AIエージェントのセキュリティチェックリスト｜経営者と責任者が確認する項目

AIエージェントのセキュリティは、設定項目の有無ではなく、許可した外部送信・更新・確定・削除等の操作が想定どおりに制限され、異常時に止められることを証跡で確認して判断します。本記事では、利用前と利用中を分け、自社の確認事項と提供者・開発者への質問を整理し、未確認を合格にしない判定方法を示します。

AIエージェントのセキュリティチェックリストの使い方

このチェックリストは、決めた統制が実際に効いているかを証跡で確認し、開始・条件付き利用・停止を判断するために使います。

本記事の確認項目は、総務省・経済産業省「AI事業者ガイドライン（第1.2版）」と民間資料を踏まえてラクダ編集部が整理したものであり、公式の「AIエージェント向けチェックリスト」ではありません。AI事業者ガイドラインは非拘束的なソフトローで、法令上の義務を列挙したものでもありません。内容は2026年8月1日に確認しています。

同ガイドラインの別添7には全主体向けのチェックリストがありますが、共通の指針を要約したもので、「AIエージェント」「外部送信」「権限」「ログ」といった具体的な確認項目はありません。同じ掲載ページでは、検討に使えるExcelのワークシートが無償公開されています。本記事では、その一般的な確認と、AIエージェント固有の統制検証を混同しません。

判定は次の状態で統一します。チェック欄だけではなく、確認日、確認者、証跡の保存先を同じ行に残してください。

判定	意味	利用の扱い	必要な記録
合格	合格条件を満たす証跡がある	承認された範囲で利用できる	確認対象、証跡、確認日、確認者
条件付き	未解決項目があるが、影響範囲を実際に制限できる	対象業務・接続先・操作等を限定する	制限内容、解除条件、再確認の契機
未確認	確認していない、または証跡を取得できない	合格として扱わない	不足する証跡、取得先、担当窓口
不合格	許可外の操作、追跡不能、安全な停止不能等がある	実行と結果利用を止める	停止理由、影響範囲、是正結果

確認項目は新しい台帳へ転記しなくても構いません。ガイドライン第1.2版は、後から容易に確認できる形で記録が残れば、紙や特定の文書形式である必要はないとしています。既存の申請、チケット、設定画面、テスト結果、ログを結び付ければ十分です。関連テーマはAI関連記事一覧から確認できます。

利用前に自社で確認する項目

利用前は、目的や承認済み範囲が実際の設定・接続・テスト結果と一致し、利用者が停止と報告の方法を実行できる場合に合格です。

経営者や導入責任者は、要件を一から作る手順ではなく、すでに承認した利用目的、対象業務、許可する操作、対象外の操作、重大な影響が生じ得る場面を確認対象にします。方針書に書いてあるだけでは足りません。設定画面や試験結果と照合し、方針と実装に差がないことを確かめます。

確認対象	なぜ確認するか	合格条件	見る証跡
入力経路と外部連携	多様な入力経路や外部連携が増えると被攻撃対象が拡大するため	承認済みの経路と実際の接続先が一致し、未登録の接続を拒否できる	接続一覧、構成画面、拒否テストの結果
外部送信・更新・確定・削除等の操作	自律的な動作の中で、人間が意図しない注文やファイル削除等が起こり得るため	許可した操作だけが通り、許可外の操作が実行前に止まる	操作権限の設定、否定テスト、停止記録
変更と依存関係	通常のAIシステムより保守やトラブルシューティングが難しくなる場合があるため	更新前後の構成差分、影響を受ける連携、戻し方を確認できる	変更履歴、依存関係一覧、復元テスト
内部データの外部送信	挙動を不正に操作され、内部データが意図せず外部へ送信される可能性があるため	未承認の送信先やデータ範囲を遮断し、その結果を追跡できる	送信先制御、遮断テスト、通信・操作ログ

利用者教育も受講記録だけで合格にしません。利用者が、承認された用途、許可外の操作を見つけたときの停止方法、報告先、AIの出力をそのまま重要判断へ使えない場面を説明し、テスト環境で実行できることを確認します。AI事業者ガイドライン第1.2版の別添5は、AI利用者について、利用前の必要な知識・技能の習得と基本的な動作確認を分けて示しています。

提供者・開発者へ確認する項目

提供者・開発者へは、利用企業から見えない権限、データ参照、認証、更新、ログ、停止機能を質問し、回答だけでなく確認可能な資料を受け取ります。

「権限を業務遂行に必要な最小限に設定する」はAI事業者ガイドライン第1.2版の別添4にあるAI提供者向けの記述です。「必要最小限のデータ入力・参照」は別添3にあるAI開発者向けの記述です。どちらもAI利用者への公式要求と書かず、提供元へ実装状況を確認する観点として扱います。

