Niriakot Inc.

まず知っておきたい、守りの違い

会社の出口に検査所を置く、と考えてみてください。CDSは通り道、DLPは持ち出す中身と操作を管理します。CDRは、ファイルの危険な仕掛けを取り除く役目です。一つの対策だけで、すべてを守れるわけではありません。

「機密を外へ出さない」と「有害なファイルを入れない」は別の課題です。AIが読む文章に紛れた、不正な指示への対策も必要です。アクセス権やAIに許す操作の範囲も、合わせて確認します。

CDS｜異なる環境の間で、情報の受渡しを管理

クロスドメインソリューション（CDS）は、環境の境界を守る仕組みです。ここでの環境とは、守る情報や信頼の度合いが異なる領域です。社内と社外、重要情報を扱う区画と一般業務の区画などが当たります。

必要な情報だけを、決めた相手へ、決めた向きに渡します。原則として通さず、条件を満たす受渡しだけを許す考え方です。次は、設計時に検討する主な要素です。すべてのCDSが、同じ機能を備えるわけではありません。

• データ転送（許可した環境間での受渡し）。
• 方向制御（情報を流す向きの制限）。
• 承認（担当者による送信前の確認）。
• アクセス制御（利用者と権限の制限）。
• ファイル検査（形式・内容・構造の確認）。
• DLP（機密の持出し検査）との組合せ。
• CDR（ファイルの無害化）との組合せ。
• データダイオード（一方向通信の専用装置）。
• 監査ログ（受渡しや承認を後から確かめる記録）。

データダイオードだけでは、内容は守れません

データダイオードは、通信を物理的に一方向へ制限する装置です。逆向きの通信を防ぐ役割と、内容を検査する役割は異なります。一方向でも、機密情報や有害なファイルが通る可能性はあります。用途に応じて、内容の検査や利用者の確認を組み合わせます。ソフトで送信方向を制限するだけの仕組みとも区別します。

DLP｜機密情報の持出しを見つけ、抑える

データロスプリベンション（DLP）は、情報漏えいを防ぐための対策です。顧客情報や社内の秘密を見分け、持出しを監視・制限します。対象は、情報の内容と、その情報を扱う操作です。

• コンテンツ監視（文章やファイル内の機密の検査）。
• デバイス制御（USBなどへの保存の制限）。
• 印刷・コピー・画面キャプチャ（画面保存）の制限。
• メール・Web（閲覧や送信）の持出し対策。

内容と送信先を、両方確認します

氏名や連絡先だけでなく、顧客名や非公開の条件も対象になります。社内用語や文脈に含まれる秘密は、単語の検査だけでは見逃します。送信先、業務、担当者に合わせて、許可・警告・保留を決めます。必要以上に情報を集めないよう、監視対象と記録の扱いも整理します。

メールやWebでは、宛先や添付、投稿する内容を確認します。外部AIへの貼付けやファイル送信も、確認する経路に含めます。迷惑メール対策やウイルス対策は、DLPとは別に必要です。

印刷や画面保存の制限には、対応条件があります

制限できる操作は、製品、端末の基本ソフト、利用アプリで変わります。印刷を止められても、画面保存まで止められるとは限りません。すべてのDLP製品が、画面保存の制限に対応するわけではありません。別の端末での撮影など、技術だけでは防ぎ切れない持出しもあります。対象の操作と、残る抜け道を確かめてから導入します。

CDR｜ファイルを分解し、危険な仕掛けを除く

コンテントディサームアンドリコンストラクション（CDR）は、無害化の技術です。文書などを分解して調べ、許可した要素で作り直します。危険な仕掛けを残さず、使える内容を渡すことを目指します。

• ファイル分解（中の要素を取り出す処理）。
• 構造検査（形式や内部の作りの確認）。
• マクロ除去（文書内で動く自動処理の除去）。
• スクリプト除去（実行できる命令の除去）。
• 埋め込みオブジェクト（別の文書など）の除去。
• 検証した要素による、ファイルの再構築。
• サニタイズ（危険な要素を除く加工）。

実際に除去する要素は、製品・形式・設定により異なります。埋め込み要素は、取り除くか、無害化して残すかを決めます。ウイルスを探す検査とは違い、不要な実行機能を残さない方法です。

作り直すことで、使えなくなる機能もあります

必要なマクロや数式、書式が変わる場合があります。電子署名（改変の有無を確かめる仕組み）も、確認が必要です。原本と作り直した文書を分け、必要な内容が残るかを確かめます。暗号化や形式の違いで処理できないものは、保留や別の確認へ回します。検査できない原本を、そのまま代わりに通す運用は避けます。

CDRを通しても、文章に書かれた機密が消えるとは限りません。AIをだます文章が、必ず取り除かれるわけでもありません。機密の加工やAIに渡す内容の確認は、別の対策と組み合わせます。すべての攻撃や形式に対する、安全の保証ではありません。

