チャットボットツール以下の9項目です。
- 第三者認証の有無（Pマーク・JIS規格・ISO規格・SOC2）
- 通信データの暗号化機能
- AI特有のセキュリティ対策のレベル
- アクセス制御・ログ監査機能の有無
- インシデント対応の可否
- システム運用・脆弱性対策のレベル
- API連携・外部連携の制御機能の有無
- ベンダーの信頼性・ガバナンス（企業の管理体制）
- 契約・法務観点への対応
を選定する際は、通信データの暗号化や第三者認証、脆弱性対策などのセキュリティ要件の確認が不可欠です。
チャットボットツールを選定する際に考慮すべき9つのセキュリティ要件
チャットボットツール選定時に確認すべきセキュリティ要件を9つ紹介します。
第三者認証・コンプライアンスへの準拠
ツール選定時は、以下のような第三者認証の取得状況を確認しましょう。
| 第三者認証の名称 | 概要 |
|---|---|
| Pマーク | 個人情報を適切に扱っていることを証明する国内の認証マークJISQ15001に基づいて認証される制度 |
| JISQ15001 | 企業の個人情報保護に関する運用・体制を評価する規格Pマークの審査基準として利用されている |
| ISO/IEC27001 | 情報セキュリティマネジメントに関する国際規格情報資産を守るための管理体制・運用ルールが適切に整備されている組織を認証するもの |
| ISO/IEC27017 | クラウドサービスに関する情報セキュリティガイドライン（ISO27001をベースにしている）クラウドサービスに対応した情報セキュリティ体制が整っている組織を認証するもの |
| SOC 2 | 米国公認会計士協会（AICPA）が定めた監査基準セキュリティ・プライバシー・可用性・機密性・処理の完全性の5つの基準に基づいて第三者が監査する監査結果は報告書にまとめ、顧客に公開する |
これらを取得しているツールは、専門の認定機関から「企業の情報を適切に管理している」と認められており、自社のコンプライアンス基準に合ったAI運用が期待できます。
データの保護・通信の暗号化
チャットボット上で扱う情報を保護するために、SSL/TLSを用いた通信データの暗号化が標準実装されているかを確認しましょう。
SSL/TLSとは、インターネット上でデータを暗号化して送信する仕組みのことです。SSL/TLSが実装されていると、社内や顧客の機密情報を暗号化でき、悪意のある第三者による情報の盗聴や改ざんを防止できます。
AI特有のセキュリティ対策
チャットで扱う機密情報が学習データに利用されないよう、ベンダーのデータ学習に関するポリシーを確認してください。
大規模言語モデルを搭載したAIチャットボットでは、ユーザーが入力したデータがAIの学習に使用されるリスクがあります。そのため、ベンダーの規約に「入力データは学習に利用しない」といった記載があかを確認しましょう。
アクセス制御・ログ監査
チャット管理画面へのアクセス制御やログ監査機能が搭載されていると、権限外の閲覧や操作を防止でき、不正アクセスや誤操作のリスクを抑えられます。
ログ監査機能は、チャットボット上の操作ログを保存・確認できるため、セキュリティ上の問題（インシデント）が起こった場合の原因特定に役立ちます。
インシデント対応・事業継続
万が一のセキュリティ上のインシデントに備えて、ベンダーのサポート体制を確認しておきましょう。
インシデントが発生すると、業務の停止や顧客対応の遅延につながります。サポート体制が充実していれば、サイバー攻撃やシステム障害発生時も迅速な対応が期待できます。
チャットボットの導入支援や運用サポートの範囲を把握しておくことも重要です。
運用・脆弱性対策
アップデートやセキュリティパッチ実施の有無は、チャットボットを安全に運用する上で重要な確認項目です。
OSやソフトウェアの脆弱性が放置されると、第三者による不正アクセスや情報漏えいにつながる可能性があります。
常に最新の状態を維持し、ウイルス感染や不正アクセスを防ぐための運用体制が整っているかを確認しましょう。
API・外部連携の制御
チャットボットを外部システムと連携させる場合は、APIとの連携可否だけでなく、データへのアクセス権限機能の有無も確認しましょう。
連携先の情報をどこまで閲覧・編集できるのかを細かく設定できれば、不正操作や誤操作のリスクを抑えられます。
自社のセキュリティ基準に合わせて柔軟にカスタマイズできるツールを選ぶことが重要です。
ベンダーの信頼性・ガバナンス
ツールの機能だけでなく、ベンダーの信頼性や企業体制をチェックします。具体的な確認事項は、以下の通りです。
- 導入実績があるか
- Webサイトにセキュリティポリシーが記載されているか
- 組織体制が整っているか
- サービスの問い合わせ窓口が記載されているか
- セキュア開発ライフサイクル（SDLC）を採用しているか
なお、大企業への導入実績が豊富なベンダーは、厳格なセキュリティ体制の基でサービスを提供している傾向があります。
契約・法務観点
個人情報を取り扱うチャットボットを導入する場合、そのベンダーが個人情報保護法に基づく安全管理措置を講じているかどうかを確認します。
具体的には、データの所有権や利用範囲、再委託の有無、外部提供の可否などを契約書上で明確にし、自社の責任範囲を整理しておくことが重要です。
チャットボット導入時はセキュリティ対策を万全に実施しよう
チャットボット選定時のセキュリティ要件は、通信の暗号化やログ監査機能の有無、AIデータ学習のポリシーなど多岐にわたります。自社のセキュリティ基準をクリアするツールを選定し、AI運用を効果的に進めましょう。
ITreviewは、数多くのIT製品・SaaSのレビュープラットフォームです。製品のリアルな口コミや評価を確認できるため、チャットボットツール探しにぜひご活用ください。
