AI 保護を構成する

AI Protection は、モデル、データ、AI 関連のインフラストラクチャをモニタリングすることで、AI アセットとワークフローの保護に役立ちます。このガイドでは、AI Protection を構成する方法について説明します。

必要なロール

AI Protection の構成とダッシュボード データの表示に必要な権限を取得するには、組織に対する次の IAM ロールを付与するよう管理者に依頼してください。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

次の Google Cloud CLI コマンドを使用して、上記のロールをユーザーに割り当てることができます。

gcloud CLI を使用してロールを割り当てる

  • ユーザーに Security Center 管理閲覧者のロールを付与するには、次のコマンドを実行します。

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.admin

  • ユーザーに Security Center 管理閲覧者のロールを付与するには、次のコマンドを実行します。

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.adminViewer

    次のように置き換えます。

    • ORGANIZATION_ID: 数値の組織 ID
    • USER_EMAIL_ID: アクセスが必要なユーザーのメールアドレス

サポートされるリージョン

AI Protection がサポートされているリージョンの一覧については、リージョン エンドポイントをご覧ください。

サービス アカウントのアクセス

次のセクションで説明するすべてのサービス アカウントが、組織のポリシーによってブロックされていないことを確認します。

AI 保護を設定する

組織レベルで AI 保護を有効にするには、次の操作を行います。

  1. 組織で Security Command Center を有効にしていない場合は、Security Command Center Enterprise を有効にします。
  2. Security Command Center の Enterprise サービスティアを有効にしたら、SCC 設定ガイドのガイダンスに沿って AI 保護を設定します。
    1. [セキュリティ機能の確認] 概要パネルを開きます。
    2. [AI 保護] パネルで、[設定] をクリックします。
    3. 手順に沿って、AI Protection に必要なサービスと依存サービスが構成されているかどうかを確認します。自動的に有効になるものと、追加の構成が必要なものについては、 Google Cloudサービスを有効にして構成するをご覧ください。
  3. AI Protection で保護するリソースの検出を有効にします。

Google Cloud サービスを有効にして構成する

Security Command Center Enterprise を有効にした後、Google Cloud サービスを有効にして構成し、AI Protection の機能を最大限に活用します。

次のサービスは自動的に有効になります。

  • AI Discovery サービス
  • 攻撃パス シミュレーション
  • Cloud Audit Logs
  • Cloud Monitoring
  • コンプライアンス マネージャー
  • Event Threat Detection
  • データ セキュリティ ポスチャーの管理
  • Notebook Security Scanner
  • Sensitive Data Protection

AI Protection には次のサービスが必要です。

これらのサービスの一部では、以下のセクションで説明するように、追加の構成が必要になります。

AI Discovery サービスを構成する

AI Discovery サービスは、Security Command Center Enterprise のオンボーディングの一環として自動的に有効になります。Monitoring 閲覧者（roles/monitoring.viewer）IAM ロールが提供されていますが、Security Command Center Enterprise 組織のサービス アカウントに適用されていることを確認してください。

  1. Google Cloud コンソールで、[IAM] ページに移動します。

    IAM に移動

  2. [アクセス権を付与] をクリックします。

  3. [新しいプリンシパル] フィールドに、Security Command Center Enterprise 組織のサービス アカウントを入力します。サービス アカウントの形式は service-org-ORG_ID@security-center-api.gserviceaccount.com です。ORG_ID は組織 ID に置き換えます。

  4. [ロールを選択] フィールドで、[モニタリング閲覧者] を選択します。

  5. [保存] をクリックします。

高度な DSPM クラウド制御を構成する

データアクセス、フロー、保護のための高度なクラウド制御を使用して DSPM を構成します。詳細については、高度なデータ セキュリティ クラウド制御をデプロイするをご覧ください。

AI ワークロードに適用されるカスタム フレームワークを作成する場合は、次のクラウド コントロールをフレームワークに追加します。

  • データアクセス ガバナンス: ユーザーやグループなどの特定のプリンシパルに機密データへのアクセスを制限します。許可されたプリンシパルは、IAM v2 プリンシパル ID 構文を使用して指定します。たとえば、gdpr-processing-team@example.com のメンバーのみが特定のリソースにアクセスできるようにするポリシーを作成できます。
  • データフロー ガバナンス: データフローを特定のリージョンに制限します。たとえば、米国または EU からのみデータにアクセスできるようにするポリシーを作成できます。許可される国コードは、Unicode Common Locale Data Repository（CLDR）を使用して指定します。
  • データ保護（CMEK あり）: 顧客管理の暗号鍵（CMEK）なしで作成されたリソースを特定し、推奨事項を受け取ります。たとえば、storage.googleapis.com と bigquery.googleapis.com の CMEK なしで作成されたリソースを検出するポリシーを作成できます。このポリシーは暗号化されていないアセットを検出しますが、アセットの作成を阻止することはありません。

Model Armor を構成

  1. 生成 AI アクティビティを使用する各プロジェクトで modelarmor.googleapis.com サービスを有効にします。詳細については、Model Armor のスタートガイドをご覧ください。
  2. 次の設定を構成して、大規模言語モデル（LLM）のプロンプトとレスポンスのセキュリティ設定と安全性設定を定義します。
    • Model Armor テンプレート: Model Armor テンプレートを作成します。これらのテンプレートは、検出するリスクの種類（機密データ、プロンプト インジェクション、ジェイルブレイク検出など）を定義します。また、これらのフィルタの最小しきい値も定義します。
    • フィルタ: Model Armor は、悪意のある URL の検出、プロンプト インジェクションとジェイルブレイクの検出、機密データの保護など、さまざまなフィルタを使用してリスクを特定します。
    • フロア設定: プロジェクト レベルのフロア設定を構成して、すべての Gemini モデルのデフォルトの保護を確立します。

Notebook Security Scanner を構成する

  1. 組織で Notebook Security Scanner サービスを有効にします。詳細については、Notebook Security Scanner を有効にするをご覧ください。
  2. ノートブックを含むすべてのプロジェクトで、notebook-security-scanner-prod@system.gserviceaccount.com に Dataform 閲覧者ロール（roles/dataform.viewer）を付与します。

機密データ保護を構成

プロジェクトで dlp.googleapis.com API を有効にし、機密データをスキャンするように Sensitive Data Protection を構成します。

  1. Enable the Data Loss Prevention API.

    Enable the API

  2. AI Protection ユーザーに DLP Reader ロールと DLP Data Profiles Admin ロールを付与します。

  3. 機密データをスキャンするように Sensitive Data Protection を構成します。

省略可: その他の高価値リソースを構成する

リソース値の構成を作成するには、リソース値の構成を作成するの手順に沿って操作します。

次の攻撃パス シミュレーションが実行されると、高価値リソースセットが対象となり、攻撃パスが生成されます。

次のステップ