守る
認証、権限、秘密情報、データの扱いを、必要な範囲に制限する。
AIアプリ開発のセキュリティーAIアプリを、
AIアプリを、
安心して業務で使うために。
セキュリティーは、難しい設定を後から足すことではありません。誰が、どの情報を、どこまで使えるかを決め、確認し続けることです。非エンジニアがAIで業務アプリをつくる際に、まず押さえたい考え方をまとめました。
セキュリティーの考え方安全とは、
安全とは、
「誰が何をできるか」を決めること。
AIがアプリをつくる力を助けても、利用者、情報、公開範囲を決めるのは人です。設定任せにせず、制限が働くことを確かめ、問題が起きたときに止めて戻せるようにします。
気づく
操作やエラーを記録し、異常や想定外の利用に早く気づく。
立て直す
バックアップ、復旧手順、連絡する人を決め、止めて戻せるようにする。
最初の確認
つくる前に、5つを決める。
技術の名前を覚える前に、アプリの利用条件を言葉にします。ここが曖昧なままでは、必要な対策を選べません。
- 01
誰が使うか
社内だけか、特定の取引先か、一般公開か。管理する人と使う人も分けて考えます。
- 02
何の情報を扱うか
公開情報、業務情報、個人情報、機密情報、認証情報のどれを扱うか。必要な情報だけに絞ります。
- 03
どこまで公開・連携するか
公開URL、スマートフォン利用、外部サービスやAIとの連携先を確認します。
- 04
止まる・漏れると何が起きるか
業務への影響、利用者への影響、顧客との約束を考えます。
- 05
会社のルールはあるか
利用中のGoogle・Azure環境、アカウント管理、顧客規程、保存場所や保持期間を確認します。
公開前のチェック
「動く」だけでは、公開しない。
公開する前に、最低限ここを確かめます。全ての案件に同じ設定を当てはめるのではなく、利用範囲と情報の重要度に合わせて選びます。
ログインと権限
未ログインの人は入れないか。一般利用者が管理画面や他の人の情報を見たり変更したりできないか。
秘密情報
APIキー、パスワード、認証情報がソースコード、画面、ブラウザーに出ていないか。
データと外部連携
必要以上の情報を集めたり公開したりしていないか。AIや外部サービスへ送る情報と送信先を確認したか。
入力・エラー・テスト
想定外の入力、権限のない操作、エラー時にも、情報を出さずに正しく拒否できるか。
ログと復旧
誰が何をしたかを確認できるか。異常を知らせる方法、バックアップ、復旧の手順と担当が決まっているか。
運用と見直し
退職・異動・利用終了時にアカウントを止められるか。権限、設定、更新の履歴を定期的に見直すか。
本番と検証環境を分け、秘密情報の直書きや一時的な全開放設定を本番に残さないことは、公開前の基本です。
対策の深さを選ぶ
利用の広がりに合わせて、確認を増やす。
社内で使う
利用者と役割を限定し、ログイン・権限・秘密情報・バックアップの基本を整えます。
取引先・お客様も使う
個人情報、組織ごとのデータ分離、管理者の権限、監視・連絡手順を追加で確認します。
一般公開・高い影響がある
公開範囲、外部からの入口、可用性、規制・契約要件、第三者の診断や専門家レビューを含めて検討します。
法令、契約、顧客規程、クラウドサービスの仕様を、このページだけで判断することはできません。実装前に現行の公式情報と自社のルールを確認してください。
AIへ安全に依頼する
機能だけでなく、確認条件も伝える。
AIに実装を依頼するときは、最初からセキュリティーの前提を渡します。
依頼に含めること
- 利用者：社内、取引先、一般公開のどれか
- 扱う情報：個人情報・機密情報・認証情報の有無
- 環境：Google Cloud、Firebase、Azureなどと本番・検証の区別
- 権限：管理者・一般利用者・組織ごとに、何ができるか
- 連携：外部APIやAIへ渡す情報、送信先
- 完了条件：権限テスト、秘密情報の確認、ログ、バックアップ、手動確認事項
迷ったら、止めて確認する
専門家や担当者につなぐ場面。
次のような場合は、自己判断で公開・本番反映を進めず、専門家・顧客側の担当者・クラウド事業者の公式情報へつなぎます。
- 要配慮個人情報、医療・金融・人事評価など、影響の大きい情報を扱う
- 複数の企業・お客様ごとに情報を分けて提供する
- 独自のログイン・暗号化・複雑な権限設計が必要になる
- 法令、契約、監査、データの保管場所について判断が必要になる
- 侵害や情報漏えいの疑いがあり、初動対応が必要になる
よくあるご質問
よくあるご質問
セキュリティーは、開発の最後に確認すればよいですか。
公開直前だけでは遅れることがあります。誰が使うか、何の情報を扱うか、外部とつなぐかを企画段階で整理し、試作・公開前・運用の各段階で確認します。
AIに「安全に実装して」と頼めば十分ですか。
十分ではありません。利用者、扱う情報、公開範囲、役割ごとの権限、利用環境、確認したいテストを具体的に伝えます。AIの提案は、設定画面・テスト結果・公式情報で確認します。
社内だけで使うアプリにも対策は必要ですか。
必要です。社内利用でも、アカウントの管理、役割ごとの権限、秘密情報の扱い、ログ、バックアップは確認します。社外提供や個人情報を扱う場合は、要件に応じて対策を追加します。
公開前に判断が難しいときはどうしますか。
未確認のまま公開しないことが大切です。法令・契約・高い機微性の情報、複数企業への提供、複雑な権限設計などは、クラウド事業者の公式情報やセキュリティー専門家、顧客側の担当者へ確認します。
伴走支援の資料請求支援内容と料金を、
伴走支援の資料を請求する支援内容と料金を、
社内でじっくり検討するために。
AIアプリ開発の伴走支援について、
プラン・研修・進め方・事例をまとめたサービス資料をお送りします。