AIセキュリティとは？守る対象を3つ⁠に分けて中小企業向けに整理する

AIセキュリティとは、AIの利用に伴う情報漏えい、AIそのものへの攻撃、AIを悪用した攻撃から会社を守る取り組みのことです。守る対象を「AIに入れる情報」「AIを狙う攻撃」「AIを使う攻撃」⁠の3つ⁠に分けると、自社に関係するものから順に手を付けられます。

今日は、社内で使っているAIサービスを書き出し、それぞれ会社のアカウントか個人のアカウントかを確かめてください。名前が分からないものは、部署の人に聞けば足ります。この一覧が、3つ⁠のどれを先に見るかを決める材料になります。

なぜ今、AIセキュリティが話題になっているのか

IPAの情報セキュリティ10大脅威 2026では、組織編の3位⁠に「AIの利用をめぐるサイバーリスク⁠」⁠が初めて入りました。解説書は、AIへの理解が足りないことによる情報漏えいや権利侵害、結果をうのみにして起きる問題、AIの悪用による攻撃の容易化や巧妙化を挙げています。

1つ⁠の項目に性質の違う話が入っているので、そのまま読むと「何をすればいいのか」⁠が見えにくくなります。社員の入力の話と、外部の攻撃者の話では、担当も対策も違うからです。

順位の読み方にも注意が要ります。同じ解説書は、組織向けの順位は対策の優先順位ではないとし、自組織の環境に照らして優先する脅威を整理するよう求めています。3位だから3番目に取り組む、という読み方はしません。

ルール作りが追いついていない会社は少なくないと見られます。少し古い数字ですが、IPAの2024年3月の調査では、AIを業務で利用中または利用予定の人1,000人⁠のうち、生成AIのセキュリティに関する規則の策定や明文化、組織的な検討がされているという回答は20%未満でした。

3つ⁠の対象と、自社に関係する順

順番は、社内の使い方で決まります。多くの中小企業では、次の順に見れば大きく外しません。

3つ目を最後にしているのは、軽いからではありません。社内データにつながっていないAIなら、被害の出方が限られるからです。つないだ時点で順番は上がります。

1つ目：AIに入れる情報をどう守るか

社員が業務データをAIに入れる場面が、いちばん身近な入口です。IPAの解説書は、業務データを個人のAIサービスに入力すれば情報漏えいにつながり、会社が個人アカウントの利用を把握できないこともリスクだとしています。これをシャドーAIと呼びます。使ってよい道具を会社が用意するシャドーAI対策⁠に進め方をまとめました。

解説書が紹介する米国のAI企業の調査では、業務で生成AIにデータを貼り付けて入力している利用者が77%で、そのうち82%⁠は組織に管理されていないアカウントでした。日本の中小企業にそのまま当てはまる数字ではありませんが、会社から見えない利用が起こり得ることは分かります。

個人情報の場合は、法律の問題にもなります。個人情報保護委員会の2023年6月⁠の注意喚起は、本人の同意なく個人データをプロンプトに入力し、応答の出力以外の目的で扱われる場合は、法律に違反する可能性があるとしています。入力前に、提供事業者が機械学習に使わないことなどを確認するよう求めています。実際に入力してしまったときの動き方は、社員がChatGPTに個人情報を入力してしまったときの対応⁠に分けました。

ここでの対策は、製品より先に決めごとです。

• 会社として使うAIサービスと、アカウントの種類を決める
• 入れてはいけない情報を、自社の言葉で具体的に書く
• 外部サービスでは、入力データを学習に使わない設定になっているか確かめる
• 利用規約と契約の内容を確かめ、変わったときの担当を決める

人数が増えて決めごとだけでは追えなくなったら、DLP（情報の持ち出し対策）⁠の製品比較で、外部への送信を検知したり制限したりする仕組みを見ます。

2つ目：AIを使う攻撃にどう備えるか

攻撃者がAIを助手として使う話で、自社がAIを使っていなくても関係します。IPAの解説書は、翻訳能力の向上で、フィッシングの文面を標的の母国語で違和感なく表現しやすくなったと説明しています。日本語の不自然さで詐欺メールを見分ける方法には、頼りにくくなります。

