c2.3 AI セキュリティガバナンスとモデルインベントリの確立

利用中の AI の最新インベントリを維持する

利用中のモデル、エージェント、プロンプト、データセット、サードパーティ AI サービスについて、単一かつ最新のインベントリを維持します。各項目の責任者、アクセスできるデータ、抱えるリスクを記録します。これがないと、シャドー AI や統制されていないエージェントが、セキュリティがレビューできる速度を超えて増えていきます。

確立されたガイダンスに基づいて判断する

AWS 生成 AI セキュリティスコーピングマトリクスを土台にプログラムを構成します。これはモデルとデータの所有形態で AI ユースケースを分類し、適切な統制を選べるようにします。既存のリスク・コンプライアンス・データ分類のプロセスと連携させます。

責任者と許容利用を割り当てる

AI リスクの意思決定の責任者を明確にし、許容利用ポリシー（どのデータをどのサービスに送ってよいか、禁止するユースケース）を定義します。自社で構築するモデルだけでなく、組み込み型やサードパーティの AI 機能も含め、エージェント型ワークロードの拡大に合わせて見直します。

AI Security Maturity Model でさらに深める

この統制は、Cloud プログラムの foundational な出発点です。インベントリ・責任・許容利用の基本を確立します。組織で AI の重要性が高まっている場合は、専用の AI Security Maturity Model が、ガバナンス・データ保護・エージェント型 AI のセキュリティを成熟度の全行程にわたって扱います。この統制の深掘り用の相棒として活用してください。

関連

セキュリティおよび規制要件の特定と AI データ保護と関連付けてください。