セキュリティバイデザイン

セキュリティ・バイ・デザインとは(デジタル庁ガイドライン)

デジタル庁は2022年6月30日に、政府情報システムにおけるセキュリティ・バイ・デザインガイドラインを公表しました。その1.1 目的とスコープでは、政府情報システムでもセキュリティ対策を確実かつ効率的に実装するため、システム開発の上流工程からセキュリティ対策を実装する取組として、セキュリティ・バイ・デザインの必要性が高まっていると述べています。

このガイドラインは、デジタル・ガバメント標準推進ガイドラインのセキュリティ編に位置づけられています。政府情報システムの開発や運用業務に従事する関係者に向けて、政府機関のシステム開発の各工程で実施すべきセキュリティ・バイ・デザインとしての実施内容と要求事項を示すことを主目的としています。

AIシステムにおける位置づけ

総務省と経済産業省のAI事業者ガイドライン(第1.1版、令和7年3月28日)は、本編の5) セキュリティ確保で次のように述べています。各主体は、AIシステムやサービスの開発、提供、利用において、不正操作によってAIの振る舞いに意図せぬ変更や停止が生じることのないように、セキュリティを確保することが重要である。

また、米国NISTのAIリスクマネジメントフレームワーク(AI RMF 1.0、2023年1月)は、3.3 セキュリティとレジリエンスで、不正アクセスや不正使用を防止する保護メカニズムによって機密性、完全性、可用性を維持できるAIシステムは、セキュアであると言えるかもしれない、と述べています。

• 機密性: 許可されていない者に情報を知られないこと
• 完全性: 情報や処理が不正に書き換えられないこと
• 可用性: 必要なときに使えること

上流工程から組み込むという考え方

デジタル庁ガイドラインの記述の中心は、セキュリティ対策をシステム開発の上流工程から実装する、という点にあります。上流工程は一般に、企画や設計など開発の早い段階を指します。

この考え方は、システムができあがった後でセキュリティ対策を付け足すやり方とは異なり、はじめからセキュリティを前提として組み込むものと整理できます。ガイドラインが目的として挙げているのは、セキュリティ対策を確実かつ効率的に実装することです。また、上流工程だけでなく、開発の各工程で実施すべき内容と要求事項を示すことを主目的としている点も押さえておきましょう。

AIとの関わり

AI事業者ガイドラインは、不正操作によってAIの振る舞いに意図せぬ変更や停止が生じないようにすることを重要としています。AIシステムでも通常のシステムと同じように、開発の早い段階からセキュリティを考えておくことが、こうした不正操作や意図せぬ変更を防ぐうえで役立つと考えられます。どの段階で何を行うかは、対象となるシステムや関連するガイドラインに照らして確認することが大切です。