> ## Documentation Index
> Fetch the complete documentation index at: https://ai.brokenguardrail.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 社内AIセキュリティガイドライン

> 組織のAI活用レベルに応じて統制を積み増す、社内AIセキュリティガイドライン策定の手順

社内でAIエージェントの利用が広がると、最初に求められるのがセキュリティガイドラインです。しかしSOC 2やISO 27001といった既存の認証は、Prompt Injection・無許可の行動実行・メモリポイズニングといったエージェント固有のリスクをカバーしていません。単一の標準に頼るのではなく複数の標準に役割を分担させ、組織のAI活用レベルに応じて統制を積み増していく構成が現実的です。

## 標準の5層モデル

出発点は、1つの標準で全部をやろうとしないという前提を関係者と共有することです。AIセキュリティの標準群は競合しているのではなく、次の5層で役割が分かれています。層ごとに1つずつ選び、活用レベルに応じて積み増す方が定着します。

| 層        | 問い           | 代表的な標準                                                                           |
| -------- | ------------ | -------------------------------------------------------------------------------- |
| 脅威分類     | 何が攻撃されるか     | OWASP Top 10 for LLM・OWASP Agentic AI Top 10・MITRE ATLAS                         |
| 評価       | どれだけ安全かを測る   | CSA Red Teaming Guide・評価メトリクスのIETFドラフト                                           |
| 実装統制     | どう守るか        | CIS Controls v8.1のCompanion Guide・OWASP MCP Security Cheat Sheet・CISAなど6か国の共同ガイド |
| マネジメント認証 | 組織として統治しているか | ISO/IEC 42001・ISO/IEC 27090(策定中)                                                 |
| 調達・相互運用  | 誰を信頼しどうつなぐか  | NIST CAISI・MCP / A2A                                                             |

## 現在地レベルの判定

判定軸は自律度とアクセス範囲の2軸です。人間の承認をどこまで必須にしているか、アクセスが読み取りだけか書き込みや基幹システムまで及ぶかで判定し、迷ったら高い方のレベルとして扱います。

| レベル        | 状態                         | 支配的なリスク                                   |
| ---------- | -------------------------- | ----------------------------------------- |
| Lv0 検討・PoC | チャットやコパイロットの利用が中心でツール実行なし  | シャドーAI・機微情報の入力                            |
| Lv1 アシスト型  | 社内データへの接続と読み取り。実行は人間がすべて承認 | Prompt Injection・情報漏えい                    |
| Lv2 限定自律   | 一部の書き込みやツール実行を自動化          | ツールの誤用・過剰なエージェンシー・Confused Deputy Problem |
| Lv3 本番自律   | マルチエージェント構成で顧客向け・基幹業務を担う   | カスケード障害・ローグエージェント・説明責任                    |

ガイドラインの適用範囲と粒度はこの判定結果に合わせます。全社一律の重厚な文書を目指すより、現在地のレベルと1段階先までを具体化する方が運用に乗ります。

## 土台の3点セット

レベルにかかわらず、最初に作る成果物は次の3つです。

1. **リスク用語集** : OWASP Top 10 for LLMとOWASP Agentic AI Top 10を関係者で読み合わせ、脅威の共通語彙を1枚にまとめます。
2. **AI利用ポリシーの骨子** : NIST AI RMFを参照して作成します。日本企業であればNIST AI RMFとクロスウォーク済みのAI事業者ガイドラインも合わせて参照します。
3. **エージェント台帳** : CIS Controlsの資産管理の考え方をAIに拡張したもので、台帳にないエージェントは未承認として即停止できるルールにします。

