シンパステクノロジー、中小企業経営者向けの生成AIセキュリティ対策ガイドを無料公開。AIに渡す情報と権限の決め方を解説
Springl からの転載です。元の記事
7月に設立され、AIの導入支援を手がけるシンパステクノロジー（東京都港区）は10月26日、中小企業の経営者に向けた「生成AIセキュリティ対策ガイド」を無料で公開した。どんな情報なら生成AIに渡せるかの判断基準と、AIにどこまで操作を任せるかを決める手順を、PDFで全20章・32ページにまとめた。
ガイドは、AIに渡す権限を業務に要るものだけに絞る方法を、例で説明する。メールの下書きを頼むなら、対象のメールを読むことと下書きを作ることだけを認め、月次の集計では、元のデータを書き換える権限を与えない。AIに送信や更新、削除をさせるなら、実行の前に人が中身を見て承認する形にし、承認していないメールを送れないことなどを使い始める前に確かめる検証項目も載せた。
情報の入力では、社内資料や顧客からのメールをAIに渡す前に、会社が認めた用途と情報の範囲に収まるかを確かめ、返信履歴や署名など要らない部分を除く手順を示した。ChatGPTやClaudeなど4サービスについては、入力内容を学習に使う設定や会話の共有設定を確かめる方法を載せ、学習に使わない設定にしても、データの保管期間や共有の条件は別に確かめる必要があるとした。ガイドにある各サービスの操作手順や条件は、10月11日から20日に確かめた情報に基づく。
利用を認めるAIと入力できる情報の範囲を決める社内規程の文例や、設定・点検を社内の担当者や外部の支援会社へ頼む際の文例も収めた。社員が辞めるときは、会社のIDを止めても終わりにせず、各AIサービスを使えなくなったことまで確かめるよう示している。
同社は、情報システムを専門に担う人が少ない中小企業の経営者でも対策をつかみ、社員や支援会社と組んで進められるよう作成したと説明する。背景として、不正アクセスで情報が漏れたと公表する国内の事例が相次ぎ、情報処理推進機構などが10月に対策の点検を呼びかけたことを挙げた。ただし、この注意喚起は生成AIが原因の事故を扱ったものではないと断っている。資料の入手には、同社サイトで社名や氏名、メールアドレスの登録が要る。
【プレスリリース】シンパステクノロジー「中小企業の経営者向け「生成AIセキュリティ対策ガイド」を無償公開しました」
【参照サイト】情報処理推進機構「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
