AI 利用セキュリティポリシー
金融決済サービスにおける生成AI利用時のセキュリティガイドライン
AI 利用セキュリティポリシー
金融決済サービスを扱う当社では、生成AIの利活用にあたり、以下のセキュリティポリシーを遵守してください。
1. データ分類と AI ツールへの入力制限
| データ分類 | 例 | AI への入力 |
|---|---|---|
| 極秘 | 暗号鍵、認証トークン、顧客口座情報 | 禁止 |
| 機密 | 社内API仕様、取引ロジック、顧客PII | 禁止 |
| 社外秘 | 社内ドキュメント、設計書 | 承認済みツールのみ |
| 公開 | OSS コード、公開API仕様 | 利用可 |
2. 承認済み AI ツールと設定
GitHub Copilot
- Business プランで利用（コード片がGitHubに送信されない設定）
Suggestions matching public codeは Block に設定- リポジトリ単位でのオプトイン制（決済コアリポジトリでは無効化）
Claude Code
- Enterprise プランで利用
--allowedToolsで利用可能ツールを制限- CLAUDE.md に社内コーディング規約とセキュリティルールを記載
3. 禁止事項
- 顧客の個人情報（氏名、口座番号、取引履歴等）をプロンプトに含めること
- AI 生成コードをレビューなしで本番環境にデプロイすること
- 社外の AI チャットサービスに社内コードを貼り付けること
- AI ツールのログ・履歴を社外のサービスに同期すること
4. インシデント対応
AI ツールに誤って機密情報を入力した場合：
- 直ちに情報セキュリティ部門に報告
- 該当セッション/会話を削除
- 影響範囲の調査と記録
- 必要に応じて関係者・監督官庁への報告
5. 監査とモニタリング
- AI ツールの利用ログは 90日間 保持します
- 四半期ごとに AI 利用状況の監査を実施します
- 不審な利用パターンは自動アラートで検知されます