質問する相手	確認する質問	合格条件	求める証跡
AI提供者	エージェント、利用者、連携システムの権限をどの単位で制限できるか	自社が承認した操作範囲を設定でき、設定値を確認できる	権限仕様、設定の出力、制限テスト
AI開発者	判断に使うデータの入力・参照範囲をどのように限定しているか	参照元と対象属性を特定でき、不要な参照を拒否できる	データフロー、参照設定、試験結果
AI提供者	エージェントをどのように識別・認証し、認証情報を失効できるか	正規の個体を識別でき、停止時に認証を無効化できる	識別子、認証方式、失効テスト
AI提供者・開発者	更新が連携先や別のAIへ与える影響をどう確認するか	変更内容と影響対象を事前に確認でき、問題時に戻せる	変更通知、依存関係、復元手順の試験
AI提供者	どの操作ログを取得・出力でき、保持や削除をどう設定できるか	必要な追跡項目を取得でき、不要なデータや冗長なログを削除できる	ログ仕様、出力例、保持・削除設定

回答が「安全対策を実施済み」「業界標準に準拠」といった説明だけで、対象機能、適用範囲、確認方法が示されない場合は未確認です。第三者認証の有無だけでも、今回のエージェントに許可した操作が制限されていることまでは証明できません。

エージェントの登録・所有者・廃止を確認する項目

稼働中のエージェントを一意に識別でき、作成者・所有者・用途・状態・廃止結果を後から追える場合に合格です。

ガートナージャパンが2026年5月21日に発表した民間のプレスリリースは、正規のエージェントと乗っ取られたものの判別が難しいこと、古いエージェントの放置、作成者・所有者の明確化を論点に挙げています。これは公的資料ではなく民間企業の見解です。本記事ではプレスリリース本文を2026年8月1日に確認し、棚卸しの確認観点として参照しています。

確認項目	合格条件	証跡	不合格となる状態
個体の識別	稼働する個体ごとに重複しない識別情報がある	登録情報、実行ログ上の識別子	同名の個体をログで区別できない
作成者・所有者	作成元と現在の管理主体を確認できる	作成記録、所有者の承認記録	退職・異動後も所有者が空欄
用途と接続先	承認された用途と現在の接続先を照合できる	承認記録、構成情報	承認記録にない接続がある
稼働状態	本番、検証、停止、廃止を見分けられる	状態一覧、認証の有効・無効記録	停止済みとされる個体が実行できる
廃止結果	接続、権限、認証情報、定期処理を無効化できている	無効化結果、再接続の拒否テスト	古い個体や認証情報が残る

製品名や人のアカウントだけで管理すると、同じサービス内で複製されたエージェントを区別できない場合があります。棚卸しでは登録件数を数えるだけでなく、ログに出る個体と登録情報を突き合わせ、所有者不明、用途不明、停止済みなのに実行可能なものを不合格として扱います。

外部連携と許可した操作が統制どおりか確認する項目

外部連携と操作権限は、設定表を読むだけでなく、許可した操作が通り、許可していない操作が止まることを安全な環境で確認します。

本記事の役割は、どこまで実行させるかを決めることではなく、決めた範囲が実装されているかを検証することです。承認済みの一覧から、参照元、送信先、更新対象、確定・削除の可否を一つずつ設定へ照合します。外部送信、更新、確定、削除は「まとめて操作可能」とせず、別々に確認します。

合格には肯定テストと否定テストの両方が必要です。肯定テストは許可した対象・操作が予定どおり完了すること、否定テストは未登録の送信先、範囲外のデータ、許可されていない更新や削除が拒否されることを確かめます。拒否された事実がログに残り、運用責任者へ通知されるところまで追います。

設定と実行結果が食い違う場合、画面上の設定を正として処理を続けません。実行結果を優先して不合格とし、接続または権限を無効化します。テストできない重要操作は「問題なし」ではなく未確認です。本番データを使わない検証方法を提供元と決め、結果を取得できるまで範囲を限定します。

利用前にログ管理体制を確認する項目

利用前のログ管理は、後から個体・入力元・接続先・操作・結果・人の判断を関連付けて追えることを確認します。

AI事業者ガイドライン第1.2版の別添5は、利用前の項目として、操作履歴や入力・出力の記録等を含むログの管理体制を整えることを示しています。これは、利用中に適正な範囲・方法かを定期的に確認する項目とは別です。ログを保存できることだけで、運用中の確認まで実施済みにはなりません。

