生成AI・AI開発のセキュリティ支援
生成AIを使うほど、最初に決めるべきは「何を入力してよいか」「誰が何にアクセスできるか」です。plan8は不安を煽らず、中小企業が続けられる現実的な対策を一緒に設計します。
支援の考え方
完璧なゼロリスクを約束するのではなく、事業に必要な速度を落とさず、取り返しのつかない事故を減らすことを目指します。ルールは短く、現場が守れる形に落とします。
主な支援項目
入力してよい／いけない情報
個人情報、お取引先情報、未公開の財務・原価、契約条件などを分類し、ツールごとの利用可否を決めます。
個人情報・機密情報の取り扱い
保存場所、共有範囲、匿名化の要否、外部AIへの送信可否を業務単位で整理します。
アカウント管理
個人アカウントと会社アカウントの分離、退職時の停止手順を決めます。
権限設計・認証
最小権限、管理者の限定、多要素認証の要否など、運用可能な粒度で設計します。
APIキー・秘密情報
リポジトリへの直書き禁止、環境変数やシークレット管理の置き方を整えます。
ソースコード管理の公開範囲
非公開／公開の判断、共同作業者の権限、変更履歴の保護など、最低限の運用ラインを設定します。
開発と本番の分離
検証用データと本番データの混在を防ぎ、接続先の取り違えを減らします。
ログ管理・バックアップ
何を残し、何を残さないか。障害時に戻せる最小限のバックアップ方針を決めます。
AI生成コードのレビュー
そのまま本番に載せない前提で、レビュー観点（秘密情報、権限、依存関係）を共有します。
依存ライブラリと脆弱性
更新方針と、危険度の高い依存の見方をチームで揃えます。
社内AI利用ガイドライン
1枚で読めるルールから始め、例外の相談先を明確にします。
CLAUDE.md / AGENTS.md
AIコーディングツールが守るべき制約を、プロジェクトの文書として残します。
進め方の例
- 現状把握使っているAI、保管しているデータ、開発の有無を棚卸しします。
- リスクの優先順位起こりやすさと影響の大きさで、先に潰す項目を決めます。
- ルールの文書化ガイドラインと開発用ドキュメントに落とし込みます。
- 環境への反映権限、秘密情報、リポジトリ設定を実装します。
- 運用チェック定期的に逸脱がないか見直し、ルールを更新します。
よくある質問
生成AIは社内で使わない方が安全ですか？
利用を止めるだけでは安心しきれないこともあります。影で個人利用が広がる方がリスクです。使える範囲を決めて可視化する方が現実的です。
個人情報を扱う業務でも導入できますか？
可能です。入力禁止の明確化、社内閉域の選択肢、人による確認工程など、業務に合わせた設計が前提になります。
セキュリティ監査や認証取得も頼めますか？
方針設計と運用整備が中心です。公的認証の取得代行が必要な場合は、専門機関との連携を検討します。