【入門編】 サプライヤーセキュリティ評価におけるAIベンダーのデューデリジェンス – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド

こんにちは！IT担当になったばかりの頃って、次から次へと新しいツールや言葉が出てきて、頭がパンクしそうになりますよね。「生成AIを使ってみよう！」なんて会社から言われても、セキュリティのセの字も分からない状態だと、何から手をつけていいか途方に暮れてしまうのは当然のことです。

今回は、最近のトレンドである「外部のAIサービスを安全に導入・評価する方法（サプライヤーセキュリティ評価）」について、身近な例えを交えながら一歩ずつ優しく紐解いていきたいと思います。難しい専門用語も噛み砕いてお話ししますので、ぜひリラックスして読んでくださいね。

—

1. 家の鍵に例える「AIベンダーのセキュリティ」

突然ですが、みなさんは自分の家を建てるとき、あるいは賃貸で借りるとき、どんな点を確認しますか？
「頑丈な玄関の鍵がついているか」「窓ガラスは割れにくそうか」「オートロックや防犯カメラはあるか」など、泥棒に入られないための備えを必ずチェックしますよね。

外部のAIサービスを使うことも、これとまったく同じなんです。

自社のパソコンやスマホから、便利な生成AI（たとえば、文章を自動で作ってくれるサービスなど）のサーバーへ、大切な会社のデータ（お客様の情報や開発中のプログラムなど）を送り出すとします。このとき、AIサービスを提供している会社（ベンダー）のセキュリティーがガバガバだったらどうなるでしょうか？

  • 泥棒（攻撃者）が窓から侵入して、送ったデータを盗み見していく
  • お店の金庫（AIのデータベース）の鍵が壊れていて、他の人にもデータが丸見えになってしまう

こんな事態が起きたら大変ですよね。だからこそ、「このAIサービスは、ちゃんと頑丈な鍵（セキュリティ対策）を使っているか？」を事前にしっかりチェックする必要があるのです。これが、セキュリティの世界で言う「デューデリジェンス（入念な調査・リスク評価）」というものになります。

—

2. AIベンダーを評価するときに確認すべき3つのポイント

では、具体的にどんなところをチェックすればいいのでしょうか？ISO/IEC 27001やNIST（アメリカ国立標準技術研究所）といったセキュリティの国際的なお墨付きをベースに、新人の担当者でも押さえておきたい3つのポイントを挙げてみますね。

① データの取り扱いと「学習」への利用

ここが一番の落とし穴です。私たちがAIに入力したデータが、そのAI賢くするための「教科書（学習データ）」として勝手に使われていないかを確認する必要があります。
もし機密データをそのまま入力してしまい、それがAIの学習に使われてしまったら、別のユーザーが質問したときに、あなたの会社の秘密がポロッと答えとして出てきてしまう危険性があるんです。

② 通信と保存データの暗号化

データを送るとき（通信中）や、AI側のサーバーに保存されているとき、ちゃんと金庫に入れたように「暗号（解読できない文字列）」に変換されているかを確認します。鍵がかかっていない透明なケースに入れっぱなしになっていないかがポイントです。

③ 責任分担の明確化（「もしも」のときのルール作り）

これが今回のテーマのもう一つのキモです。「もしAIサービスのせいで情報漏洩が起きたら、どちらが責任をとるのか」を契約書や規約でハッキリさせておく必要があります。

—

3. 実務で使える！安全なAPI連携の実装例

セキュリティのルールや評価が終わったら、次は実際に自分たちのシステムから安全にAIサービス（API）を利用するための実装を考えてみましょう。

今回は、Webアプリケーションから安全にAIサービスへリクエストを送る際の、PHPを用いたサンプルコードを用意しました。セキュリティ事故を防ぐための工夫をコード内のコメントで丁寧に解説していますので、参考にしてみてください。

<?php
/**
 * 安全に外部AIサービスのAPIを呼び出すサンプルコード (PHP)
 * 
 * 【セキュリティのポイント】
 * 1. APIキーなどの秘密情報は、ソースコードに直接書かずに環境変数から読み込む
 * 2. 通信には必ずHTTPS（暗号化通信）を使用する
 * 3. 送信してはいけない機密情報（個人情報やパスワードなど）が含まれていないか事前にフィルタリングする
 */

