本来、セキュリティの点検や対策は、専門のセキュリティ企業にきちんと依頼して、診断から対策まで見てもらうべきものです。これは重々承知しております。
ただ、弊社のような社員数名の会社ですと、
という三重苦で、「いつかちゃんとやらないと・・・」と思いながら何年も手をつけていない、というのが正直なところでした。同じような状況の会社さんは、決して少なくないのではないかと思います。
そこで今回は、「専門家に頼むのと同じ水準を目指す」のではなく、「何もやらないよりはまし」という立場で、自分たちにできることからまずやってみる、という試みをしてみました。これがベストのやり方だとは考えていません。あくまで一つの試みとして、ご参考になれば幸いです。
前回のコラムでご紹介したとおり、弊社では Claude Code というエージェント型の AI ツールを日々使っています。
最初にやったのは、いきなり点検を始めることではなく、AI に「専門部署がない会社向けのセキュリティ対応マニュアル」を作ってもらうことでした。
できあがったマニュアルは、おおよそ次のような構成です。
マニュアルの最後には「本マニュアルの限界」という章もあり、専門業者による診断の代わりにはならないことがきちんと書かれていました。
次に、できたマニュアルを AI に読ませて、「この内容にそって、あなたがガイドして進めてください」と頼みました。
すると AI は、マニュアルの順番どおりに、1 ステップずつ質問をしてきます。
「次の 7 つに当てはまるものはありますか（ファイルが開けない、身に覚えのないメールが送られている、など）」
「記録役と、社長が不在のときの代理は、誰にお願いできそうですか」
「毎日ログインしているサービスを、思いつくままに挙げてください」
こちらは番号や単語で答えるだけです。答えた内容は、AI が台帳やリストの形に整理してくれます。分からないところは推測で埋めずに「要確認」として残してくれるので、後から埋めていけます。
やってみて一番感じたのは、とにかく取り組みやすいということでした。
外部の専門家や有識者に頼んで対応してもらう、という場合、当然ながら 1 回あたり最低 1 時間とか 2 時間とか、まとまった時間を取る必要があります。日程の調整もしなければなりません。
AI の場合はアポが要りません。10分、15 分だけ進めて、別の優先度の高い業務をやってから、そのあとの空き時間に再開する、ということが普通にできます。実際、初日は 15 分ほどで「事故が起きていないかの判定」と「対応する人を決める」までを済ませ、続きは翌日以降の空き時間に少しずつ進めました。
「時間がない」「担当者がいない」という会社ほど、この「細切れでも進められる」ことの意味は大きいと思います。
管理画面で AI が案内した項目が見当たらないとき、「その項目はありません」と返せば、別の確認方法を案内してくれます。知らない用語が出てきたら「それは何ですか」と聞けばいい。人が相手だと少し気が引けるような質問でも、遠慮なく聞けます。
点検の途中で、「今回の対応でできたことを、第三者にも示せるように記録しておいてほしい」と頼んだところ、見つかった問題と対応状況を一覧にした記録をまとめてくれました。この記事も、その記録をもとに書いています。
ここまで読んで「うちにも AI のアカウントはあるから試してみよう」と思われた方に、ひとつ補足しておきます。
今回使った Claude Code は、いわゆるチャット型の AI ではなく、パソコン上のファイルを直接作ったり書き換えたりできる、エージェント型の AI ツールです。この違いが、今回の進め方ではかなり大きかったと感じています。
チャット型の AI でも、手順を教えてもらうことはできると思います。ただ、回答は画面の中にとどまるので、台帳や対応リストを最新の状態に保つには、自分でコピーして整理し直す手間がかかります。数日〜数週間にわたって記録を積み上げていく今回のような使い方を、同じ手軽さで進められるかというと、難しいのではないかと思います。
逆に言えば、エージェント型の AI はファイルを自由に書き換えられるぶん、どこに何を書かせるかには注意が必要です。今回は、点検の記録はすべて決まったフォルダーに保存させ、公開するファイルやソースコードの置き場所には混ぜないようにしました。
まだ点検は途中ですが、開始から数日で 20 件以上の問題や要検討事項が見つかりました。ここでは、すでに対応を終えたものだけをご紹介します。
