シリーズ「AI時代のセキュリティ対策」の10回目、最終回です。10月21日に公表されたPHPの脆弱性をきっかけに、9回にわたって今すぐできる対策をお伝えしてきました。最後は、これから広がっていく「AIに仕事を任せる道具」と、その権限の管理です。
最近のAIのサービスには、会社のメールやカレンダー、クラウドのファイルにつないで、メールの下書きや資料の要約、予定の調整まで任せられるものがあります。AIが自分で手順を考えて操作を進める「AIエージェント」と呼ばれる仕組みも広がり始めています。
とても便利な一方で、AIにつないだ瞬間から、そのAIは社員と同じように、会社の情報を読んだり送ったりできる立場になります。
しかも、AIは人と違って、疲れずに大量の操作を一瞬で行えます。権限が広いまま誤った指示に従ってしまうと、人が気付く前に多くのメールが送られたり、ファイルが共有されたりするおそれがあります。便利さが大きいほど、権限の決め方が大切になります。
「すべてのメールを読む・送る」「すべてのファイルを見る」といった広い権限を、深く考えずに許可してしまうことがあります。必要な範囲に絞るのが基本です。
AIが読み込んだメールやホームページの中に、AIに向けた悪意のある指示が仕込まれていることがあります。AIがその指示に従って、情報を外に送ったり、意図しない操作をしたりするおそれが指摘されています。
試しに使ってみたAIのサービスが、つながったまま放置されていることがあります。社員が個人の判断でつないでいる場合は、会社が把握していないこともあります。
3回目で紹介した社内のAI利用ルールに、「会社のメールやファイルにAIをつなぐときは、事前に担当者に相談する」という1行を加えておくと、把握できないつながりを減らせます。AIに渡す権限は、新しく入った社員に渡す権限と同じように考えるのが分かりやすい目安です。
たとえば、メールを要約してくれるAIをつなぐ場合でも、「読むだけ」の権限にして、送信はできないようにしておけば、万一だまされても被害は限られます。予定の調整を任せる場合も、確定する前に人が確認する設定にできるサービスがあります。いきなりすべてを任せるのではなく、権限の小さいところから試し、安全を確かめながら範囲を広げていくのがおすすめです。
AIによって、攻撃は速く、巧妙になっています。しかし、狙われている弱点の多くは、パスワードだけのログイン、更新していない機器、確かめずに動いてしまう習慣など、以前からあるものです。かけ直しのルール、多要素認証、機器の更新、戻せるバックアップ、アカウントの棚卸し。10回でお伝えした基本の対策を、一つずつ進めていきましょう。
エムズショップは、名古屋の企業のネットワークを管理する立場から、これからも必要な情報をお届けします。対策の進め方に迷ったときは、お気軽にご相談ください。アカウントの見直しは9回目のコラムもあわせてご覧ください。
ネットワークとセキュリティのご相談は、名古屋のエムズショップへ
セキュリティ機器・UTM
機器の選定から設置・運用・保守まで。補助金を使える場合もあります。
ネットワーク管理代行
社内のパソコン・ネットワークをまとめてお預かりします。窓口が1つで済みます。
創業20年、名古屋市北区清水に実店舗があります。名古屋市全16区と愛知県内に対応。ご相談・お見積りは無料です。
エムズショップのUTM（ウイルス・不正アクセス対策）
20名程度までの事務所は、レンタル月5,000円〜（税抜）で導入できます。機器・初期設定・保守・ライセンスまで月額に含みます。
