貴社で利用されている生成AIについて、「いつ・誰が・どの生成AIを利用しているか」を把握できていますか。
生成AIの業務利用が急増する一方で、情報システム管理者が把握できない「シャドーAI」も増加しています。利用条件を確認しないまま業務データが外部送信されるケースもあり、情報漏えい・規約違反などのリスクが高まっている点は見過ごせません。
本記事では、生成AIの活用を止めることなく、安全に利用を継続するために、Cloudflare の「Security for AI」がどのように役立つのかをエンジニア視点でご紹介します。
対策としては3段階
-
STEP1：可視化
「承認ステータス別」に利用状況（アクセス数・通信量など）を可視化し、問題の大きさや増加傾向を把握します。
STEP2：定義
可視化結果をもとに、各AIツールを「承認／非承認／要確認（審査中）」のどれに分類するか、優先度を検討・判断します。
STEP3：制御
定義した承認ステータスに基づき、非承認AIツールへのアクセスを SWG（Secure Web Gateway）機能で制御します。
この3ステップを繰り返すことで、実態に基づいて利用ルールと対策優先度を見直せるようになり、
シャドーAIを「組織として管理可能な状態」へ移行しやすくなります。
それでは、各ステップの詳細を見ていきましょう。
STEP 1：可視化
-
可視化（クイックチェック）：AI Security Reportで全体傾向を短時間で把握
AI Security Report は、現状把握のための「簡易チェック」として使いやすい点が特長です。承認ステータスごとのアクセス数・通信量を時系列で確認でき、増加傾向を追いやすくなっています。さらに、アクセスされたAIツールを上位5件までランキング表示できるため、「どのツールが目立つか」を素早く把握できます。
一方で、ユーザ単位（誰が・どれだけ・何を使っているか）の把握はできません。個別の深掘りには、次に紹介する 「Shadow IT: SaaS Analytics」 の利用が必要です。
たとえば AI Security Report で「非承認の比率が増えている」「特定ツールが急増している」といった兆候をつかみ、次段階で SaaS Analytics によりアプリ／ユーザ単位で深掘りする流れがおすすめです。
-
可視化（深掘り）：Shadow IT: SaaS Analyticsでアプリ／ユーザ単位まで追跡
Shadow IT: SaaS Analytics は、シャドーAIの実態把握を日々の運用に落とし込むための可視化に適しています。AI Security Report と同様に、承認ステータスごとのアクセス数・通信量を時系列で確認でき、推移を継続監視しやすい点が特長です。
加えて、アプリランキングを上位25件まで表示できるため、上位5件では埋もれがちな「広く薄く使われているツール」も把握しやすくなります。さらに、ユーザ単位で利用状況（誰が・どれだけ・何を使っているか）を確認できるため、ヒアリングや是正依頼の起点を作りやすくなります。
また、アプリごとに「通信量が多い」「利用ユーザ数が多い」「特定ユーザに偏っている」など、事実に基づいて切り分けられるため、全社的に止めるのか、段階適用にするのか、承認検討を先に行うのかといった判断と優先順位付けが容易になります。
この可視化結果を、そのまま次ステップの 「Application library（承認ステータス定義）」 や「SWG（アクセス制御）」 の意思決定につなげやすい点も評価されています。
STEP 2：定義
-
定義：Application libraryで承認ステータスを付与し、線引きを統一
可視化だけではシャドーAIの利用は抑えられません。次に必要なのは、「どのAIツールをシャドーAI（非承認）とみなすか」という組織内の線引きを統一することです。
Application library では、アプリケーションごとに承認ステータスを設定できます。運用上は、たとえば以下のように整理できます。
- 利用を許可する：Approved
- 禁止したい：Unapproved
- 判断保留：In review
STEP 3：制御
-
制御：SWGで「非承認AI」へのアクセスを遮断
SWG 機能により、承認ステータスに基づいたアクセス制御を適用できます。これにより、「把握したものの放置される」状態を避け、非承認ツールの利用を運用として抑止しやすくなります。
適用は段階的に進められます。たとえば、非承認ツールの中でも「通信量が多いもの」「利用者が多いもの」から優先的に制御するといった進め方が可能です。
制御後は、SaaS Analytics などで非承認ツールの利用が減ったか、別ツールへ移行したかを確認し、変化に応じて制御対象を見直すサイクルへ戻せます。
いかがでしたでしょうか。想像していたよりも簡単に制御できると感じていただけたら幸いです。 IIJ Globalでは、SASE/SSEの商材比較や、運用の方向けの個別のデモなどを、お客様のご検討状況に応じて随時実施しております。ぜひお気軽にお問い合わせください。
