AI 利用セキュリティポリシー
金融決済システム開発における生成AI利用時のセキュリティガイドライン
AI 利用セキュリティポリシー
金融インフラ開発に携わる組織として、生成AIの利活用にあたり以下のセキュリティポリシーを遵守してください。
1. データ分類と AI ツールへの入力制限
| データ分類 | 例 | AI への入力 |
|---|---|---|
| 極秘 | 暗号鍵、認証トークン、顧客口座情報、決済認証情報 | 禁止 |
| 機密 | 社内API仕様、決済ロジック、顧客PII、SWIFT関連情報 | 禁止 |
| 社外秘 | 社内ドキュメント、設計書、基幹システムアーキテクチャ情報 | 禁止 |
| グループ内 | グループ内共有ドキュメント、技術標準 | 承認済みツールのみ |
| 公開 | OSS コード、公開API仕様、技術ブログ | 利用可 |
重要: 金融システムの特性上、社外秘以上の情報は承認済みツールであっても入力を禁止します。
2. 承認済み AI ツールと設定
GitHub Copilot
- Business プランで利用（コード片がGitHubに送信されない設定）
Suggestions matching public codeは Block に設定- 決済コアリポジトリ、資金決済システムリポジトリでは無効化
- 公開情報ベースの開発（共通ライブラリ、ツール類）でのみ有効化
Claude Code
- Enterprise プランで利用
--allowedToolsで利用可能ツールを制限- CLAUDE.md に社内コーディング規約とセキュリティルールを記載
- 決済関連コードの直接的な生成には使用しない
3. プロジェクト別の利用可否
| プロジェクト区分 | AI コード生成 | AI コードレビュー | AI ドキュメント生成 |
|---|---|---|---|
| 資金決済システム | 禁止 | 参考のみ（最終判断は人） | 禁止（機密情報含む） |
| バンキング基幹 | 限定的（非決済ロジック） | 参考のみ | テンプレートのみ可 |
| 社内ツール・共通基盤 | 利用可 | 利用可 | 利用可 |
| 技術検証・PoC | 利用可 | 利用可 | 利用可 |
4. 禁止事項
- 顧客の個人情報（氏名、口座番号、取引履歴等）をプロンプトに含めること
- 決済ロジック・資金移動ロジックのソースコードをAIに入力すること
- AI 生成コードをレビューなしで本番環境にデプロイすること
- 社外の AI チャットサービスに社内コードを貼り付けること
- AI ツールのログ・履歴を社外のサービスに同期すること
- 未承認の AI ツール・プラグインの導入
5. インシデント対応
AI ツールに誤って機密情報を入力した場合：
- 直ちに情報セキュリティ部門およびプロジェクトリーダーに報告
- 該当セッション/会話を削除
- 影響範囲の調査と記録
- 社内インシデント対応プロセスに従い報告
- 必要に応じて顧客・監督官庁への報告
6. 監査とモニタリング
- AI ツールの利用ログは 1年間 保持します
- 四半期ごとに AI 利用状況の監査を実施します
- 不審な利用パターンは自動アラートで検知されます
- 年次の FISC 安全対策基準準拠状況確認に AI 利用状況を含めます