ログで答えられる問い	必要な記録	合格の確認	不足時の扱い
どの個体が動いたか	エージェントの識別情報、版、状態	登録情報と実行記録が一致する	個体を特定できなければ停止
何を参照したか	入力元、参照先、対象範囲	承認済みの範囲と照合できる	参照範囲が不明なら結果を利用しない
何を実行したか	外部送信、更新、確定、削除等の対象と結果	一連の操作と成否を追える	最終結果だけなら未確認
どこで人が判断したか	判断対象、確認内容、承認・差し戻し	重大な影響に応じた判断を追える	承認ボタンだけで内容不明なら未確認
何が変わったか	設定、接続先、権限、版の変更	変更前後と変更者を照合できる	差分を追えなければ変更を戻す
どう止まったか	例外、遮断、通知、影響対象	停止から影響確認まで関連付けられる	停止後の処理が不明なら再開しない

入力・出力をすべて無期限に保存すればよいわけではありません。利用目的と追跡に必要な範囲を定め、アクセスを制限し、利用中は不要なデータや冗長なログの削除を確認します。ログ自体に保護対象の情報が含まれる場合もあるため、閲覧者と削除結果を証跡に含めます。

利用中に適正な範囲・方法か確認する項目

利用中は、実際の接続・操作・例外・変更が承認範囲内にあるかを定期および変更時に確認し、逸脱を放置しない場合に合格です。

確認間隔を一律の日数で固定するのではなく、操作の影響、変更、例外の発生に応じて決めます。少なくとも、接続先や権限の変更、エージェントや連携先の更新、所有者の変更、許可外操作の検知、ログ欠落があったときは、次の通常確認を待たず再確認します。

利用中に照合するもの	確認内容	合格条件	証跡
登録情報と実行個体	未登録・停止済みの個体が動いていないか	すべての実行を登録済み個体へ結び付けられる	棚卸し結果、実行ログ
承認範囲と実行操作	範囲外の参照・送信・更新等がないか	逸脱がなく、拒否も記録されている	操作ログ、拒否記録
変更通知と現在の構成	更新で接続や制御が変わっていないか	差分と影響を確認し、必要な再試験を終えている	変更通知、構成差分、再試験結果
例外と対応結果	例外を一括したエラー名で終えていないか	原因、到達した処理、停止範囲、判断を追える	例外記録、停止・報告記録
保持方針と保存実態	不要なデータや冗長なログが残っていないか	削除対象と削除結果を確認できる	保持設定、削除記録

モニタリング画面に異常が表示されていないだけでは合格になりません。抽出した実行記録を承認範囲へ照合し、許可した操作の成功だけでなく、許可外操作の拒否、例外時の通知、停止後に処理が続いていないことまで確かめます。

出力と人間の判断が必要な場面を確認する項目

出力は、正確性・必要性・機密性を用途に応じて確認し、重大な影響または被害が生じ得る場合に人間の判断が実際に介在しているときに合格です。

AI事業者ガイドライン第1.2版の別添5は、すべての出力への一律承認を求めていません。出力によって重大な影響または被害が生じ得る場合に、人間の判断を介在させる仕組みに基づいて適宜判断するという整理です。そのため、低影響の下書きと、外部送信、重要情報の取り扱い、元に戻せない更新を同じ確認方法にしません。

確認場面	見るもの	合格条件	不合格となる状態
業務成果物の利用前	入力根拠、出力、受入基準、修正履歴	正確性・必要性・機密性を用途に応じて確認済み	正常終了だけで利用可としている
重大な影響が生じ得る操作前	予定する対象、操作、影響、取り消し可否	権限を持つ人が内容を確認し、判断が記録される	確認内容が見えないまま処理が進む
差し戻し時	差し戻し理由、修正内容、再確認結果	修正前後と最終判断を追える	黙って修正し合格へ変えている
重要情報を扱う処理	参照範囲、送信先、人の判断	承認された範囲を超えず、必要な場面で人が介在する	範囲外参照や未確認の外部送信が可能

民間側の補足として、ガートナージャパンの同プレスリリースは、本当に重要なデータを扱う場合にはAIエージェントに依存せず人間を介在させ、目的達成に不可欠なデータ範囲を超えない制御が必要だと述べています。公的ガイドラインの記述と混ぜず、重要情報を扱う場面の確認材料として位置付けます。

例外・停止・報告・再開を確認する項目

例外対応は、検知後に実行と結果利用を止め、影響を特定し、提供者・開発者と共有し、是正後の再試験を経て再開できる場合に合格です。

「異常時は停止する」という規程だけでは、統制が効く証拠になりません。未登録個体、許可外の接続・操作、ログ欠落、出力の確認不能、認証情報の失効失敗など、検知できる状態ごとに停止テストを行います。

