株式会社Arstructは、Webサービスのリスクを整理する「Code診断ラクダ」に、AI開発に関する事故・報告や個人情報流出・不正アクセスの公表事例を確認できる「公開インシデントデータベース機能」を追加した。自社の開発・運営に近い事例を探し、根拠となる公表文や報告を確認できる情報源として提供する。

開発や運営に近いテーマから公表事例を検索

データベースでは、「AI開発由来」と「個人情報流出・不正アクセス」を区分している。AIコーディング中のデータ消失や認証情報の扱いに関する報告と、企業・組織が公表した情報流出などの事例を分けて確認できる仕様となっており、掲載情報のすべてがAIを原因とする事故を指すものではない。

AIコーディング、サプライチェーン、個人情報流出などのテーマ別一覧のほか、キーワード、事象の種類、情報の確度などによる絞り込みに対応している。日付別の一覧も備えられており、時期や関心のある分野から情報を探すことが可能となっている。各事例には対象、内容、分類、根拠リンクが掲載されており、当事者の公表文や報道、利用者による報告などの一次情報へ進んで確認内容を確かめられる。

被害の確定状況など情報の確度を分類

掲載される情報には、被害が確認された事例だけでなく、流出の可能性が公表されたもの、調査中のもの、提供元などの確認がない利用者の報告も含まれている。情報の確度を区別し、何が判明していて何が確定していないかを把握しながら利用する形をとっている。

また、掲載件数は独立した事故の発生数とは限らない。同じ外部サービスへの不正アクセスについて、影響を受けた複数の組織が個別に公表している場合もあるため、集計に利用する際は重複や人数・件数・アカウント数の違い、被害の確定状況を確認する必要があるとしている。

外形確認と自己申告によるリスク領域の提示

サービスの点検にあたっては、自社に近い事例の背景や確認事項をデータベースで調べたうえで、無料簡易診断を活用する。無料簡易診断では、運営するサービスの公開URLに加え、ログイン機能、決済、AI APIの利用、個人情報の取り扱い、利用規約やプライバシーポリシーなどの法務文書、サービスの利用状況を自己申告する。ソースコードの収集やGitHubとの連携設定を行う前に、利用機能を整理することが可能となっている。

公開URLからは、HTTPS、Webサーバーが返すヘッダー情報、法務文書へのリンクなどを外形的に確認する。自己申告の回答と合わせて、簡易スコアや10カテゴリの簡易マトリクス、注意カテゴリ、次に確認すべきリスク領域が示される。なお、この結果は詳しい点検の方向を決める判断材料であり、内部コードやデータベースの権限設定を調査済みとしたり、サービス全体の安全性を保証したりするものではない。法務文書へのリンクなどの確認も、文書内容についての法的判断とは異なるとしている。

予約受付サービスを想定した活用の流れ

実際の診断結果や導入事例ではない説明用のイメージとして、ログイン機能があり予約時に氏名やメールアドレスを扱うサービスでの活用例が示されている。

まず運営者がデータベースで事例を検索し、根拠リンク先で公表内容を確認したうえで、閲覧権限を持つ担当者の範囲や外部サービスへ渡す情報、不要になった情報の管理方法などを自社の確認事項として整理する。続いて公開URLと利用状況を無料簡易診断に入力し、表示された注意領域と整理した確認事項を開発担当者と共有する。原因や影響範囲は事例ごとに異なるため、他社の事例だけで自社にも同一の問題があると断定せず、実際の構成や運用を確認して判断する手順となる。

サービスおよび関連情報は以下の通り。

• Code診断ラクダ 公開インシデントデータベース：https://code-rakuda.com/incidents
• 株式会社Arstruct（代表取締役：大西快積）URL：https://arstruct.co.jp/

本記事は株式会社Arstructの発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。