退職した社員のアカウントは、メインのサービスでは無効にしてあったので、大丈夫だと思っていました。ところが台帳と照らし合わせると、ほかに 5 つのサービスで状態を確認する必要があることが分かりました。チャットツールでは、自社で管理しているワークスペースが 20 件ほどあり、1 件ずつ確認して、顧客情報を含むものはメンバーから外す、またはワークスペースごと削除しました。
「1 つ止めたから大丈夫」は大丈夫ではない、というのは、台帳を作らなければ気づけなかったことです。
メールサービスを確認すると、2 段階認証が未設定のアカウントが 10 個ありました。お恥ずかしいことに、大半は「問い合わせ窓口用」などの共用アドレスや、用途がよく分からなくなった休眠アカウントでした。
AI と一緒に 1 つずつ仕分けたところ、2 段階認証の設定が本当に必要だったのは 3 個だけでした。残りの 7 個は、停止、削除、あるいはログインそのものが要らない仕組み（グループや別名など）に置き換えることで対応できました。共用アドレスの扱いは、知っているようで知らないことが多く、あらためて気づかされることがありました。
ドメインの設定を確認していたところ、自動更新に使っている支払いカードの情報が古くなっていることに気づきました。多くのサービスは決済時に失敗すれば知らせてはくれますが、サービスによってはそのまま次の更新でドメインが失効し、Web サイトやメールがすべて止まる可能性もありました。セキュリティ点検のつもりが、別の事故を未然に防げたことになります。
サーバーの作業中に、ある 1 つのドメインの証明書が、1 年以上前に期限切れになっていたことが分かりました。サーバー自体は動き続けていたので、誰も気づいていませんでした。証明書を取り直したうえで、期限が近づいたらメールで知らせる仕組みも AI に作ってもらい、設置しました。
外部のセキュリティ関連のニュースをきっかけに、台帳と照らし合わせて影響を調べたところ、アプリを動かしている環境が 3 年以上更新されていないことが分かりました。以前の環境をすぐ戻せるように残したうえで、最新の版に更新しました。
ここまでの対応は、いずれも既存の管理画面やサーバーでの作業だけで済み、費用はかかっていません。
良いことばかりではありませんでした。むしろ、ここが一番お伝えしたいところかもしれません。
設定を見直すためにサーバーを作り直したところ、動作確認に時間がかかり、公開中の Web サイトが短時間ではありますがすべて止まってしまいました。先ほどの「1 年以上切れていた証明書」が原因で、作り直しをきっかけに隠れていた問題が一斉に表に出た形です。動いていた設定の控えを取っていたので、数分〜数十分で復旧できましたが、ひやりとしました。
長く動かし続けているシステムほど、手を入れた瞬間に問題が噴き出すことがあります。作業の前に「元に戻す手順」を用意しておくことの大切さを、身をもって学びました。
AI の案内にも、はっきりした誤りがありました。
いずれも大きな被害にはなりませんでしたが、AI の言うとおりに何も考えずに実行していたら、もっと困ったことになっていたかもしれません。
ここから、次のようなルールを自分の中で決めました。
AI に手順を作らせるときは、最初からこの点を指示に含めておくとよいと思います。
あらためて申し上げますと、今回の取り組みは専門業者による脆弱性診断の代わりにはなりません。見つけられたのは「自分たちが把握していて、AI に説明できたもの」の範囲だけですし、判断が正しかったかどうかも、専門家の目で確かめたわけではありません。
予算と人手が確保できるなら、専門の企業に依頼するのが一番です。
それでも、何もしないまま「いつかやらないと」と思い続けるよりは、確実に前に進んだと感じています。特に、最初の「数える」（使っているサービスやシステムを一覧にする）だけでも、やる価値は十分にありました。担当者（つまり私）の頭の中にしかなかった情報が文書になり、退職者のアカウントの残りや支払いカードの期限切れのように、一覧にして初めて気づけたことがいくつもありました。
また、台帳があれば、いざ専門家に相談するときにも、自社の状況を短時間で正確に伝えられます。「専門家に頼む前の下準備」と考えても、無駄にはならないと思います。
同じように試してみたいという方へ、やってみて感じたことをいくつか書いておきます。
AI 活用のひとつのヒントとして、ご参考になりましたら幸いです。
株式会社ナレッジエックス
代表取締役 中越 智哉
このコラムでご紹介したように、AIは心強い相棒になる一方で、ときに「それらしく間違える」こともあります。AIに的確に指示し、出力を確かめながら業務で使いこなすための研修をご用意しています。
各コースの詳細はAI研修のご案内にまとめています。どのコースが適しているかのご相談、お見積り、内容のカスタマイズのご相談も承ります。
