お知らせ

NRIセキュア、「フロンティアAI対応プロアクティブ脆弱性診断」のデータ取り扱い体制を強化

～Amazon Bedrockを活用し、診断対象のソースコードを国外に出さずに分析～

NRIセキュアテクノロジーズ株式会社

PDFダウンロード (479KB)

NRIセキュアテクノロジーズ株式会社（以下「NRIセキュア」）は、「フロンティアAI対応プロアクティブ脆弱性診断」サービス（以下「本サービス」）1において、Amazon Web Services（AWS）が提供する生成AI基盤サービス「Amazon Bedrock」を活用することで、取り扱うデータの処理を日本国内で完結させる体制をこのたび構築しました。

診断対象のソースコードやシステム構成情報を日本国外に出さずに、フロンティアAI2を活用した診断サービスの提供が可能となったことで、金融分野や公共部門などの重要インフラをはじめとする厳格なデータ管理要件を持つ企業・組織においても、安心して本サービスを利用できます。

フロンティアAIで使用されるデータの国内保持・機密性への社会的要請

生成AIの業務利用にあたっては、「データが国外のデータセンターへ送信されること」、「入力した情報がAIモデルの学習に利用されること」、「第三者に情報を閲覧されること」などの懸念点が指摘されています。特に重要インフラ事業では、データを国内に保持し、その取り扱いを自組織の管理下に置くことが、AI導入の必須条件となる場合があります。NRIセキュアは、こうした社会的要請に応えるため、Amazon Bedrockの日本国内リージョンを活用したデータ取り扱い体制を新たに整備しました。

強化したデータ取り扱い体制の概要

Amazon Bedrockは、AWSが提供する生成AI向けのクラウドサービスで、日本国内のリージョン（東京・大阪）でフロンティアAIを活用することができます。本サービスでは、Amazon Bedrock上で米国Anthropic PBC（以下「Anthropic」）の最新フロンティアAIモデルを用いた一次分析と、NRIセキュアの専門家による精査を組み合わせて診断を実施します。診断業務は、厳格なアクセス管理・情報管理体制のもとで実施し、さらにAI活用におけるデータの取り扱いに関する懸念に対しては、以下の3点で対応します。

1.国外へのデータ移転の防止

本サービスでは、ソースコードやシステム構成情報など、機密性の高い情報を取り扱います。診断対象のデータは、NRIセキュアが契約するAmazon Bedrockの日本国内リージョンで処理する構成とし、国外のデータセンターへ転送されることはありません。これにより、データの越境移転に関する規制や社内ポリシーに適合した形での運用が可能です。

2.意図しないAIモデルへの学習利用の防止

Amazon Bedrockでは、入力されたデータは、フロンティアAIモデルの学習・再学習には利用されません。そのため、診断対象のデータがフロンティアAIモデルに取り込まれて、外部に流出することを防止できます。

3.基盤運用担当者による閲覧の防止

Amazon Bedrockでは、クラウドサービス提供者のアクセスを制限する「Zero Operator Access（ZOA）」と呼ばれるアーキテクチャを採用しており、AWSの運用担当者による不必要なデータ閲覧を防ぐ保護構造となっています。これにより、第三者からのアクセスを防ぎ、情報漏洩のリスクを構造的に低減します。

NRIセキュアは、フロンティアAIの利用が防御目的かどうかを審査する、Anthropicの「Cyber Verification Program（CVP：安全な防御利用のための審査制度）」3の承認を受けており、フロンティアAIを活用したサイバーセキュリティ対策の強化に重点的に取り組んでいます。今後も、AI活用の拡大に伴い、高度化・複雑化するサイバーリスクに対応するため、先進的なAI技術と豊富なセキュリティ知見を融合したサービスを提供し、企業・組織が安全にAIを活用できる環境づくりに貢献していきます。

  • ※本リリース内に記載されている会社名、製品名、サービス名は、各社の商標または登録商標です。
  1. 1本サービスの詳細については、NRIセキュアの次のWebサイトをご参照ください。
    https://www.nri-secure.co.jp/service/solution/proactive-vulnerability-assessment
  2. 2フロンティアAI：大規模なデータと計算資源を用いて開発された、極めて高度な能力を持つ最先端の生成AIモデルの総称。従来のAIを大きく上回る汎用的な推論・分析能力を備え、セキュリティ診断のような専門的な判断を要する領域での活用が期待されています。
  3. 3Cyber Verification Program（CVP）：Anthropicが提供する、防御目的のセキュリティ専門家・組織を対象とした審査・認定プログラム。認定を受けた組織は、脆弱性分析をはじめとする、通常は制限される高度なセキュリティ関連の用途において、AnthropicのフロンティアAIモデルを正当なサイバーセキュリティ防御活動のために利用できます。