AI 保護を構成する

AI 保護は、モデル、データ、AI 関連のインフラストラクチャをモニタリングすることで、AI アセットとワークフローの保護を支援します。このガイドでは、AI 保護を構成する方法について説明します。

必要なロール

AI 保護の構成とダッシュボード データの表示に必要な権限を取得するには、組織に対する次の IAM ロールを付与するよう管理者に依頼してください。

ロールの付与について詳しくは、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

次の Google Cloud CLI コマンドを使用して、上記のロールをユーザーに割り当てることができます。

gcloud CLI を使用してロールを割り当てる

  • ユーザーに Security Center 管理閲覧者のロールを付与するには、次のコマンドを実行します。

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.admin

  • ユーザーに Security Center 管理閲覧者のロールを付与するには、次のコマンドを実行します。

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.adminViewer

    次のように置き換えます。

    • ORGANIZATION_ID: 数値の組織 ID
    • USER_EMAIL_ID: アクセスが必要なユーザーのメールアドレス

サポートされるリージョン

AI 保護がサポートされているリージョンの一覧については、リージョン エンドポイントをご覧ください。

サービス アカウントのアクセス

次のセクションで説明するすべてのサービス アカウントが、組織のポリシーによってブロックされていないことを確認します。

AI 保護を設定する

組織レベルで AI 保護を有効にするには、次の操作を行います。

  1. 組織で Security Command Center を有効にしていない場合は、Security Command Center Enterprise を有効にします。
  2. Security Command Center のエンタープライズ サービスティアを有効にしたら、SCC 設定ガイドのガイダンスに沿って AI 保護を設定します。
    1. [セキュリティ機能の確認] 概要パネルを開きます。
    2. [AI の保護] パネルで、[設定] をクリックします。
    3. 手順に沿って、AI 保護に必要なサービスと依存関係のサービスが構成されているかどうかを確認します。自動的に有効になるものと、追加の構成が必要なものについては、 Google Cloudサービスを有効にして構成するをご覧ください。
  3. AI 保護で保護するリソースの検出を有効にします。

Google Cloud サービスを有効にして構成する

Security Command Center Enterprise を有効にした後、Google Cloud サービスを有効にして構成し、AI 保護の機能を最大限に活用します。

次のサービスは自動的に有効になります。

  • AI Discovery サービス
  • 攻撃パス シミュレーション
  • Cloud Audit Logs
  • Cloud Monitoring
  • コンプライアンス マネージャー
  • Event Threat Detection
  • データ セキュリティ ポスチャーの管理
  • Notebook Security Scanner
  • Sensitive Data Protection

AI 保護には次のサービスが必要です。

これらのサービスの一部では、以下のセクションで説明するように、追加の構成が必要になります。

AI Discovery サービスを構成する

AI Discovery サービスは、Security Command Center Enterprise のオンボーディングの一環として自動的に有効になります。Monitoring 閲覧者（roles/monitoring.viewer）IAM ロールが提供されていますが、Security Command Center Enterprise 組織のサービス アカウントに適用されていることを確認してください。

  1. Google Cloud コンソールで、[IAM] ページに移動します。

    [IAM] に移動

  2. [アクセス権を付与] をクリックします。

  3. [新しいプリンシパル] フィールドに、Security Command Center Enterprise 組織のサービス アカウントを入力します。サービス アカウントの形式は service-org-ORG_ID@security-center-api.gserviceaccount.com です。ORG_ID は組織 ID に置き換えます。

  4. [ロールを選択] フィールドで、[モニタリング閲覧者] を選択します。

  5. [保存] をクリックします。

高度な DSPM クラウド コントロールを構成する

データのアクセス、フロー、保護のために高度なクラウド コントロールを備えた DSPM を構成します。詳細については、高度なデータ セキュリティ クラウド コントロールをデプロイするをご覧ください。

AI ワークロードに適用されるカスタム フレームワークを作成する場合は、次のクラウド コントロールをフレームワークに追加します。

  • データアクセス ガバナンス: ユーザーやグループなどの特定のプリンシパルに対して機密データへのアクセスを制限します。許可されたプリンシパルは、IAM v2 プリンシパル ID 構文を使用して指定します。たとえば、gdpr-processing-team@example.com のメンバーのみが特定のリソースにアクセスできるようにするポリシーを作成できます。
  • データフロー ガバナンス: データフローを特定のリージョンに制限します。たとえば、データへのアクセスを米国または EU からに限定するポリシーを作成できます。許可される国コードは、Unicode Common Locale Data Repository（CLDR）を使用して指定します。
  • データ保護（CMEK あり）: 顧客管理の暗号鍵（CMEK）なしで作成されたリソースを特定し、推奨事項を受け取ります。たとえば、storage.googleapis.com と bigquery.googleapis.com の CMEK なしで作成されたリソースを検出するポリシーを作成できます。このポリシーは暗号化されていないアセットを検出しますが、アセットの作成を阻止するものではありません。

Model Armor を構成

  1. 生成 AI アクティビティを使用する各プロジェクトで modelarmor.googleapis.com サービスを有効にします。詳細については、Model Armor のスタートガイドをご覧ください。
  2. 次の設定を構成して、大規模言語モデル（LLM）のプロンプトとレスポンスのセキュリティ設定と安全性設定を定義します。
    • Model Armor テンプレート: Model Armor テンプレートを作成します。これらのテンプレートは、検出するリスクの種類（機密データ、プロンプト インジェクション、脱獄検知など）を定義します。また、これらのフィルタの最小しきい値も定義します。
    • フィルタ: Model Armor は、さまざまなフィルタを使用してリスクを特定（悪意のある URL の検出、プロンプト インジェクションと脱獄の検知、機密データの保護など）します。
    • フロア設定: プロジェクト レベルのフロア設定を構成して、すべての Gemini モデルに対してデフォルトの保護を確立します。

Notebook Security Scanner を構成する

  1. 組織で Notebook Security Scanner サービスを有効にします。詳細については、Notebook Security Scanner を有効にするをご覧ください。
  2. ノートブックを含むすべてのプロジェクトで、notebook-security-scanner-prod@system.gserviceaccount.com に Dataform 閲覧者ロール（roles/dataform.viewer）を付与します。

機密データ保護を構成

プロジェクトで dlp.googleapis.com API を有効にし、機密データをスキャンするように Sensitive Data Protection を構成します。

  1. Enable the Data Loss Prevention API.

    Enable the API

  2. AI 保護ユーザーに DLP Reader ロールと DLP Data Profiles Admin ロールを付与します。

  3. 機密データをスキャンするように Sensitive Data Protection を構成します。

省略可: その他の高価値リソースを構成する

リソース値の構成を作成するには、リソース値の構成を作成するの手順に沿って操作します。

次の攻撃パス シミュレーションが実行されると、高価値リソースセットが対象となり、攻撃パスが生成されます。

次のステップ