台帳とポリシーがないまま先のレベルへ進むのが最も多い失敗パターンです。CSAの調査では82%の組織が把握していなかったエージェントを発見しています。

## ガイドライン本体の章立て

章立てを決めるとき、各章に参照標準と成果物を必ず紐づけます。次の構成が出発点として使えます。

1. **目的・適用範囲・レベル定義** : レベル判定表をそのまま収録します
2. **AI利用ポリシー** : 学習利用の禁止事項・機微情報の入力・シャドーAIへの対応を定めます。無料プランの利用データがモデル学習に使われることによる間接流出は、組織内AI利用の最大のリスクです
3. **エージェント台帳とアイデンティティ管理** : エージェントごとに固有の非人間アイデンティティを発行して人間のIDと分離し、最小権限と短命なクレデンシャルを徹底します
4. **データアクセスと権限設計** : [Confused Deputy Problem](/ja/risks/confused-deputy-problem)への対策を軸に、機密データへのアクセス・外部との通信・信頼できないコンテンツの読み込みのうち同時に許すのは2つまでとするAgents Rule of Twoを取り入れます
5. **実装統制** : ツール定義のハッシュ固定によるrug pullの検知、ツールの戻り値をuntrustedとして扱うPrompt Injection対策、MCPサーバーどうしの分離といった既存ガイドで欠けやすい項目を明示します
6. **認可とHuman in the loop** : 操作リスクを3段階に分け、高リスクは人間のテイクオーバー、中リスクは都度承認、低リスクはセッション単位の承認とします。承認を求めすぎると承認疲れを招くため、削除・外部送信・データ共有のような機微アクションはモデルの判断の外側にある決定論的なポリシーで可否を判定します
7. **ログ・監視・監査** : 入出力の双方向ログを暗号化して保管し、ゲートウェイのログを相関IDで束ねて認可内容と実挙動の乖離を検知します
8. **ベンダー製エージェントの調達チェック** : SOC 2 Type IIやISO 27001のスコープ確認、ISO/IEC 42001の認証、OWASPやATLASへのマッピングとレッドチーミングの証跡を求めます。責任あるAI原則で構築したという自己表明しかない製品は赤信号です
9. **インシデント対応** : AI固有のインシデント種別の分類、ログ取得の体制、Playbookを整備します
10. **改訂プロセス** : 後述の更新トリガーを収録します

## レベル別の統制の積み増し

本文は1つのステップに1つの標準と1つの成果物を対応させる形式で書きます。参照すべき文書と完了の判定が明確になり、進捗を測れるようになります。

Lv1では読み取り接続を守ります。OWASP Agentic AI Top 10とMITRE ATLASによる脅威モデリング、CISのLLM向けCompanion Guideに沿った入力サニタイズと機微データの制御、非人間アイデンティティの発行、監査ログの設計が主なステップです。

Lv2では実行権限を統治します。CISのAgent向けとMCP向けのCompanion Guideの適用、3段階認可をまとめた認可マトリクスの作成、低リスクタスクからの漸進導入と可逆性・封じ込めの優先、CSAのガイドを参照したレッドチーミングを行います。

Lv3では説明責任を果たします。定量的な評価の導入、ISO/IEC 42001の取得または準拠、エージェント間通信の信頼境界の設計に加えて、AIMS文書・モデルカード・runbook・AI-BOMからなる監査パッケージを整備します。

## 改訂プロセスと更新トリガー

ガイドラインは作って終わりではありません。いつ見直すかを本文に明文化し、仕様や標準の更新を差分レポートとして起こして該当する章へ成果物付きで反映する運用にします。次のような出来事が更新トリガーになります。

* ISO/IEC 27090の正式公開に合わせてセルフアセスメントへ組み込む
* 評価メトリクスのドラフトが標準化団体で正式に採択されたら評価層の標準候補へ格上げする
* NIST CAISIのテストスイートやガイドラインの公開を調達要件と監査基準へ反映する
* MCPやA2Aのセキュリティ仕様の確定に合わせて信頼境界の設計を更新する

月次の脅威動向も見直しの入力になります。新しい攻撃手法が公開されたら該当する章の統制が有効かを確認します。

## 参考文献

* [OWASP Top 10 for LLM Applications](https://genai.owasp.org/llm-top-10/)
* [Agentic AI – Threats and Mitigations](https://genai.owasp.org/resource/agentic-ai-threats-and-mitigations/)
* [MITRE ATLAS](https://atlas.mitre.org/)
* [CIS Critical Security Controls](https://www.cisecurity.org/controls)
* [NIST AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework)
* [ISO/IEC 42001:2023](https://www.iso.org/standard/81230.html)
* [AI事業者ガイドライン](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html)
* [AIセーフティ・インスティテュート](https://aisi.go.jp/)
* [デジタル社会推進標準ガイドライン](https://www.digital.go.jp/resources/standard_guidelines)
* [The lethal trifecta for AI agents](https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/)
* [Agents Rule of Two](https://ai.meta.com/blog/practical-ai-agent-security/)
* [2026年のAI Securityの挑戦](https://hi120ki.github.io/ja/blog/posts/20260103/)