Q7.AIベンダーのセキュリティレビューでは、何をチェックリストに入れますか？
回答
認証方式、データの保存場所と暗号化、学習利用のオプトアウト、サブプロセッサ、ログ・削除、脆弱性対応、インシデント通知、契約上の責任分界を、社内の調達・情シス・法務で共通テンプレにします。
「有名だから安心」は監査で通りません。SOC2やISO27001のレポート有無、ペネトレーションテスト結果、バグバウンティ、データセンター地域、顧客データのモデル学習へのデフォルト利用を確認します。エンタープライズプランとコンシューマープランで統制が違うことが多いので、契約SKUを明記します。自社が送るデータ区分ごとに「このベンダーは可／不可／条件付き可」を表にし、現場の申請をそこに寄せます。年次の再評価と、重大CVE・ポリシー変更時の速報レビューを組み込みます。
- ●技術: SSO、SCIM、IP制限、監査ログエクスポート
- ●契約: DPA、SLA、損害賠償、データ返却・削除
- ●運用: サポート窓口、障害・漏えい通知のSLA