国内でも、警察庁の令和7年上半期の資料に、生成AIを一部悪用して構築した大手ECサイトのフィッシングサイトを公開した事件の検挙が載っています。

攻撃の工程そのものの自動化も報告されています。IPAの解説書は、国家支援型とされる攻撃者がAIを悪用し、偵察や認証情報の窃取を含む工程の80〜90%⁠をAIが自律的に実行したという、AI開発会社の調査をコラムで紹介しています。

ただ、やることが全部変わるわけではありません。同じコラムは、AI固有の弱点を突く攻撃を除くと、事例の大部分は従来の攻撃がAIで半自動化、高速化されたものにとどまり、従来の対策が有効だと説明しています。IPAが挙げているのは次のようなものです。

• 多要素認証を徹底する
• 決裁や承認に複数人のチェックを入れる
• 既存の対策全般を点検し、必要なら強化する
• 最新の手口を把握し、被害を受けたときの報告先と体制を決めておく

製造業なら、たとえば取引先を名乗る「振込先変更」⁠のメールが自然な日本語で届く場合を考えます。文面では見分けられないとすれば、頼れるのは決め事です。登録済みの電話番号へ折り返す、2人⁠で承認する、といった手順なら、文面の出来に左右されません。社員への周知には、セキュリティ意識向上サービスの比較も材料になります。

基本の点検には、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠に付属する「5分⁠でできる！情報セキュリティ自社診断⁠」⁠が使えます。

3つ目：AIを狙う攻撃はいつ自社の問題になるか

AIが読む文書や、AIに渡した権限を悪用する攻撃です。代表がプロンプトインジェクションで、IPAの解説書は、AIが参照するデータに不正な指示が混ざっていると、それを取り込んで動いてしまう間接プロンプトインジェクションを説明し、技術的対策で完璧なものは知られていないとしています。

実例もあります。2025年6月⁠に報道されたMicrosoft 365 Copilotの脆弱性「EchoLeak」について、解説書は、外部から注入された不正なプロンプトで、Copilotにアクセスを許可した社内の秘密データが流出する可能性があったと説明しています。Microsoftの更新ガイド⁠によると、この脆弱性（CVE-2025-32711）について利用者が取る対応はありません。

自社の問題になる目安は、AIが次のことをできるようになったときです。

• 社内のファイル、メール、チャットを読める
• 外部から届いたメールやPDF、Webページを読む
• メールの送信やデータの更新など、操作までできる

たとえば、機械部品の会社が過去の図面や見積を社内AIチャットで検索できるようにした場合を考えます。誰がどの資料を読めるかという権限の設計が、そのままAIの守りになります。外部から届いたファイルも同じAIに読ませるなら、確かめる点が増えます。被害の形はプロンプトインジェクションで起きる被害の説明⁠で扱いました。

製品の検討はこの段階からで足ります。AIセキュリティ製品の比較を見るときは、守る対象が3つ⁠のどれなのかを先に確かめてください。同じ「AIセキュリティ」という名前でも、社員の利用を見える化するものと、自社で作るAIの入出力を検査するものでは役割が違います。

3つ⁠に入らないが、忘れてはいけないこと

AIの答えが誤っている問題は、攻撃がなくても起きます。IPAの解説書は、実在しない情報をAIが生成するハルシネーションへの注意を挙げ、米国で弁護士が提出した意見書に実在しない判例が引用されていた例を紹介しています。

検査成績書の数値、規格の番号、取引先へ出す仕様の説明のように、誤ると困るものは、元の資料と人が照合する決まりにしておきます。セキュリティ対策とは別枠に見えますが、社内ルールを作るときに一緒に書くと手間が減ります。

社内のルールを一から作らないために

ルールの土台には、公的な資料が使えます。総務省と経済産業省のAI事業者ガイドライン第1.2⁠版⁠は2026年3月31日⁠に公表され、チェックリストとワークシートも掲載されています。IPAの中小企業向けガイドラインには、情報セキュリティ関連規程のサンプルが付いています。

規程を厚くする必要はありません。この記事の分け方に沿って、使うAI、入れない情報、結果の確かめ方、困ったときの連絡先の4つ⁠をA4で1枚⁠に書けば、最初の版になります。AIの分野は変化が速く、IPAも数か月で状況が変わる可能性に触れているので、見直す時期も書いておきます。分野全体の整理はAIのセキュリティのカテゴリ⁠にまとめています。