最新セキュリティマネジメント（第60回） AI悪用リスクにどう備えるか――情報セキュリティ10大脅威2026から学ぶ企業対策

リスクマネジメント 働き方改革

公開日：2026.06.04

　多くの企業で生成AI（Generative AI）の活用が広がっている。メールのテキスト、録音データの文字起こし、会議の議事録、企画書の作成などでその効果を実感している従業員も多いはずだ。しかし、一方で意図せずに機密情報を流出させてしまったり、悪意を持ったサイバー攻撃者がAIを利用して生み出した新たな罠に陥ってしまったりすることもある。企業としてこうした新たなリスクにどう対応すれば良いのだろうか。

資料DLバナー_セキュリティおまかせ.png

企業を脅かすAI利用の3大リスク

　AIの利用に伴うリスクが、独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威2026」の組織編第3位にランクインした。それによればAI利用に伴うリスクは大きく3つに分けられる。

　1つ目は、利用者の不注意による機密情報の流出だ。企画のアイデア出しの壁打ち相手に生成AIを活用していて、社内の機密情報を生成AIサービスに渡してしまい、それが第三者に情報として提供されてしまうなどのケースが挙げられる。

　2つ目は、AIからもたらされた誤った情報による被害だ。生成AIは相手の要求に応えようとするあまり、嘘の情報を作り出してしまうハルシネーションという現象を起こすことがある。それをうのみにして提案してしまうと取引先に迷惑をかけることになる。

　3つ目は、AIによって高度化された攻撃によるセキュリティインシデントの発生だ。誰かになりすましたメールが送信されてきたり、本物と見間違えてしまうような詐欺ページに誘導されたり、より複雑なシナリオの攻撃を受けたりすることがある。

　こうした被害を防ぐために企業として取るべき対策を、「社内ルールの設計とガバナンス」、「業務プロセスと教育への組み込み」、「社内システム監査とモニタリング」という3つの観点からまとめた。リスクに対応するための体制整備をする上で参考にしてほしい。

A．社内ルールの設計とガバナンス

　AIを安全に業務利用するためには、まず経営層や管理部門が主導して明確なルール（AIガバナンス）を定める必要がある。

1．シャドーAIを禁止して公式の利用環境を整備する

　従業員が個人的に利用している生成AIが業務に使われると、意図せずに社内の情報を流出させてしまう恐れがある。こうした未承認の生成AI利用（シャドーAI）を防ぐためには、業務で安全に利用できる生成AIサービスを検討して提供する必要がある。

2．AIサービスの利用規定を作成して周知徹底する

　社内で利用するAI事業者を選定するための「AI事業者ガイドライン」など、社内の利用規定を整備する。実際の利用にあたっての情報の扱い方や、入力データが学習に使われないような設定方法も提示しておきたい。また、違反した場合のペナルティーも明確にしておく。

3．契約内容を細かく確認して相談窓口を確保する

　AIサービスを導入する際には、事前に契約内容を精査してリスクがないかをしっかり確認しておきたい。特にデータの取り扱いや責任範囲は十分に確認する。また著作権侵害や情報漏えいなどのトラブルに備えて、社内外の専門家による相談窓口を確保しておこう。

B．業務プロセスと教育への組み込み

　生成AIの特性（ハルシネーション等）に起因する業務上のミスや、AIを悪用した高度な詐欺（ソーシャルエンジニアリング＊）を防ぐためのプロセスを設計する。

＊ソーシャルエンジニアリング：技術的な手段ではなく、人間の心理や行動の隙を突いて機密情報を騙し取ったり、不正な操作をさせたりする手法の総称。

1．従業員教育を義務化する

　生成AIには前述のハルシネーションという現象がある。機密情報の入力が情報漏えいにつながるメカニズムも含め、AI利用に伴うリスクについての従業員全員を対象に基本的な教育を実施する。AI利用についてのライセンス制度を取り入れている企業もある。

2．決裁・承認プロセスを強化する

　従業員を教育してもAIで高度化されたサイバー攻撃を完全に防ぐのは難しく、ハルシネーションを防ぐための真偽チェックも漏れが生じやすい。安全性の確保が難しいという前提に立ち、ダブルチェックなど決裁や承認のプロセスを強化しておこう。

C．システム監査とモニタリング

　ルールが遵守されているかを確認し、未認可の利用や不正アクセスを防ぐための技術的なけん制・監査体制を整備する。

1．利用状況を把握してシャドーAIを検知する

　IT資産管理ツールや構成管理ツールを利用して、通信ログやクラウドの利用状況を自動的に把握する。A-1で禁止を定めたシャドーAIなど、ルールに違反した利用が検知された場合にアラートが通知される仕組みを構築しておこう。

2．AIシステムのアクセス管理を強化する

　AIへのアクセス権限を設けて、パスキーや多要素認証を取り入れることで、セキュリティを確保する。同時に既存のセキュリティ体制全般を継続的に点検し、全体としてのセキュリティレベルを高めておこう。

※掲載している情報は、記事執筆時点のものです。

執筆＝高橋 秀典

【TP】

セキュリティおまかせプラン

あわせて読みたい記事

「リスクマネジメント」カテゴリーから探す

連載バックナンバー

最新セキュリティマネジメント

もっと見る

カテゴリー　一覧