AIを活用した開発へのセキュアなパス (Japanese Edition)

第4章 　次なる展開

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

これまでの章では、AIリスクの現状、データが示す内容、そしてガバナンス、ツール、セキュリティ対策を含む包括的なAI信頼プラットフォーム構築の青写真について見てきた。本章では、組織が現状から安全なAI駆動開発の未来へと進むためのロードマップを示す。

将来を見据えた開発のための提言

表4-1は、信頼できるAI開発プログラム構築の第一歩となる重要な手順を関数別に分類したものである。これらの手順は、最優先で取り組むべき行動を示す。成功する信頼プラットフォーム構築の詳細については、第3章を参照のこと。

表4-1. 開発手法を将来に備えるための第一歩

機能	アクション
リーダーシップ	AIガバナンスプログラムを構築する。 新たな規制や基準を随時追跡する。
DevSecOps	CI/CDセキュリティ対策の拡張準備を整える。 新たなAI開発環境にセキュリティ対策を導入する。 セキュリティを考慮したプロンプトエンジニアリングの実践を構築する。 セキュリティを確保したデフォルトモデル指示を確立する。
AppSec	AIの使用状況を監視し、文書化する。
SOC	インシデントレスポンス計画を更新し、AI関連のインシデントを含めるようにする。

これらの基本措置を講じることで、追加的な統制を構築するための強固な基盤が確立されるが、実装に際して過度の混乱を招くことはない。

ガバナンスプログラムの構築

クラウド導入の経験から、ガバナンスは広範な導入後に後付けで追加できるものではなく、使用とともに成長させなければならないことが明らかになっている。合意形成やポリシー策定に必要なオーバーヘッドや組織的な調整のため、このステップを遅らせたくなるかもしれないが、ポリシーを定義しAIを管理下に置くことは、危険性管理において不可欠な要素である。

具体的な行動ステップは以下の通りだ：

• 組織がAIを導入する理由を定義し、期待されるROIを文書化する。高レベルの目標を調整し、定義した戦略を公開する。これにより、収集すべきテレメトリ、許容可能なリスクレベル、成功の尺度など、戦術的な意思決定に情報を提供できる。
• AIツールの使用、モデルの選択、トレーニングデータソースに関する初期ポリシーを定義する。ここでの成功の指標は、例外承認プロセスの使用頻度から得られる。ボトルネックになる場合はポリシーが厳しすぎる可能性があり、全く使用されない場合は緩すぎる（あるいはプロセスが回避されている）可能性がある。
• エンジニアリング、プラットフォーム、セキュリティチーム全体でAI推進者を特定し権限を与える。理想的な推進者は、AI活用への健全な関心と、コラボレーションと柔軟な姿勢を兼ね備えている。後者の方がより重要性があるかもしれない。
• AIツール、コーディングアシスタント、サードパーティモデル向けに軽量な承認ワークフローとインベントリを確立せよ。ほぼ全てのセキュリティシナリオと同様、ここでもバランスが重要だ。最大限のイノベーションを促進する放任主義の自由放任と、速度を犠牲にしてセキュリティを最大化する過剰なロックダウンの間にある。そのバランスは、各社のビジネスパラメータに依存する。 個々の脅威プロファイルとリソースを考慮し、可能な限り広範なホワイトリストを作成することを推奨する。イノベーションとエッジケースを許容するため、例外プロセスプロセスはより慎重に設計すべきだ。 ...