大規模個人情報漏洩から学ぶ教訓｜生成AI時代でも変わらないセキュリティ対策の基本

大規模個人情報漏洩から学ぶ教訓｜生成AI時代でも変わらないセキュリティ対策の基本

生成AIが情報漏洩を引き起こしているのか？

近年、大規模な個人情報漏洩が相次いで報道されている。

生成AIの登場により、サイバー攻撃の自動化や高度化が進み、攻撃者が短時間で巧妙な攻撃を仕掛けやすくなっていることは確かだ。

しかし、大規模な情報漏洩の原因を、すべて生成AIの登場に結びつけるのは適切ではない。

実際、情報漏洩につながる原因を見ていくと、生成AIが登場する以前から指摘されていた問題が少なくない。

• 初期設定の管理者パスワードを変更していない
• パスワードを平文で保存している
• OSやソフトウェアの脆弱性を放置している
• システム監視が不十分で、不正アクセスに気づかない
• 外部委託先のアカウントやアクセス権限を適切に管理していない

つまり、生成AIが攻撃のスピードや巧妙さを高める一方で、攻撃を許してしまう企業側の弱点は、以前から存在していたものも多いということだ。

1. 新しい脅威に目を向ける前に、基本対策を見直す

IPAが公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの第3位に初めて選ばれた。

一方、第1位はランサム攻撃、第2位はサプライチェーンや委託先を狙った攻撃である。

新しいAIリスクへの対応と同時に、従来からのセキュリティ対策を継続することが重要だ。

企業が最低限確認すべき対策を整理すると、次のようになる。

特に重要なのは、これらを一度実施して終わりにしないことだ。

セキュリティ対策は、導入することよりも、適切な状態を維持し続けることが難しい。

2. 生成AIで開発できることと、安全なシステムを作れることは違う

生成AIの進化により、専門的なプログラミング経験が少なくても、ソフトウェアを開発できる時代になった。

これは大きな技術革新である。

しかし、生成AIが動作するプログラムを作れることと、安全で信頼できるシステムを設計できることは同じではない。

例えば、システムには機能要件だけでなく、次のような非機能要件が存在する。

• セキュリティ：不正アクセスや情報漏洩を防げるか
• 性能：利用者が増えても適切な応答速度を維持できるか
• 可用性：障害が発生してもサービスを継続・復旧できるか
• 運用性：監視、バックアップ、更新を継続できるか

生成AIに開発を依頼する場合も、こうした要件を明確に指示し、生成された設計やコードを検証する必要がある。

「生成AIが作ったから大丈夫」ではなく、「生成AIが作ったものを誰が、どのように検証するのか」が重要だ。

3. 開発委託先は価格や開発力だけで選ばない

企業がシステム開発を外部に委託する場合、開発スピードや費用だけで委託先を選定するのは危険だ。

個人情報を扱うシステムであれば、少なくとも次の能力を確認したい。

• セキュリティを考慮したシステム設計能力
• 個人情報保護法など関連法令への理解
• 脆弱性診断やセキュリティテストの実施能力
• システム稼働後の監視・保守・障害対応能力

また、契約においても、セキュリティ要件、責任分担、インシデント発生時の報告義務、再委託の条件などを明確にしておく必要がある。

IPAが公開している「情報システム・モデル取引・契約書」などを参考に、自社の契約内容を見直すことも有効だ。

セキュリティ対策に必要な費用は、単なる追加コストではない。

企業の信用と顧客の個人情報を守るために必要な投資である。

4. セキュリティは設計段階から始まっている

情報漏洩対策というと、システム稼働後の監視やパッチ適用など、運用面に注目しがちだ。

しかし、セキュリティ対策は本来、システムの設計段階から始まっている。

特にAI搭載システムでは、従来の対策に加えて、必要に応じてAI固有のリスクへの対応も検討したい。

例えば、生成AIを利用するシステムであれば、機密情報の出力制御やプロンプトインジェクション対策などのガードレールが考えられる。

ただし、ガードレールを導入すれば安全になるわけではない。従来のアクセス制御や監視と組み合わせた多層的な対策が必要だ。

5. 最も重要なのは、長期間維持できる運用体制

システムは開発して終わりではない。

むしろ、数年、場合によっては十年以上続く運用期間のほうが長い。

その間には、担当者の異動、委託先の変更、ソフトウェアのサポート終了、新たな脆弱性の発見など、さまざまな変化が発生する。

だからこそ、運用開始前に次の点を明確にしておく必要がある。

1. 誰が管理するのか：システムとセキュリティの責任者を明確にする
2. 何を監視するのか：不正アクセスや異常を検知する仕組みを設ける
3. 誰が対応するのか：脆弱性やインシデントへの対応体制を整える
4. どう維持するのか：予算、人員、委託先を含めた継続的な運用計画を立てる

運用体制を維持できないシステムは、時間の経過とともにリスクが高まる。

技術的に優れたシステムでも、適切に管理されなければ安全性を維持することは難しい。

まとめ：生成AI時代だからこそ、基本に立ち返る

生成AIの登場によって、サイバー攻撃の手法やスピードは変化している。

しかし、企業が取り組むべきセキュリティ対策の基本が大きく変わったわけではない。

新しい技術が新しい脅威を生む一方で、情報漏洩を防ぐ土台は、これまで積み重ねてきた基本的なセキュリティ対策にある。

重要なのは、設計段階からセキュリティを考慮し、運用開始後も対策を継続することだ。

そして、新しいAI技術を導入する際には、従来のセキュリティ対策に加え、AI固有のリスクを評価し、必要な対策を組み合わせていく。

「安全なシステムを作ること」と「安全な状態を維持すること」は、どちらも欠かせない。

情報漏洩事故を他社の問題として捉えるのではなく、自社の設計・運用体制を見直す機会にすることが重要ではないだろうか。

• IPA：情報セキュリティ10大脅威 2026
• IPA：情報システム・モデル取引・契約書（第二版）