// 1. 環境変数から安全にAPIキーを取得する（ソースコードへのハードコーディング厳禁！）
$apiKey = getenv('AI_VENDOR_API_KEY');
if (!$apiKey) {
    // キーが取得できない場合は処理を中断し、エラーログを記録する
    error_log('セキュリティエラー: AIサービスのAPIキーが設定されていません。');
    http_response_code(500);
    exit('システムエラーが発生しました。');
}

// 2. ユーザーからの入力を受け取る（例として、問い合わせ内容とする）
$userInput = $_POST['user_message'] ?? '';

// 【重要】送信データのフィルタリング
// ここで正規表現などを用いて、クレジットカード番号や電話番号などの機密情報が含まれていないかチェックします
if (preg_match('/\d{4}-\d{4}-\d{4}-\d{4}/', $userInput)) {
    http_response_code(400);
    exit('エラー: 機密情報（カード番号など）が含まれているため送信できません。');
}

// 3. AIサービスへ送信するリクエストデータの構築
$url = 'https://api.example-ai-vendor.com/v1/generate'; // 必ず https:// から始まる安全な通信先を指定
$data = [
    'prompt' => $userInput,
    'max_tokens' => 150
];

// 4. cURLを使った安全なHTTPリクエストの送信
$ch = curl_init($url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($data));
// 外部通信時のセキュリティ確保（SSL証明書の検証を有効にする）
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);

// ヘッダーに認証キーを設定
$headers = [
    'Content-Type: application/json',
    'Authorization: Bearer ' . $apiKey
];
curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);

// 実行とレスポンスの取得
$response = curl_exec($ch);

// 通信エラーのチェック
if (curl_errno($ch)) {
    error_log('API通信エラー: ' . curl_error($ch));
    curl_close($ch);
    http_response_code(502);
    exit('AIサービスとの通信に失敗しました。');
}

curl_close($ch);

// 5. 結果の安全な出力
// XSS（クロスサイトスクリプティング）を防ぐために、htmlspecialcharsでエスケープ処理を行います
$responseData = json_decode($response, true);
$aiAnswer = $responseData['answer'] ?? '回答を取得できませんでした。';

echo "<div>AIからの回答: " . htmlspecialchars($aiAnswer, ENT_QUOTES, 'UTF-8') . "</div>";
?>

—

4. セキュリティヘッダーでブラウザ側からも守りを固める

サーバー側のコードだけでなく、Webブラウザ側で動くアプリケーションを作る際には、ブラウザのセキュリティ機能（セキュリティヘッダー）を正しく設定することが大切です。

たとえば、サーバーからのレスポンスヘッダーに以下のような設定を入れることで、悪意あるスクリプトが勝手に動くのを防ぐことができます。

# 【セキュリティヘッダーの設定例】
# 不正なスクリプトの実行や、許可されていないドメインへのデータ送信を厳しくブロックします
Content-Security-Policy: default-src 'self'; connect-src 'self' https://api.example-ai-vendor.com;
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
  • Content-Security-Policy （CSP）の connect-src ディレクティブにおいて、自社サイト以外で通信を許可する先を https://api.example-ai-vendor.com のように信頼できるAIベンダーのURLだけに限定することで、万が一コードが改ざんされても不正な外部サーバーへデータを盗まれるリスクをグッと減らすことができます。

—

まとめ：一歩ずつ、確実に安全な環境を作っていこう

外部AIサービスの導入やサプライヤー評価というと、何枚もの分厚いチェックシートや、難解な英語の規約を思い浮かべて気が遠くなってしまうかもしれません。

ですが、基本はいつだってシンプルです。

  • 「うちの大切なデータは、どこに送られて、どう扱われるのか？」
  • 「万が一のトラブルのとき、相手はどこまで責任をとってくれるのか？」

この2つをしっかり確認し、今回紹介したようなコードレベルでの安全対策（環境変数の利用や入力値のチェック、通信の暗号化）を一つずつ丁寧に積み重ねていけば、怖がる必要はまったくありません。

セキュリティ対策に「完璧」はありませんが、昨日より今日、今日より明日へと少しずつ守りを固めていくことは確実にできます。
新人のみなさんも、焦らず一歩ずつ、安全で便利なシステムづくりを楽しんでいきましょうね！

スポンサーリンク

コメント

タイトルとURLをコピーしました