第9回 生成AIのセキュリティ― Copilot の情報漏えい対策

エージェント機能の拡大にあわせて、企業では、生成AIのセキュリティをもう一度見直す機運が高まっています。そこで今回は、生成AIのセキュリティを Copilot の情報漏えい対策の観点から見てみます。

Copilot の研修を実施すると、必ず同じ問いが出ます。「見えてはいけない資料が、AIの回答に混ざって出てこないか」といったような情報漏えい問題に対する懸念です。

AIの活用には、便利さと同じだけ、安全に使うためのルールが必要です。企業でAIを展開する際の基本ルールは、「人が決めて、人が守る」運用です。しかし、人は忘れ、間違いを起こします。また、どうしても問題の発生をゼロにすることはできません。そのためには、何が起きたのかを事後確認できるログをはじめ、AI活用の仕組みを支えるテクノロジーの導入・活用が欠かせません。

Copilot を活用する場合、新たなソリューションを開発する必要がなく、既存の Microsoft 365 のセキュリティやガバナンス機能を利用できることは大きなメリットです。

MKTインターナショナル株式会社　CEO／代表取締役社長：赤井 誠

最初に確認すべきは「過剰共有」

Copilot を導入する前、また、導入後でも、特に重要なのが、過剰共有の確認です。

過剰共有とは、本来アクセス権を持つ必要のないユーザーに対して、閲覧権限や編集権限が付与されている状態を指します。

以前なら共有範囲が広すぎるファイルがあっても、URLを知らなければ見つけにくいものでした。しかし Copilot 導入後は、アクセス可能な情報を横断検索できるため、次のような情報が見つかりやすくなります。

• 全社員に公開されたサイト
• 古い共有リンク
• 終了済みプロジェクトや異動・退職者に残る権限

過剰共有された状況で、Copilot を導入した場合、ユーザー本人がアクセスできる機密情報を、Copilot が検索・要約して回答に含める可能性があります。

重要な点は、 Copilot を導入したから情報が漏れるのではなく、もともと見えていたものが検索で知らぬ間に出やすくなることで、リスクが高まるということです。機密性の高いサイトを Copilot の検索対象から外す仕組みも用意されているので、点検してください。

乗っ取りや侵入を防ぐ第一歩のID管理

Copilot は、いま操作しているのがユーザー本人だという前提の上で動作します。Copilot が回答の材料にできるのは、依頼した本人が閲覧権限を持つ情報だけで、権限を飛び越えて社内のデータを覗くことはありません。そのため、乗っ取りが発生すると、そのままそのユーザーの権限が攻撃者の権限の範囲になります。

しかも Copilot を利用すると、乗っ取ったアカウントでAIに「契約関係の資料を集めて要約して」と頼めば、従来は手作業で探し回る必要のあった情報収集を Copilot が肩代わりしてくれます。

ここでまず考えるべきは、Entra ID の活用です。

Entra ID は、会社のシステムやデータに「誰がアクセスできるか」を管理する仕組み (ID管理) です。

Entra ID は、企業のユーザー・部署・役職やアクセス権をディレクトリとして一元管理します。ディレクトリとは、社員名簿や組織名簿のようなものです。例えば、社員の名前、部署名、勤務地、役職といった情報を管理します。ユーザーは、Microsoft 365 にアクセスすると、Entra ID が「この人は本当に本人か？」「このファイルを見てよいか？」を確認しています。

Copilot を企業で導入するならば、全ユーザーの多要素認証（MFA）は最低条件です。

Entra ID には「条件付きアクセス」があります。ユーザーのサインイン状況を確認し、許可、追加認証、ブロックを自動で判断する関所のような機能です。アクセスする人、場所、端末、アプリをもとに、海外からのアクセス拒否、未管理端末の制限、不審なサインインの遮断などのルールを設定できます。

秘密度ラベルで見てはいけない人に見せない

「人が、渡してはいけない情報をAIに渡してしまう」「AIが、見せるべきでない資料を回答の材料にしてしまう」「AIが作った成果物が、機密の区分を失ったまま外へ出ていく」といったことを防ぐには、Microsoft Purview の活用がおすすめです。

Microsoft Purview には、情報を保護するためのさまざまな機能があります。

まず、実施すべきは秘密度ラベルの整備です。

秘密度ラベルは、ファイル、メール、Teams のチャットや会議などに「公開」「社外秘」「人事部限定」といった機密区分を付ける仕組みです。単なる分類名ではなく、必要に応じて暗号化、閲覧者の制限、外部共有の制御、透かしやヘッダー表示などの保護も組み合わせられます。

Copilot は、ユーザーに許可された情報だけを参照し、秘密度ラベルや暗号化で設定された権限を尊重します。たとえば、社外秘ラベルで保護された資料をもとに新しい文書を作る場合、対応する環境では最も厳しいラベル＝社外秘が成果物に引き継がれます。もし、その人がそのファイルを社外に間違って送信したとしても、社外の人は、暗号化されていてファイルを読むことができません。