NAIS｜会社の情報を、整えてからAIへ

ニリアコットAIサニタイズ（NAIS）は、AIへ渡す情報の加工を支援します。文章の加工と、加工した情報を渡す専用経路を合わせて設計します。単に名前を隠すだけでなく、会社ごとの共有ルールを整理します。

業務を絞り、渡してよい情報だけに

• 氏名・顧客名・案件名などの、会社別ルールを整理。
• 削除、仮名化（記号への置換）、送信保留を使い分け。
• 外へ出してよい項目だけを選ぶ構成を検討。
• 加工した内容を、担当者が社内で確認。
• 原文と復元用の対応表は、社内で管理する設計。
• 日時・担当者・ルールの版・結果の記録を設計。

仮名化は、完全な匿名化とは異なります。対応表や文脈から、元の相手が分かる場合があります。機密の原文を利用記録に残しすぎないことも、大切です。送信先のAIの保存条件や学習への利用条件も、別途確認します。

たとえば、顧客への返信案づくり

次は、実在のお客様の情報を使わない架空の例です。

社内には、顧客名、問い合わせ本文、非公開の値引き条件があります。NAISの個別設計では、顧客名を記号に置き換えます。非公開条件は除き、公開案内を使う返信案づくりに必要な情報へ絞ります。担当者が加工した内容を確認し、合意したAIへ渡す流れを検討します。

AIの回答も、担当者が社内で確かめます。必要なら、許可した項目だけを社内で元に戻します。顧客への送信は、別の業務として扱います。実際の対応範囲は、対象業務での検証後に決めます。

CDS・DLP・CDRと、NAISの関係

NAISは、機密を整理してAIへ渡すための製品です。DLPとは、情報の持出しを抑える目的の一部が重なります。CDRのファイル構造の無害化とは、別の役割です。NAISだけで、CDS・端末用DLP・CDRの全機能を担うものではありません。

通信の物理的な一方向化や、全端末の画面保存制限は別に検討します。Office文書などの無害化が必要なら、CDR製品との組合せも検討対象です。要件に応じて、それぞれの製品や既存設備との分担を考えます。

ご相談と、現在の提供範囲

個別相談・設計・検証のご依頼を受け付けています。標準ソフトは開発・提供準備中です。上記のNAISの機能は、個別設計で検討する内容です。初期の検討対象は、文章とCSV（表形式の文字ファイル）です。PDF・画像・Office文書は、別途検討する拡張対象です。

料金は個別見積りです。対象業務、形式、接続先、設置環境を確認してご案内します。対応する機能と、対象外の範囲を明確にしてから進めます。すべての機密を自動で見つけたり、漏えいをなくしたりする保証はありません。

ニリアコットAIサニタイズ（NAIS）の詳しいご案内

仕事に合わせて、守る範囲を決めましょう

最初から全社の仕組みを置き換える必要はありません。まず一つの業務を選び、次の内容を整理します。

• 課題：守る情報と、使いたいAIを決める。
• 原因：情報が通る経路と、確認の抜けを探す。
• 対策：加工・制限・承認・記録の役割を決める。

設計後は、架空の情報などで検証します。漏れの見逃しと、必要な仕事まで止める過剰な制限を確かめます。保留や例外の扱い、担当者、記録を残す期間も決めます。導入の効果は、情報の種類や使い方により異なります。

よくあるご質問

CDS・DLP・CDRは、どれか一つで十分ですか

目的が違うため、一つでほかの役割を置き換えられるとは限りません。情報を外へ渡す経路と、取り込むファイルの両方から考えます。すべてを導入するのではなく、業務に必要な守りを選びます。

「AIの学習に使わない」なら、そのまま送れますか

学習への不使用と、社外への送信は別の話です。送信先の保存条件、契約、権限と、渡す情報を確認します。必要な部分だけに絞って渡すことが基本です。

NAISは、認証済みのCDS装置ですか

NAISを、認証済みのCDS装置として案内するものではありません。データダイオードなどの専用装置の代わりでもありません。認証や保証水準の指定がある場合は、必要な条件を個別に確認します。

相談のために、機密の原文を送る必要はありますか

その必要はありません。対象の業務、情報の種類、困りごとからお聞かせください。実データを扱う必要がある場合は、範囲と方法を別途合意します。

AIセキュリティについて相談する

「何を守りたいか」「どの仕事でAIを使いたいか」をお聞かせください。情報の受渡し、持出し防止、ファイルの無害化を分けて整理します。NAISの個別設計も含め、必要な対策の組合せを考えます。

問い合わせには、機密の原文や実際の顧客情報を記載しないでください。「AIセキュリティ・NAISの相談」とご記入ください。

問い合わせフォームへ

ニリアコットAI特命室30分AI業務診断

AIセキュリティ・NAISについて相談する

参考資料

一般技術の説明には、以下の一次資料を参照しています。各資料は、NAISの対応機能や認証を示すものではありません。

豪州サイバーセキュリティ当局：CDSの基本Microsoft：端末の情報漏えい対策OPSWAT：ファイルの無害化と再構築

愛のアドバイス：まず、AIで扱う一つの業務から整理しましょう。