PCI DSS・個人情報保護を前提にした、生成AI活用のセキュア開発伴走
概要
都内の金融IT企業への、生成AIプロフェッショナルサービスによるご支援です。PCI DSS への準拠と個人情報の保護に重きを置く環境で、高度エンジニアがシステム開発に伴走しました。
金融領域では、動くものを作ることと、それを本番で使えるようにすることの間に大きな隔たりがあります。本件では制約を満たしたまま生成AIを活用する方法を設計段階から一緒に考え、セキュリティと開発力の両面を支援しています。
課題
同社が扱うのは、カード情報や個人情報を含むシステムです。PCI DSS の要件と社内規程の双方を満たす必要があり、一般的な開発現場と比べて設計・レビュー・監査の各段階で求められる水準が高く設定されています。
この環境では、生成AIの活用に次のような壁がありました。
- 外部サービスにどこまでデータを渡してよいのかの線引きが難しく、判断を保留せざるを得ない
- 生成されたコードをそのまま採用できず、レビューの負荷が増える懸念がある
- 「使わない」という判断が最も安全に見えてしまい、検討自体が止まりやすい
技術的な難しさというより、制約と活用を両立させる設計の問題でした。ここを整理できる人材を社内だけで確保するのは難しく、外部の高度エンジニアに入ってもらう形になりました。
ご支援の内容
制約の棚卸しと、線引きの明文化
最初に取り組んだのは、守るべき要件の整理です。PCI DSS の要件と社内規程を突き合わせ、データの種類ごとに「外部に出せるもの／出せないもの」「どの処理までなら許容されるか」を明文化しました。
この線引きが曖昧なままだと、個々の実装判断のたびに議論が振り出しに戻ります。判断の基準を先に決めてしまうことで、開発の速度を落とさずに済むようにしています。
制約を満たす方式の設計
整理した要件をもとに、生成AIを組み込む方式を設計しました。どの処理をどこで行うか、機微な情報をどう扱うか、ログと監査証跡をどう残すかを、実装に入る前に固めています。
セキュリティを後付けの確認項目にせず、アーキテクチャの前提として織り込む進め方です。
実装とレビューへの継続的な参加
設計を渡して終わりにせず、実装フェーズにも継続的に参加しました。高度エンジニアが開発チームの一員としてコードレビューに入り、設計意図から外れた実装が積み上がらないようにしています。
生成AIを開発プロセス自体にも活用し、レビューの観点を整理したり、テストケースの洗い出しを補助したりする形で、求められる品質水準を保ちながら開発のスピードを上げることを狙いました。
運用への引き継ぎ
最終的に社内で回せる状態にすることを前提に、設計の意図と判断の根拠をドキュメントとして残しました。外部依存を前提にしない進め方を重視しています。
進め方
- 要件と制約の整理 — PCI DSS の要件と社内規程を突き合わせ、線引きを明文化する
- 方式の設計 — 制約を満たす形で生成AIを組み込むアーキテクチャを固める
- 実装とレビュー — 開発チームの一員としてコードレビューに参加する
- 運用への引き継ぎ — 設計意図と判断根拠を残し、社内で回せる状態にする
生まれた変化
- 判断を保留していた論点に明文化された線引きができ、実装時の手戻りが減りました
- セキュリティ要件が後工程の確認項目ではなく、設計の前提として組み込まれる進め方になりました
- 生成AIを開発プロセスに取り入れつつ、求められる品質水準を維持できる体制になりました
数値による効果測定は行っていません。掲載できる実測値が得られた際に追記します。
同じようなご相談について
本件は生成AIプロフェッショナルサービスでのご支援です。サービス開発の伴走のほか、アプリケーション開発の受託、生成AIに最適化した組織設計、人材育成にも対応しています。
規制やセキュリティ要件が厳しい領域でも、制約を前提にした設計からご相談いただけます。費用は支援の範囲と体制によって変わるため、個別にお見積りいたします。まずはお問い合わせください。