AI時代におけるセキュリティ設計思想の見直し：システム全体の連携リスクとガバナンス体制の確立

解説

AIの進化により、セキュリティ対策は単なる「防御」の枠を超え、事業成長を支援する役割へと変化しています。これまでのシステム保護は、特定の製品や境界線を守ることだけが課題でした。しかし、現代の複雑な環境では、情報システムの利用範囲全体でリスクを評価する必要があります。

この流れを受けて、セキュリティ設計思想自体を見直すことが求められています。具体的には、複数の要素（IDやデータ、アプリケーションなど）が複雑に絡み合う「接点」における脆弱性への対策です。特定の技術を採用するだけでなく、ガバナンスやプロセスといったより包括的な視点を取り入れる必要があります。

自社環境では、AIツールを活用し始める前に、どのようなリスクを最も重視するかといった目的設定が必要です。また、AIが出力した情報や分析結果を盲信せず、必ず人間の検証や判断を経るためのプロセスが機能しているか確認しておきたいところです。

ポイント

• AIによる変革が進む中で、セキュリティは単なる防御策から、責任あるイノベーションを実現させるための前提条件（エネーブラー）へと役割が変化しています。
• 技術や情報量が増大する現代において、システム設計は複数の要素の相互作用を考慮し、信頼性の確保とリスク管理を行う「システムの考え方」が必要です。
• 真に強靭なセキュリティ対策は、単一のテクノロジーや信号源に頼るのではなく、明確な目的設定に基づき、専門知識、検証、そして人間による判断力を組み合わせることで実現します。

情シスへの影響

AIを活用したシステム運用全般におけるガバナンス体制とセキュリティ設計思想の見直しが必要です。

• システムの連携性（System Interdependencies）の可視化: 複数の要素（ID、データ、アプリケーションなど）が複雑に絡み合うシステム全体のリスクを評価し、単一の層だけでは防げない「接点での脆弱性」を特定する必要があります。

• AIガバナンスの実装: AIツールや生成AIを活用する際は、「何を守るのか」「どのリスクが最も重要か」「どのような出力を検証するか」といった目的と境界（ガードレール）を明確に定義し、運用プロセスに組み込む必要があります。

• 防御の深さの適用範囲拡大: 従来のネットワーク層やパッチ管理だけでなく、データライフサイクル全体、アクセス制御（ID/Entra）、そしてプロセスの設計段階からセキュリティを組み込むアプローチが求められます。

影響範囲

組織全体のシステムアーキテクチャおよび運用ガバナンス。影響を受けるのは特定の製品・バージョンに限定されず、企業が利用するAI関連ツールを含む全ての情報システム（オンプレミス、クラウドSaaS含む）の設計と運用プロセスです。

特に、ID管理、データフロー制御、及びアプリケーション間の連携部分（インターセクション）に注意が必要です。

重要度

★★★☆☆

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• ネットワーク管理者

優先度

計画的に対応

優先度の理由

悪用された脆弱性への緊急対応は求められませんが、AI活用が不可避な現状を鑑みると、「どう設計し直すか」というレイヤーの変更が必要であり、PoCや企画段階でのガバナンス定義から取り組むべきです。単なる技術実装以上の視点が必要となるため「計画的に対応」と判断しました。

確認手順

• 組織が利用するAIツール（生成AI含む）をリストアップし、各ツールのデータの入出力先と目的を特定する。
• システムアーキテクチャ図を見直し、異なるコンポーネント（ID/データ/アプリなど）の接続点・インターフェースでの認証・認可メカニズムが適切に設計されているか確認する。
• AI利用に関するガイドラインやポリシー文書が存在するか確認し、データの取り扱いと責任範囲を明確化する。
• 現在のセキュリティ評価基準において、「単なる防御」だけでなく「信頼性（Trust）」の確保をどうスコアリングに取り入れるかを検討するための部門間連携が必要である。
• ベンダーが公開しているAI/セキュリティ関連の最新のアークテクチャ推奨パターンを確認し、自社システムへの適用可能性を評価する。