これにより、AI が作った下書きや要約にも、元データの機密区分を保ったまま扱いやすくなります。

DLP（データ損失防止）― 情報の誤送信・誤共有を防ぐ

DLP（データ損失防止）は、個人情報や機密情報が、メール、チャット、ファイル共有、生成AIのプロンプトなどを通じて不用意に外部へ出ることを防ぐ仕組みです。あらかじめ設定したルールに基づき、カード番号、個人番号、社外秘ラベル付きファイルなどを検知し、警告、送信制限、ブロックといった対応を自動で行います。

Copilot では、ユーザーがプロンプトに機密情報を入力した場合や、機密ラベルが付いたファイルやメールを回答の材料にしようとした場合に、DLPポリシーで利用を制限できます。これにより、AIの便利さを保ちながら、見せるべきでない情報が要約や回答に含まれるリスクを抑えられます。

導入時は、最初からすべてをブロックするのではなく、まず警告から始めるのが現実的です。検知された内容と現場の影響を確認しながら、本当に止めるべき操作だけを段階的にブロックへ引き上げることで、業務を止めずに情報漏えい対策を強化できます。

監査ログで情報を追跡

監査ログは、Microsoft 365上で誰が、いつ、どの操作を行ったかを記録する仕組みです。Copilot やAIアプリの利用についても、ユーザーの操作、管理者の設定変更、回答作成時に参照されたファイルやサイトなどの情報が記録されます。

たとえば、「社外秘ラベルの資料が Copilot の回答に使われたか」「特定の期間に誰が機密ファイルへアクセスしたか」といった点を後から確認できます。問題が起きたときに原因を追跡するだけでなく、過剰共有や不適切な利用の傾向を把握し、ルールや権限設定を見直す材料にもなります。

記録はライセンスに応じた期間保持され、本文の確認まで必要な調査では eDiscovery を使います。保持期間を延ばしたいときは、有償で延長できます。

社内に展開するときは、これらの記録は監視のためではなく双方を守るためだという目的を規程で明示し、何が残るかを開示してください。「知らないうちに見られている」という不信は、利用の萎縮を招きます。

段階的に締め、定期的に見直す

設定のさじ加減も重要です。DLP も条件付きアクセスも強力なぶん、厳しくしすぎると正当な業務まで止まり、現場は抜け道を探し始めます。定石は、まず警告から始め、検知の記録と現場の反応を見ながら、本当に止めるべき操作だけをブロックへ上げることでしょう。

締めた設定は定期的に見直しをおすすめします。四半期に一度、許可しているフォルダとコネクタの一覧、DLP の検知傾向、利用状況レポートを並べれば、締めすぎと緩みの両方が見えます。

情報漏えい対策は、AI専用の新しい防御を発明することではなく、すでにある仕組みをAIという新しい経路に当てはめ直して育てていくことです。

コラム：AIに対するサイバー対策は「端末の信頼性」から見直す時期に

IPAが公表した「情報セキュリティ10大脅威2026」では、組織向け脅威の1位は前年に続き「ランサム攻撃による被害」でした。2位は「サプライチェーンや委託先を狙った攻撃」、3位には初選出となる「AIの利用をめぐるサイバーリスク」が入りました。攻撃対象が自社システムに留まらず、取引先や業務で使うAIにまで広がっています。

こうした状況で見落とされがちなのが、足元の端末です。リスクの中心は「見える範囲」と「デバイスの信頼性」にあります。アクセス権限の設計が甘ければ情報漏えいにつながり、本人確認だけを強化してもデバイスが乗っ取られていれば意味がありません。起動前の領域やファームウェアの改ざんは、OS側からは検知しにくいという厄介さもあります。誰が何を実行したかを記録し、後から確認できる状態にする説明責任も伴います。

だからこそ、信頼の起点をハードウェアに置く考え方が重要になります。Windows 11 で必須になった TPM 2.0 は暗号鍵を専用チップで守り、起動時の状態を計測して改ざんを検知します。Copilot+ PC ではさらにセキュリティが強化されています。搭載された Microsoft PlutonはCPU に保護機能を統合し、物理的な攻撃の入口を減らします。これらを満たすSecured-core PC 認定によりハードウェアレベルの攻撃を防げます。上位のAIアプリケーション対策は、この土台があって初めて成立します。

加えて、AI処理の一部がデバイス側へ移りつつあります。応答性やオフライン利用の利点がある一方、一時ファイルを含むデータが端末に残ります。BitLocker による暗号化と準拠状態の確認を前提に、どの処理をデバイスで行い、どこからクラウドに任せるかを方針として決めておく必要があります。

デバイスの更新は、もはや情報システム部門だけの調達案件ではありません。経営リスクを下げる投資と捉え、機種選定の基準に「信頼の起点」を組み込むことが求められています。

※このコンテンツには日本HPの公式見解を示さないものが一部含まれます。また、日本HPのサポート範囲に含まれない内容や、日本HPが推奨する使い方ではないケースが含まれている可能性があります。また、コンテンツ中の固有名詞は、一般に各社の商標または登録商標ですが、必ずしも「™」や「®」といった商標表示が付記されていません。