生成AIの安全利用は「監査ログ」で決まる｜情報漏洩を防ぐ3つのチェックポイントと運用設計
業務効率化や生産性向上を目的に、生成AIサービスの導入・活用を進める企業は、業種や規模を問わず増加しています。しかし、導入時のセキュリティ要件を確認する際、監査ログについては「ログ出力機能があるか」という点のみの確認にとどまり、取得できる情報の詳細や保存期間、追跡可能な範囲まで十分に検証されていないケースが散見されます。
この状態のまま運用を開始してしまうと、万が一の情報漏洩やインシデントが発生した際に、「誰が、いつ、どのような重要情報を送信したのか」を遡って調査できなくなるリスクが生じます。
このコラムでは、延べ37万人以上の業務データ分析実績を持つエルテスの知見をもとに、生成AIのセキュリティ統制で本当に求められるログ要件を解説したホワイトペーパーの概要をご紹介します。
従来の情報漏洩対策では見えない生成AI利用のリスク
これまでの情報漏洩対策は、「外部媒体へのコピー」「電子メールによる送信」「外部ストレージへのアップロード」など、ファイルやデータがシステムの境界を越えて移動するイベントを監視することを前提に設計されてきました。
しかし、生成AIの利用ではこの前提が成り立ちません。例えば、機密性の高い顧客情報や未公表の企画データを生成AIのチャット画面に貼り付け、翻訳や要約を行う場合、ファイル自体は社外へ移動しないため、従来の監視ツールでは検知が難しいケースがあります。
また、自社の共有ストレージやファイルサーバーと生成AIを連携する環境では、利用者が直接アクセス権限を持たない情報が、生成AIを介して参照・表示される可能性もあります。
こうした隠れたリスクを把握するには、生成AIが参照したファイルや処理内容まで記録する適切な監査ログが不可欠です。
▶ユーザーの検索行動が変化生成AI時代における新たな企業リスクとは【無料】ダウンロード
生成AIの監査ログは保存期間が重要
生成AIの導入検討で見落とされがちなのが、監査ログの保存期間です。
当社が公表済みの内部不正事例41件のうち、発生から発覚までの期間が判明した40件を分析したところ、不正発生から発覚まで30日を超えたケースは、最短側で数えても48％にのぼりました。期間に幅がある事例を中間値に置き換えて集計すると75％まで上がり、20％の事例では発覚までに180日以上を要していました。
内部不正は、退職時の事後監査や外部からの指摘をきっかけに発覚するケースも多く、発生から数ヶ月後に調査が開始されることがあります。そのため、生成AIサービスの標準ログ保持期間が短いと、いざ調査を開始したときにはすでに必要な証跡が失われ、原因究明や影響範囲の特定が困難になる可能性があります。
生成AIの監査ログで確認すべき3つのポイント
主要なクラウド型生成AIサービスでは、法人向けプランにおいて監査・コンプライアンス機能が提供されていますが、重要なのは「機能の有無」ではなく「運用の実効性」です。
具体的には、以下の3点を確認する必要があります。
どの粒度でログが残るのか
誰がどのような指示を入力し、生成AIがどの情報を参照し、どのような出力を生成したのかまで追跡できるか。
どれだけの期間ログを保持できるのか
インシデントの発覚が数か月後になった場合でも、必要な証跡を遡って確認できるか。
自社の監査基盤へ連携できるのか
SIEMやデータレイクなどへログを継続的に退避し、自社の監視・分析環境で管理できるか。
ホワイトペーパーでは、主要生成AIサービスの仕様をもとに、監査ログで何が分かるかを整理した8つの観点による比較マトリクス表や、導入検討時にそのまま使える「質問項目テンプレート」も掲載しています。
監査ログの限界と、システム・運用による仕組み化
実効性のあるガバナンスを実現するには、システムや業務プロセスそのものの中に、不正を抑止する統制の仕組みを組み込む必要があります。具体的には、以下のような対策が挙げられます。
ログの長期保管を実現する
ベンダが提供する標準の保持期間に依存せず、日次で自社の保管基盤へログを退避できる環境を整備する。
未承認の生成AIサービス利用を制御する
許可したサービス以外へのアクセスをプロキシなどの境界側で制御する。
業務フローに確認プロセスを組み込む
監査ログだけでは確認できない生成物の内容や利用状況について、重要文書ではAI利用の有無や人によるレビュー記録を承認プロセスに組み込む。
ただ、監査ログは一度設定すれば継続的に取得できるとは限りません。システムアップデートやライセンス変更などにより設定が変更され、ログ取得に漏れが発生するケースもあります。定期的にテストアカウントやダミーデータを利用し、必要なログ項目が想定通り取得できているかを確認する運用が重要です。
ホワイトペーパーでは、生成AIの安全な運用に向けたシステム設計上の具体的な対策や、実測検証を進めるための評価シナリオ、業務に組み込めるレビュー確認シートの例を紹介しています。
まとめ
このように、生成AIのガバナンス構築は、単に「ログ機能があるツールを選ぶ」だけでは完結せず、情報システム部門やセキュリティ担当者、さらには業務推進部門や経営層が一体となって取り組むべきテーマです。
自社のセキュリティ対策の再点検および安全な生成AI活用のために、ぜひ本ホワイトペーパーをお役立てください。
