生成AIを入れると、文章づくりも情報整理も目に見えて速くなります。ただ、多くの会社ではルールを決めるより先に「便利だから」と使う人が増えていきます。
社員が個人アカウントのChatGPTに議事録を貼る。顧客名の入った見積もりをそのままプロンプトに書く。こうした何気ない操作が、情報漏えいの入り口になります。さらに、AIで文面や声を似せる「なりすまし」も精巧になってきました。
だからといって、AIを禁止する規程を作っても業務は守れません。必要なのは、安全に使い続けるための書類と手順です。
3行サマリー
- AI時代の対策は、高い監視製品を買うことよりも、入力ルール・送金確認・初動連絡を文書にすることから始められます
- 最初に用意する書類は、生成AI利用規程、リスクチェックリスト、委託先確認票、なりすまし送金確認手順、インシデント初動フローの5点です
- 無料の30項目チェックリストと診断プロンプトを使えば、30日・60日・90日の順で担当者と期限を決められます
30項目のAI・サイバーセキュリティチェックリストを無料配布中。
AI時代のサイバー攻撃で何が変わったのか
2026年6月30日付の日本経済新聞朝刊によると、主要企業の81.1%がAIを利用したサイバー攻撃への対策投資を「大幅に増やす」または「やや増やす」と回答しました。内訳は、大幅に増やすが18.1%、やや増やすが63.0%です。
変わったのは攻撃の種類より、速さと量です。生成AIを使うと、自然な日本語のフィッシングメールを、多言語で、大量に作れます。IPAの「情報セキュリティ10大脅威2026」も、生成AIによって攻撃の頻度と平均的な技術水準が上がると説明しています。
守る範囲も広がりました。パソコンだけ守っても足りません。AIに入力する顧客情報、個人アカウント、APIキー、委託先が使うクラウド、そして退職者のログイン権限。ここまで棚卸しして、ようやく全体が見えます。IPAもAIの課題として、サプライチェーン攻撃、情報漏えい、データ改ざん、偽情報を挙げています。
参考資料：
- IPA「情報セキュリティ10大脅威2026」
- IPA「AIセキュリティ」
- 経済産業省「AI事業者ガイドライン 第1.2版」
- 参考：日本経済新聞 2026年6月30日付朝刊
中小企業にも関係がある理由
「うちは狙われるほどの会社ではない」と考えたくなります。しかし攻撃する側の見方は違います。守りの固い大企業に正面から入るより、取引のある中小企業を入り口にするほうが早いからです。
IPAの中小企業向けガイドラインは、中小企業が発注元企業への標的型攻撃の足掛かりにされる懸念をはっきり書いています。経済産業省も、自社だけでなく委託先やビジネスパートナーを含むサプライチェーン全体で対策するよう求めています。
実際にリスクになるのは、こうした日常の管理漏れです。
- 退職者のGoogleアカウントが残っている
- ChatGPTやGeminiを個人アカウントで業務利用している
- 顧客名や見積金額を、そのままプロンプトへ貼っている
- 外注先がどのAIサービスを使うか把握していない
- 振込先変更をメールだけで承認している
最後の1つは、AIなりすましと組み合わさると被害が大きくなります。警察庁は、取引先や経営者になりすますビジネスメール詐欺への対策として、送金依頼をメール以外の経路で確認するよう案内しています。折り返す先は、メール本文にある電話番号ではなく、名刺や社内台帳の連絡先です。
最初に作るべき5つの書類
分厚いセキュリティ規程を1冊作っても、事故の瞬間に開く人はいません。目的別に5つへ分けておくと、担当者が「いまどれを見ればいいか」で迷わなくなります。
1. 生成AI利用規程
誰が、どのAIを、何の業務に使ってよいかを決める書類です。最低限、許可サービス、入力禁止情報、個人アカウントの扱い、出力の確認方法、著作権、APIキー、事故報告を含めます。
目的はAIを縛ることではありません。「ここまでは入力してよい」という境界線を引くと、現場は安心して使えるようになります。
2. AI・サイバーリスクチェックリスト
いまの対応状況を確認する書類です。対応済み・一部対応・未対応の3段階で評価し、担当者、期限、完了を示す証跡を記録します。
IPAの「5分でできる！情報セキュリティ自社診断」は25項目です。本記事の配布版では、そこに生成AI、APIキー、シャドーAI、AIなりすまし、委託先利用を加えて30項目にしました。
配布版は、記事上部と本節末尾のダウンロードボタンから取得できます。
3. 委託先セキュリティ確認票
制作会社、税理士、クラウドベンダー、業務委託者が、自社の情報をどう扱っているかを確認する書類です。多要素認証、再委託、バックアップ、生成AI利用、事故報告の期限、契約終了時のデータ削除を項目に含めます。
長い付き合いで信頼している相手でも、情報の扱い方と責任の範囲は書面で残します。信頼と確認は別の作業です。
