これからはじめるAIセキュリティのすすめ サイバーセキュリティ対策実践講座 第3回

近年、機械学習（Machine Learning：ML）の技術が発展し、人工知能（Artificial Intelligence：AI）を利用したサービス（ツール、アプリなど）の提供が急増してきています。その一方で、2023年11月にKnowBe4（本社：米国フロリダ州タンパベイ、KnowBe4 Japan合同会社）が「2024年の5大サイバーセキュリティ脅威予測」（https://japansecuritysummit.org/2023/12/8902/）を発表し、5大脅威予測の1つとして「AIを利用するサイバー犯罪と防御手法の増加」が示されています。サイバー攻撃者がAIを利用することで、サイバー犯罪が従業員や個人ユーザーに対しても拡大する脅威の可能性が報じられています。

2024年の5大サイバーセキュリティ脅威予測を発表

企業のAI活用が進むことで、サイバー攻撃対策ツールとして、この脅威への対応も進化していくことが予測されています。ChatGPTを始めとした簡単に導入・利用できる生成AIツール※1やアプリが増加する中で、管理方法や操作を誤ると組織の機密情報や個人情報※2、プライバシー※3が公開データとして容易に流出してしまう脅威が頻度高く潜在していると考えます。今回はサイバー攻撃の標的とならないように、組織でも家庭でも、生成AIツールやアプリを利用する際に求められるAIセキュリティ対策のポイントを解説します。

ポイント① 安全にAIサービスを利用するために何から確認すれば良いか？

対策ポイント、注意事項

利用したいAIサービスが無料サービスやアプリの場合、責任分解やAI学習の有無などを明示した利用規約、またはポリシーを公開しているか、AI学習させない設定の機能を設けているかを確認しましょう。

（参考）OpenAI ChatGPT 「Terms of use（利用規約）」
（https://openai.com/policies/terms-of-use）

この利用規約を要約すると、ChatGPTに機密情報や個人情報、プライバシーを入力すると、AIが学習して第三者のChatGPTに出力（回答）してしまうリスクがあることが明示されています。なおChatGPTでは、設定画面や専用申請フォームから申請することで、AIに学習させない設定が可能です。多くの解説サイトで情報公開されていますので、参考にして適切に設定したうえでAIサービスを始めましょう。

ポイント② AIサービスに入力してはいけない情報は何か？

対策ポイント、注意事項

下記のような入力例（文書や画像の作成や要約、分析、添削、翻訳など）は、控えることが望まれます。ポイント①で解説したとおり、不特定多数の第三者に出力（回答）してしまう情報漏洩リスクが潜在しているためです。

（例）
・プライバシー、個人情報に該当するすべて
・政治的、宗教、差別的、猥褻的、ハラスメント、ジェンダーバイアス※4、違法、非論理的行為、名誉、信用、虚偽など、社会的通念上で不適切とされるものすべて
・経営情報に該当する情報
・決算発表前の業績などのインサイダー情報
・契約・法律上の機密情報（営業秘密も含む）
・非公開の新製品・サービス情報
・システム開発上のソースコード
・ログデータ（メタデータを含む）

加えて、
・第三者が著作権を有している情報（他者・他社が作成した文書や画像など）
・登録商標・意匠（ロゴやデザインデータなど）
・公人や著名人の顔写真や氏名などの公開情報

については、法令順守の観点でも特に注意が必要です。入力する前に一歩留まり、周囲や上長、関係者に相談して対応・判断しましょう。ただし、組織においてネットワークや業務環境を分離（セパレート）していたり、個人でも正しく機能を設定するなど、対策を講じている場合はこの限りではありません。

ポイント③ AIサービスから出力（回答）された情報は信用して良いか？

対策ポイント、注意事項

AIサービスでの成果物（結果）に対しては、下記（例）のように事実確認（ファクトチェック）を実施することが望まれます。また、成果物（結果）、または派生物（成果物を参考に作成したコンテンツ）を業務で使用したり、外部に公表（二次転用含め）する際は、組織や個人が説明責任を負うこと、「AIサービスにより作成」などの引用を明記する必要があります。

（例）
・成果物（結果）の内容に誤りがないか（特に文章生成AI利用時）
・成果物（結果）の内容が適切か、根拠や裏付けを調査・確認しているか（盲信していないか）
・成果物（結果）を内外において配信や利用する場合、そのまま利用することは避け、できる範囲で加筆・修正しているか
・個人情報が含まれている場合、本人の同意取得を含め、法令順守できているか
・第三者の知的財産権などを侵害していないか
・取引先などの契約に違反していないか
・信用上、ジェンダーバイアス上、問題がない内容となっているか

AIセキュリティを取り巻く状況は日々変化していることから、世界の動向や国内での議論、セキュリティ・インシデント情報などに注視することも重要です。AIサービスは、さらなる活用の可能性を多く秘めており、私たちの生活も大きく変化する機会が増えてくるものと推測します。まずは、今回ご紹介した対策ポイントを留意いただき、楽しくAIサービスを利活用いただくことを期待します。

脚注

※1　生成AI：生成AI又は生成系AI、Generative AI（ジェネレーティブAI）と呼ばれ、自ら様々なコンテンツを生成できるAI（人口知能）のこと。※Generative：生産または発生することができること

※2　個人情報：生存する個人の情報で、特定の個人を識別できる情報のこと

※3　プライバシー：個人や家庭内の私事・私生活、個人の秘密のこと。また、それが他人から干渉・侵害を受けない権利のこと

※4　ジェンダーバイアス：男女の役割について固定的な観念を持つこと。そのために社会的な評価や扱いが差別的になること。ChatGPTなどの生成AIにおいて、職業に対して性別偏見を持つ傾向が確認されており注意が必要。（例）色や形、言葉や職業による固定観念、職場での分担、能力差の決めつけ、複数の性的アイデンティティーへの偏見など

---

サイバーセキュリティ対策実践講座の過去の記事はこちら（合わせてお読みください）

サイバーセキュリティ対策実践講座の最新話は、メールマガジンにてもご案内致しています。是非JAPANSecuritySummit Updateのメールマガジンにご登録ください。
メールマガジンの登録はこちらからお願いします。