AIセキュリティ対策
生成AI・AIエージェントを安全に使うための支援
AIの導入が進むほど、「どこまでAIに渡していいのか」「誰が何を使っているのか」が見えにくくなります。うちはAI開発・AIエージェント開発を手がける立場から、AI導入時のリスク整理、生成AIの利用ガイドラインや情報セキュリティポリシーの策定、AIエージェントの権限設計、SCS評価制度・SECURITY ACTIONへの対応準備、社員研修までを支援します。脆弱性診断やペネトレーションテストは、提携する専門会社と連携して手配します。
Features
提供内容
ここでいう「AIセキュリティ」には大きく2つの意味があります。ひとつはAIを使うことで生まれるリスクへの対策（情報漏洩、誤情報、権限の乱用など）。もうひとつはAIを悪用した攻撃への備え（精巧なフィッシングメールやなりすまし）です。うちが中小企業向けに支援しているのは主に前者で、後者は社員研修の中で扱っています。
生成AI・AIエージェント導入で起きやすいリスク
生成AIのセキュリティ対策を考えるとき、まず押さえておきたいリスクは次のとおりです。
- 情報漏洩：顧客情報や社外秘の資料をそのまま入力してしまう。サービスや設定によっては、入力内容が学習に使われることもあります（設定方法は「ChatGPTに学習させない設定と情報漏洩対策」で解説しています）
- プロンプトインジェクション：Webページやメールに仕込まれた指示で、AIが意図しない動きをする。社内データにつながったチャットボットやエージェントほど影響が大きくなります
- シャドーAI：会社が把握していないAIツールを、社員が個人の判断で業務に使っている状態
- 権限の与えすぎ：AIエージェントにメール送信やファイル削除までできる権限を渡してしまう
- 誤った出力の鵜呑み：もっともらしい誤りを、確認せずに社外へ出してしまう
リスクの種類と社内でできる対策は「生成AIのセキュリティリスクと対策」で詳しくまとめています。
社内ガイドラインと情報セキュリティポリシー
対策の土台になるのが社内ルールです。ただ、ルールを厚くしすぎると誰も読まず、結局シャドーAIが増えます。うちが作るガイドラインは、「入力してよい情報・いけない情報」「使ってよいツールとプラン」「出力を社外に出す前の確認」の3点を中心に、A4数枚に収めることを目安にしています。
すでに情報セキュリティポリシーがある会社はそこにAIの項目を足し、ない会社は最低限のポリシーから一緒に作ります。生成AIガイドラインの書き方は「生成AIガイドラインの作り方」も参考にしてください。
シャドーAI対策は「禁止」より「受け皿」
シャドーAIは、たいてい「便利だから」「会社が用意してくれないから」という理由で起きます。全面禁止にしても、見えないところで使われるだけです。うちが勧めているのは、法人プランなど管理できる環境を用意して「ここなら使ってよい」という受け皿を作り、そのうえで利用状況を定期的に確認する進め方です。
AIエージェント・MCPの権限設計
AIエージェントは、外部ツールを操作して仕事を完了させるぶん、チャットAIよりも守り方が難しくなります。最近はMCP（Model Context Protocol）でエージェントと社内システムをつなぐケースも増えました。うちが開発時に必ず決めているのは次の4つです。
- エージェントに渡す権限は、その業務に必要な最小限にする（読み取りだけで済むなら書き込み権限は渡さない）
- 送信・削除・支払いなど取り返しのつかない操作は、人の承認を挟む（ヒューマン・イン・ザ・ループ）
- 何を読み、何を実行したかのログを残す
- 外部から取り込んだ文章は「指示」ではなく「データ」として扱う設計にする
自社でエージェントを作っている会社として、設計段階から一緒に考えられるのがうちの強みです。
SCS評価制度・SECURITY ACTION への対応
取引先から「セキュリティ対策の状況を教えてほしい」と求められる中小企業が増えています。経済産業省が進めている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」や、IPAの「SECURITY ACTION」（補助金の申請要件になっているものもあります）は、その回答の土台になります。
