AIを活用する時代から、AIを守る時代へ。

生成AIは、企業のIT環境に新しい変化をもたらしています。ChatGPTをはじめ、Microsoft CopilotやGoogle Geminiなどの生成AIは、文章作成や情報検索、プログラミング支援など、さまざまな業務で利用されるようになりました。さらに、多くのSaaSや業務アプリケーションではAI機能が標準機能として提供され、利用者が意識しないままAIとやり取りする機会も増えています。企業にとってAIは、生産性向上や業務改革を実現する重要なテクノロジーです。一方で、AIの利用が広がるにつれて、従来とは異なる新しいセキュリティ課題「シャドーAI」も顕在化しています。こうした背景から、近年注目されているのが「AIセキュリティプラットフォーム」です。では、なぜ新しいセキュリティカテゴリーが必要なのでしょうか。 

シャドーAI時代の新常識：AIセキュリティプラットフォームの選び方 | 今すぐ見る

AIは、新しいリスクを生み出している 

これまで企業が保護してきた対象は、ネットワーク、エンドポイント、クラウドサービス、そしてデータでした。 

AIの普及によって、保護すべき対象はさらに広がっています。例えば、従業員が利用するChatGPTやCopilotのようなサードパーティ製AIサービスがあります。さらに、自社で開発する生成AIアプリケーションや、AIエージェントを利用した業務自動化も増えています。これらに共通しているのは、人とAI、あるいはAIとAIが自然言語を介してやり取りすることです。 

従来のITでは、システム同士が定義されたルールに従ってデータを処理していました。一方、生成AIでは、人が入力したプロンプトの内容をAIが解釈し、その結果として新しい情報を生成します。つまり、企業はネットワークやアプリケーションだけではなく、AIとのインタラクションそのものを保護しなければならない時代になっています。 

なぜ、既存のCASBやDLPだけでは不十分なのか 

ここで疑問になるのが、「現在利用しているCASBやDLPで対応できるのではないか」という点です。もちろん、CASBやDLPは現在でも重要なセキュリティ対策です。しかし、それぞれ設計された目的が異なります。 

CASBはSaaS利用の可視化やアクセス制御に優れています。ですが、AIプロンプトやAIの回答、そのやり取りの内容を理解することを目的として設計されているわけではありません。 

DLPも同様です。DLPは、個人情報やクレジットカード番号など、構造化されたデータを識別することを得意としています。とは言え、生成AIでやり取りされる情報は、多くが自然言語です。例えば、製品企画書をAIへ入力し、「この資料を要約してください」と依頼するケースを考えてみます。その資料には個人情報は含まれていないかもしれません。しかし、製品戦略や事業計画など、企業にとって重要な情報が含まれている可能性があります。こうした情報を単純なキーワードや正規表現だけで判断することは容易ではありません。 

さらに、AIでは入力だけではなく、AIが生成する回答も保護対象になります。AIが機密情報を含む回答を返したり、不適切な内容を生成したりする可能性もあるためです。自社開発AIでは、プロンプトインジェクションやジェイルブレイクといったAI特有の攻撃にも対応する必要があります。AIエージェントでは、自律的な判断や外部ツールとの連携によって、新たなリスクも発生します。 

このように、従来のセキュリティ製品は現在でも重要な役割を担っていますが、AIとのインタラクションを保護するためには、新しい考え方が必要になります。 

AIセキュリティプラットフォームに求められるもの 

AIセキュリティプラットフォームは、企業におけるAI利用全体を対象としたセキュリティ基盤です。対象となるのは、サードパーティ製AIだけではありません。自社開発AIアプリケーションやAIエージェントも含め、AIとのあらゆるやり取りを可視化し、ガバナンスを適用し、リスクを継続的に評価することを目的としています。これは、AI利用を制限するための製品ではありません。企業がAIを安全に活用するための仕組みを提供する、新しいセキュリティカテゴリーと言えます。AIセキュリティプラットフォームにはさまざまな製品がありますが、多くの製品は共通して4つの役割を担っています。 

1つ目は、AI利用状況の可視化です。どのAIサービスが利用されているのか。誰が利用しているのか。SaaSへ組み込まれたAI機能やAIエージェントまで含めて把握できることが重要になります。 

2つ目は、ポリシーとガバナンスです。利用できるAIサービスや入力してよい情報を定義し、組織全体へ一貫したポリシーを適用します。 

3つ目は、ランタイム保護です。AIとのやり取りをリアルタイムに解析し、データ漏えいやプロンプトインジェクションなどのリスクを検知・制御します。 

4つ目は、リスク評価です。利用中のAIサービスや自社開発AI、AIエージェントの設定を継続的に評価し、リスクを可視化します。 

これらの機能によって、企業はAI利用状況を把握するだけでなく、継続的なAIガバナンスを実現できます。 

AIセキュリティプラットフォームの評価、選定にあたって 

AIセキュリティ市場は急速に拡大しています。一方で、多くの製品が「AI対応」を掲げており、その違いは分かりにくくなっています。そのため、製品を比較する際には、いくつかの評価ポイントを確認することが重要です。 

まず確認したいのは、どこまでAIを可視化できるかです。サードパーティ製AIだけではなく、組み込みAI、自社開発AI、AIエージェントまで対象としているかを確認する必要があります。 

次に、AI利用ポリシーを柔軟に適用できるかどうかです。部署や利用目的に応じたポリシー設定や、コンプライアンス要件への対応も重要な評価項目です。 

さらに、AI利用中のリスクをリアルタイムで制御できるかも確認すべきでしょう。誤検知が少なく、業務を妨げない運用が可能かどうかも重要になります。 

最後に、リスク評価機能です。高リスクなAIサービスやAIエージェントを継続的に評価し、改善につなげられるかを確認することが重要です。 

結論 

生成AIの普及によって、企業が保護すべき対象は大きく変化しています。従来のセキュリティ対策は、現在でも重要な役割を果たしています。しかし、AIとのインタラクションやAIエージェントなど、新しい利用形態への対応は十分とは言えません。こうした背景から生まれたのがAIセキュリティプラットフォームです。AI利用を可視化し、ガバナンスを適用し、AI特有のリスクを継続的に管理することは、今後の企業にとって重要なテーマになるでしょう。 

AIセキュリティプラットフォームにはどのような機能が求められるのか。既存のCASBやDLPとは何が違うのか。また、製品を評価する際にはどのような点を確認すべきなのか。当社のウェビナーでは、これらのポイントを具体例を交えながら詳しく解説しています。AIセキュリティの基本から評価のポイントまで知りたい方は、ぜひご視聴ください。 

シャドーAI時代の新常識：AIセキュリティプラットフォームの選び方 | 今すぐ見る