AIF / ドメイン5 AIソリューションのセキュリティ、コンプライアンス、ガバナンス

コンプライアンス規制と標準

AIを業務で使うときは、業界や地域の規制に従う必要があります。 AIF-C01では、代表的な標準の名前と、AWSがどこまで支援するかが問われます。

概要

規制対応は、AWSが提供する認証や報告書と、利用者が自分の構成で満たすべき統制の2層で考えます。

概要の図 AWSが取得している認証と報告書ISO / SOC / PCI DSS など AWS Artifactで入手 利用者が満たす統制権限 / 暗号化 / 記録 / 手順 AWS Audit Managerで証跡を収集
標準内容
ISO/IEC 27001情報セキュリティ管理の国際標準です。
ISO/IEC 42001AIマネジメントシステムの国際標準です。
1 / 2 / 3統制の有効性に関する第三者の報告書です。
クレジットカード情報を扱う基準です。
HIPAA米国の医療情報に関する法規です。
GDPR欧州の個人データ保護規則です。
アルゴリズムの説明責任に関する法令自動判断の説明や異議申し立てを求める規制です。

⚠️ 頻出: AWSの認証取得だけでは利用者の準拠は完了しません。利用者側の構成と運用が必要です。

主要技術

①AWSが提供する支援

サービス役割
AWSの監査報告書や認証をで入手できます。
規制の枠組みに沿って証跡を自動で収集します。
リソースの設定を記録し、規則からの逸脱を検出します。
操作の履歴を記録します。
脆弱性を継続的に検査します。
設定の推奨事項を確認します。
セキュリティ基準への適合状況を集約します。

⚠️ 頻出: 監査報告書の入手はAWS Artifact、証跡の収集はAWS Audit Managerという対応で判断します。

AWS Artifactには、報告書を入手する機能 (Artifact Reports) のほかに、AWSとの契約を確認して受け入れる機能 (Artifact Agreements) があります。 米国の医療情報 (HIPAA の対象データ) を扱う場合のAWSとの業務提携契約 (BAA) は、Artifact Agreementsで受け入れます。

の報告書は、目的によって3種類に分かれます。

報告書内容
SOC 1財務報告に関わる内部統制の報告書です。
SOC 2セキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の詳細な報告書です。秘密保持の条件のもとでArtifactから入手します。
SOC 3SOC 2の要約で、一般に公開されています。統制の詳細は含みません。

②AI固有の観点

観点内容
自動判断の説明判断の根拠を提示できる状態にします。
人間の関与重要な判断に人の確認を挟みます。
の適法性使用してよいデータかを確認します。
出力の管理誤りや不適切な内容の混入を防ぎます。
記録入力と出力、判断の経緯を残します。
モデルの文書化用途、制約、評価をとして残します。

③データ所在地と越境

観点対応
保管の場所要件に合うを選びます。
処理の場所や学習が行われるリージョンを確認します。
越境の制限必要に応じてリージョンをまたぐ構成を避けます。

⚠️ 頻出: では、使いたいモデルが必要なリージョンで提供されているかを確認する必要があります。

④組織の運用

項目内容
方針の策定利用範囲、禁止事項、承認手順を定めます。
見直しの周期定期的に方針と実装を点検します。
逸脱時の連絡経路誰へ報告し、どう是正するかを決めます。
の基準利用者へ何を開示するかを定めます。
教育担当者への周知と訓練を行います。

試験対策

①判断マトリクス

問題文のキーワード選ぶもの
AWSの第三者監査報告書が必要
規制の枠組みに沿った証跡を集めたい
設定が基準から外れたら検知したい
誰が何を操作したか記録したい
脆弱性を継続的に調べたい
セキュリティ状況を一元的に見たい
AIマネジメントの国際標準ISO/IEC 42001

②よくある誤答

  • AWSの認証があれば利用者の準拠が完了すると考えること。に反します。
  • を証跡収集サービスと考えること。報告書の入手が役割です。
  • を一度の対応で終わると考えること。継続的な点検が必要です。

参考文献

  1. ※1出題比率: AWS 公式の試験ガイドに記載された、採点対象の設問のうちその分野が占める割合です。

検索

キーワードを入力してください