ChatGPTは、自然言語処理のための大規模言語モデルで、人工知能を搭載したチャットボットです。様々なトピックに関する質問や会話に対して回答を生成でき、人工知能による自然な対話を実現します。ChatGPTは、コードスニペットやソフトウェアプログラムを自動的に生成する能力も持っています。プロンプトを受け取ると、要件を満たすコードを返すことができます。その後、人間の開発者がさらにコードを最適化しリファクタリングすることができます。
ChatGPTを利用するうえで、セキュリティに関わる課題として、情報漏洩、正確性、脆弱性、可用性という4つの観点が考えられます。
・情報漏洩
ChatGPTに入力したデータは、OpenAIによって保持され、サーバ上に保存されます。OpenAIは、ChatGPTの開発や改善のために、一部のデータを分析することがありますが、個人情報を特定できないように処理され、匿名化されたデータのみを使用するとしています。しかし、法的要件や事業譲渡などの特定の状況においては、個人情報を第三者に開示する可能性もあります。
・正確性
ChatGPTは、与えられたプロンプトの要件を満たす機能的なコードを生成することができますが、基本的なセキュリティ機能が欠けたままコードを生成することがよくあります。例えば、入力の検証、レート制限、あるいは認証や認可のような中核となるAPIのセキュリティ機能が欠けている可能性があります。
・脆弱性
ChatGPTは、攻撃目的で使用される可能性もあります。攻撃者は、プロンプトを微調整することで、潜在的に有害なコードをChatGPTで生成することが可能です。例えば、それぞれ単体では悪意のある目的を持たないコードの断片をChatGPTに生成させ、それらを組み合わせることでマルウェアとして機能させるといった工夫ができるでしょう。
・可用性
ChatGPTは、OpenAIのAPIに基づいて動作します。OpenAIはサービスの品質や安定性を保証する努力をしていますが、サーバーの障害やネットワークの遅延などによりサービスが利用できなくなる可能性もあります。また、OpenAIはサービスの利用規約やプライバシーポリシーを変更する権利も保有しています。
企業のセキュリティポリシーは、ユーザー情報や機密情報の取り扱いに関するガイドラインを設定する役割を果たします。これには、ユーザーデータの収集、保存、共有に関するルールや、機密情報の取得、転送、保管に関する厳格なガイドラインが含まれます。
ChatGPTへのアクセス権限と使用範囲を明確に定めることは、セキュリティを確保する上で重要です。適切なアクセス権限の割り当てと権限委任の手順を確立することで、不正なアクセスや悪意のある行動を防ぐことができます。
従業員に対するセキュリティ意識の向上は、セキュリティポリシーの成功に欠かせません。ChatGPTの適切な利用方法やセキュリティベストプラクティスについてのトレーニングプログラムやガイドラインを提供することで、従業員がセキュリティに対する理解を深めることができます。
企業は、ユーザー情報の取り扱いに関する明確なポリシーを策定する必要があります。これには、ユーザーデータの収集目的と方法、保存期間、共有時の暗号化要件、データの削除手順などが含まれます。また、機密情報の取り扱いに関しても厳格なガイドラインが必要です。機密情報の取得と転送には暗号化を使用し、機密情報の保管にはアクセス制御や物理的なセキュリティ対策を導入することが重要です。
ChatGPTへのアクセス権限の管理はセキュリティポリシーの中核です。従業員ごとに必要な権限を割り当て、必要最小限のアクセス権限の原則を採用することが重要です。アクセス制御手段としては、個々の従業員の認証情報やアクセス制御リストの管理が含まれます。さらに、アクセスログの定期的な監査と保持、不正なアクティビティの早期発見と対処のための監視手段の確立も必要です。
セキュリティ意識の向上は、従業員がセキュリティポリシーを遵守し、適切にChatGPTを利用するために不可欠です。セキュリティトレーニングプログラムを定期的に実施し、従業員にセキュリティに関する基本的な知識やスキルを提供します。また、ChatGPTの利用ガイドラインやセキュリティベストプラクティスを作成し、従業員に提供することで、正しい利用方法と注意事項を周知します。
適切なセキュリティポリシーを策定するためには、関係部署やセキュリティ専門家との協力が必要です。内部のリスク評価やコンプライアンス要件を考慮し、チームでポリシードキュメントを作成します。また、外部の専門家やコンサルタントからのアドバイスも活用しましょう。ポリシーの策定には、最新のセキュリティトレンドや規制要件に対応することも重要です。
ポリシーの運用は、単なる文書作成だけではなく、実際の行動に反映されることが重要です。以下の手順を実施して、ポリシーの遵守と監査を確保しましょう。
a. ポリシーの周知とトレーニング
ポリシードキュメントを全従業員に提供し、必要なトレーニングや教育プログラムを実施します。従業員はポリシーの内容や重要性について正確に理解する必要があります。
b. 監視とログ管理
ChatGPTのアクセスログやシステムログを監視し、不正なアクティビティやセキュリティインシデントの早期検知を目指します。ログは適切に保管し、定期的な監査を実施してポリシーの遵守状況を確認します。
c. 外部監査と評価
定期的な外部のセキュリティ監査を依頼し、ポリシーの適用状況やセキュリティシステムの脆弱性を評価します。これにより、ポリシーの改善点や不備を特定し、適切な対策を講じることができます。
d. 更新と改善
技術やセキュリティの進化に合わせてポリシーを定期的に見直し、必要な改善点を特定します。セキュリティインシデントや新たな脅威への対応策も追加し、ポリシーを継続的に改善しま
す。
ChatGPTの導入にあたり、セキュリティポリシーの策定と運用は重要です。データ保護、アクセス制御、ユーザー教育の要素を組み込んだポリシーは、機密情報の保護と不正アクセスの防止に貢献します。ポリシーの策定手順と運用、ポリシーの監査と改善によって、セキュリティレベルの向上とリスクの軽減が可能となります。セキュリティポリシーをしっかり立てることで、ChatGPTの安全な利用が保証され、企業の情報資産を守ることができます。
DXをお手伝いするAIサービス「AIさくらさん」では、
ChatGPTと連携してお客様の業務をサポートいたします。
https://www.tifana.ai/news/20230411
チャットボット運用に一切手間をかけず成果を出したい企業専用
澁谷さくら（AIさくらさん）
登録・チューニング作業をお客様が一切することなく利用できる超高性能AI。
運用やメンテナンス作業は完全自動化。問い合わせ回数や時間を問わない無制限サポート、クライアントの業務に合わせた独自カスタマイズで、DX推進を目指す多くの企業が採用。