検知した状態	直ちに確認すること	再開の合格条件	残す証跡
未登録または識別不一致の個体	接続、権限、認証情報、実行済み操作	個体を隔離し、影響範囲と正規個体を確認済み	検知、無効化、影響確認の記録
許可外の外部送信・更新・確定・削除	処理がどこまで進んだか、取り消し可能か	停止と必要な復元を終え、否定テストに合格	操作ログ、停止・復元・再試験結果
ログの欠落	欠落期間、対象個体、接続、結果利用先	追跡可能性を回復し、欠落中の結果を再評価	欠落報告、再評価、設定修正
重大な影響がある出力の未承認利用	利用先、影響を受ける相手、修正可能性	影響確認と必要な訂正を終え、判断点を再試験	報告、影響確認、再発防止、承認記録
提供条件や構成の変更	影響する用途、データ、接続、統制	変更後の基本動作と制限を再確認済み	変更差分、再承認、試験結果

AI事業者ガイドライン第1.2版の別添5は、セキュリティ侵害等への措置に加え、インシデント等の情報をAI提供者・AI開発者と迅速に共有して対策を検討することを示しています。自社内の報告だけで閉じず、提供元へ共有した内容、回答、対応結果まで関連付けます。

証跡から合格・条件付き・不合格を判断する

最終判定は、確認欄の数ではなく、重要な統制の有効性を示す証跡と、未解決事項の影響を限定できるかで決めます。

次の順に確認すると、書類があるだけの合格を避けられます。まず、登録情報と実際に動いた個体が一致するかを見ます。次に、承認した接続・操作と設定が一致するかを確かめます。そのうえで、許可した操作と許可外の操作を試し、ログ、通知、停止が連動するかを確認します。最後に、重大な影響が生じ得る場面の人間判断と、例外から再開までの記録を照合します。

最終判定	判定できる状態	経営者・責任者の扱い
合格	個体、接続、操作、ログ、判断、停止を証跡で追え、否定テストも通る	承認済みの範囲で開始または継続する
条件付き	未解決事項があるが、対象・接続・操作・利用先を技術的に限定できる	制限と解除条件を明示して利用する
未確認	必要なログや提供元資料がなく、有効性を判断できない	証跡がそろうまで重要な処理へ使わない
不合格	許可外操作が通る、個体を識別できない、追跡・停止・失効ができない	実行と結果利用を止め、影響確認と是正を行う

条件付きは、担当者が「注意して使う」という運用では成立しません。接続先を外す、操作を読み取りに限定する、重要な結果の利用先を隔離するなど、制限が実装され、回避できないことが必要です。未確認を期限の都合で合格へ変更せず、確認できない理由と必要な証跡を残します。

よくある質問

AIエージェントのセキュリティチェックで迷いやすい判定と証跡の考え方を整理します。

Q1. 小規模な試行でもすべての確認項目が必要ですか？

確認領域は省略せず、証跡の深さと利用範囲を影響に応じて調整します。小規模でも、個体の識別、接続先、許可操作、ログ、停止・報告先は確認します。未解決項目があれば、実データを使わない、外部送信や更新を許可しないなど、実装で範囲を限定して条件付きとします。

Q2. ベンダーが安全だと回答すれば合格にできますか？

回答だけでは合格にできません。今回の用途に適用される権限、データ参照、認証、ログ、更新、停止の範囲を特定し、設定の出力やテスト結果を確認します。資料を開示できない項目は未確認として、自社側で制限できる範囲を決めます。

Q3. すべての操作に人間の承認を入れる必要がありますか？

一律の全件承認ではありません。AI事業者ガイドライン第1.2版は、出力によって重大な影響または被害が生じ得る場合に、仕組みに基づいて適宜、人間の判断を介在させるとしています。承認の有無だけでなく、判断対象と確認内容をログで追えることを確かめます。

Q4. チェック結果は専用の規程や台帳にまとめる必要がありますか？

専用形式は必須ではありません。既存の申請、チケット、構成情報、設定画面、テスト結果、ログが後から容易に確認でき、同じ個体と判断へ結び付いていれば使えます。大切なのは書類名ではなく、統制が実際に効いたことを再確認できる証跡です。

まとめ

AIエージェントのセキュリティチェックは、決めた統制が実際に効き、逸脱時に止められることを証跡で判定する取り組みです。

利用前には、自社の承認範囲と実装を照合し、提供者・開発者へ権限、データ参照、認証、更新、ログ、停止機能を確認します。利用中は、登録した個体と実行ログ、許可した外部連携と操作、変更、例外、必要な人間判断を照合します。許可外操作が通る、個体を識別できない、追跡や停止ができない状態は不合格です。証跡がない状態は未確認とし、範囲を実際に制限できる場合だけ条件付きで扱ってください。

参考資料

本記事で確認した公的資料と、別枠で参照した民間企業の一次資料です。

• 経済産業省「AI事業者ガイドライン等を踏まえたAIガバナンスの実践について」
• ガートナージャパン「AIエージェントのセキュリティに関するプレスリリース（2026年5月21日）」