限などに比べ、AIアプリケーションに対する技術的なセキュリティ評価・検証の実施回答率は相対的に低い結果に。
３．約4割がAIへの機密情報・個人情報の入力による情報流出を懸念
機密情報・個人情報等の流出を懸念する割合は38.2%、AIによる誤情報・不適切な内容の生成を懸念する割合は36.6%。
４．AIエージェントによる意図しない操作を23.4%が懸念
AIエージェントによる外部システム・API等の意図しない操作への懸念が23.4%となった一方、AIエージェントの操作権限を制限する対策を実施している割合は18.0%だった。
５．AIセキュリティ対策の必要性を認識しながら、具体的な対策は未実施との回答が14.6%
AIセキュリティ対策の必要性を認識しているものの、具体的な対策は実施していないと回答した割合は14.6%。対策の必要性を理解することに加え、実際の取り組みに移すための課題整理や優先順位付けが重要であることが示唆される。
■安全なAI活用に向けた当社の4つの提言
①AIの利用状況を可視化する
まずは、社内で利用されているAIサービスやAIアプリケーションを把握し、利用目的、取り扱う情報、外部システムとの連携状況などを整理することが重要。未承認のAIサービスの利用、いわゆるシャドーAIも含め、管理すべき対象を明確にする必要がある。
実務上は利用しているAIサービス・アプリケーション、利用部門、取り扱うデータ、外部システムとの連携先を一覧化し、管理対象を明確にすることが第一歩となる。
②AIガバナンスと管理体制を整備する
AI利用に関するガイドラインや情報の取り扱い方針を定め、利用・導入に関する責任体制を明確にすることが重要。ルールを策定するだけでなく、実際の業務で運用できる状態にする必要がある。
例えば、AIに入力してよい情報、利用可能なサービス、導入時の承認手続き、インシデント発生時の連絡先など、従業員や管理者が業務上判断できる具体的なルールを整備することが重要となる。
③AIアプリケーションの安全性を技術的に検証する
AIアプリケーションやRAG、AIエージェントについては、利用形態に応じて技術的な安全性を確認することが求められる。プロンプトインジェクション、権限外情報の取得、AIエージェントの意図しない操作など、AI特有のリスクを想定した検証が重要。
特に、すでに本番環境で運用されているAIアプリケーションやAIエージェントについては、利用ルールの整備が完了するまで技術的検証を待つのではなく、取り扱う情報や操作権限の重要性に応じて、優先的に安全性を確認する必要がある。
例えば、AIモデルの変更、RAGが参照するデータの追加、外部システムとの新たな連携、AIエージェントへの権限追加などを、安全性の再評価が必要か判断するタイミングとして位置付けることが考えられる。
④継続的に見直し・改善する
AIの利用状況やシステム構成が変化した場合には、リスクを再評価し、必要な対策を見直すことが重要。AIセキュリティを一度限りの取り組みではなく、継続的な管理・改善活動として位置付ける必要がある。
関連リンク