シャドーIT対策では、禁止したい既知のアプリをブラックリスト化することで、その利用を抑制できます。一方、生成AIサービスはほとんどがWebブラウザを使って利用しますので、Webフィルタリングの延長でアクセスを一律禁止にすることもできるでしょう。しかし、生成AIサービスのURLを全て登録し、一律禁止にするというのはあまりお勧めできません。筆者が生成AIならば、「じゃあ、個人のスマホを使いましょう！」と答えます。そうではなく、「何を入力してはいけないか」という点をしっかりと学ぶ／学ばせることこそが重要です。従来のシャドーIT対策にも、そのような観点を入れ込む必要があるでしょう。

　そして、生成AIサービスの利用は、アタックサーフェス（攻撃対象領域）の管理という観点からも見ることができるかもしれません。利用するならば、うまく守り、管理する必要があります。生成AIサービスの多くはクラウドサービスとして提供されていますので、クラウドサービス管理に加え、社内情報を外に持ち出さないというDLP（Data Loss Prevention）的な観点も必要でしょう。生成AIのセキュリティ対策は、これまでやってきたものの延長線上にあり、何も新しいことを考える必要はない、という視点で取り組むのがよいと思います。

　生成AIは、業種や業態、規模を問わず、業務効率を爆発的に上げる最高の相棒になり得ます。だからこそ、「隠れて使う」のをやめ、正しくリスクを理解して堂々と使いこなせるように、場を整備する必要があります。そのためには、まず従業員自身がそのリスクを学ぶことも必要でしょう。今こっそりと使っている方は、生成AI利用の“アンバサダー”になり得る人でもあるはずです。組織で安心して利用できる生成AIサービスの実現のため、正攻法で上申してみては？

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！