うちでは、IPAの「中小企業の情報セキュリティ対策ガイドライン」や「5分でできる！情報セキュリティ自社診断」をもとに現状を整理し、足りない項目を埋める計画づくりを支援します。全体像は「中小企業のセキュリティ対策ガイド」にまとめています。
社員研修
ルールを作っても、使う人が理由を理解していなければ守られません。研修では「なぜ入力してはいけないのか」を実際の画面で見せながら説明し、AIを使ったフィッシングメールの見分け方も扱います。AI活用研修と組み合わせることもできます。
うちがやること・やらないこと
正直に書いておくと、うちはセキュリティ専門の診断会社ではありません。担当するのは、AI導入時のセキュリティ設計、社内ルールづくり、AIエージェントの安全な実装、Webサイトの基本的な対策、研修です。脆弱性診断やペネトレーションテストが必要な場合は、提携している専門会社と連携して手配します。どこまでを社内で、どこからを専門家に任せるか、その切り分けから相談していただけます。
Benefits
導入効果
AIを止めずに守る
「禁止」ではなく「この範囲なら使ってよい」を決めて、現場の活用を続けながらリスクを下げる
作る側の視点で設計
AIエージェントを実際に開発している立場から、権限・ログ・承認フローまで具体的に設計
中小企業の規模に合わせる
大企業向けの重い体制ではなく、少人数でも回せるルールと仕組みを優先
Process
ご依頼の流れ
現状ヒアリング
使っているAIツール、扱っている情報、取引先からの要請などを確認し、リスクの全体像を整理します。
リスク診断・優先順位づけ
IPAのガイドラインなど公的な基準を参考に、対策が必要な項目と優先順位を決めます。
ルール策定・仕組みづくり
生成AIガイドラインや情報セキュリティポリシーを整備し、AIエージェントの権限設計や利用環境の整備を進めます。
研修・定着
社員研修でルールの理由を共有し、運用状況を定期的に見直します。診断が必要な場合は提携先と連携します。
Use Cases
こんな方におすすめ
Pricing
費用の目安
AIセキュリティ対策
個別見積もり
対象範囲・社員数によりお見積もり。脆弱性診断は提携先の見積もりによる
FAQ
よくある質問
Q.AIセキュリティ対策では何から始めればよいですか？
まずは社内でどのAIツールが、誰に、どんな情報で使われているかを把握することです。そのうえで、入力してよい情報の線引きと、使ってよいツールを決めます。ここまでなら大きな費用をかけずに始められます。
Q.生成AIの利用を全面禁止にしたほうが安全ですか？
おすすめしません。禁止しても、個人のスマートフォンやアカウントで使われる（シャドーAI）だけになりがちです。管理できる環境を用意して「この範囲なら使ってよい」と決めるほうが、結果としてリスクを下げられます。
Q.脆弱性診断やペネトレーションテストもお願いできますか？
うちでは診断そのものは実施していません。必要な場合は提携している専門会社と連携して手配し、診断結果を受けた改善策の検討や、AI・Webサイト側の修正をうちが担当します。
Q.SCS評価制度やSECURITY ACTIONの対応も相談できますか？
はい。公表されている要件をもとに、現状の対策状況を整理し、足りない項目を埋める計画づくりや社内ルールの整備を支援します。認証の取得や審査を代行するものではありません。
Q.セキュリティコンサルの費用はどのくらいですか？
対象範囲（AIツールの利用状況、社員数、Webサイトの構成など）によって大きく変わるため、初回のヒアリングで現状を伺ったうえでお見積もりします。脆弱性診断が必要な場合は、提携先の見積もりを合わせてご提示します。
Knowledge Hub
AIセキュリティの関連情報
生成AIやAIエージェントを安全に使うためのリスクと対策、中小企業が最低限やるべきセキュリティ対策、SCS評価制度やSECURITY ACTIONなどの制度、Webサイトの守り方をまとめました。