4. AIなりすまし・送金確認手順
経営者や取引先から、振込先変更、高額送金、緊急送金を頼まれたときの確認手順です。
基本は3つ。登録済み連絡先への折り返し、別経路での本人確認、複数人による承認です。メールや音声だけで手続きを完結させないこと、「急ぎだから」を理由に確認を飛ばさないことも明記します。
5. インシデント初動対応フロー
事故が疑われたとき、誰へ連絡し、何を止め、どの情報を残すかを決めておく書類です。端末の隔離、証拠の保全、パスワード変更、銀行への連絡、取引先への確認、警察や専門機関への相談を時系列で並べます。
連絡先は事前に書き込んでおきます。社内責任者、銀行、利用サービス、警察、外部専門家。事故の当日に調べ始めるのでは遅いからです。
5つの書類を作る前に、自社の未対応項目を確認できます。
30項目チェックリストの構成と検証結果
配布するExcelは、IPAの中小企業向け資料、AIセキュリティ資料、警察庁のBEC対策を基に作りました。
確認項目に加えて、対応状況、担当者、期限、証跡、次の対応を記録できます。対応済みは2点、一部対応は1点、未対応は0点。総合点と対応率は自動で集計されます。
公開前に、次の架空企業で動作を確かめました。
- 従業員18人、1拠点、情報システム専任者なし
- ChatGPTとGeminiを一部社員が個人アカウントで利用
- Google WorkspaceとDropboxを利用
- 外部委託先は6社
- 多要素認証は経理だけ、アカウント棚卸しなし
- バックアップは月1回、教育と初動手順は未整備
診断してみると、最優先は5件に絞られました。シャドーAIの把握、全社での多要素認証、退職者を含むアカウント棚卸し、バックアップの復元テスト、委託先と送金手順の整備です。
行動計画はこうなります。30日以内に「許可AIと入力禁止情報を決める」「全社MFA」「登録済み連絡先による送金確認」。60日以内に委託先確認と復元テスト。90日以内に初動訓練と経営会議での定期確認です。
並べてみると、高い製品の話はひとつも出てきません。先に片づくのは、権限と連絡体制と確認経路でした。
担当者・期限・証跡まで記録する理由
チェックを付けるだけでは、未対応の項目は動きません。
「誰が」「いつまでに」「何をするか」を決めて、設定画面のスクリーンショットや実施記録を証跡として残す。ここまでやると、対応したかどうかを後から誰でも確認できます。
配布版に担当者、期限、証跡の列を設けたのはそのためです。未対応の項目を選んで、担当業務として割り振ってください。
AIで社内文書を作る時の注意点
診断プロンプトは専門家の代わりではありません。自社の状況と優先課題を整理するための補助ツールです。
顧客名、個人情報、パスワード、APIキー、未公開の契約情報は入力しないでください。会社名は伏せて、情報は抽象化します。AIが不足情報を勝手に補っていないかも確認します。法務、個人情報、事故対応の最終判断は、必要に応じて専門家へ相談してください。
プロンプトへ渡す情報の整理には、OpenAIプロンプト6戦略の「参考テキストを提供する」と「体系的にテストする」が使えます。社内文書の文章を整えるなら、ビジネス文書の校正プロンプトもあります。
今日から使えるAIセキュリティ診断プロンプト
専用ページには、質問項目、制約、出力形式まで含めた全文と入力例を掲載しています。
まず簡易版で試すなら、以下をAIへ入力してください。
あなたは中小企業の情報セキュリティ対策を整理する支援者です。
以下の会社情報だけを使い、重大リスク上位5件と、30日・60日・90日の行動計画を作成してください。
# 会社情報
- 業種:
- 従業員数:
- 利用中の生成AI:
- 個人アカウントでの業務利用:
- 多要素認証:
- アカウント棚卸し:
- バックアップと復元テスト:
- 外部委託先:
- セキュリティ教育:
- インシデント初動手順:
# 条件
- 不明な項目は推測せず、確認質問として分ける
- 高額製品の導入を前提にしない
- 各施策に担当候補、期限、完了を確認する証跡を付ける
- 法律上の断定や安全性の保証をしない
出力例の冒頭は次のようになります。
最優先は、個人AIアカウントの把握と全社MFAです。30日以内に許可サービス、入力禁止情報、対象アカウントを一覧化してください。完了証跡は承認済みサービス一覧とMFA設定画面です。
まとめ
AI時代のサイバー対策は、大きな予算からではなく、把握することから始まります。
使っているAIとアカウントを一覧にする。入力してはいけない情報を決める。送金依頼は別経路で確かめる。事故のときの連絡先を書き出す。そして、それぞれに担当者と期限を付けます。
ニュースで感じた不安は、書類と担当と期限に変えたとき、はじめて対策になります。まずは30項目で自社の現在地を確かめてください。
