この記事では、組織全体の AI エージェントのガバナンスとセキュリティのプラクティスを確立する方法について説明します。 AI エージェントのガバナンス ポリシーの形成は、AI エージェント導入プロセスの ガバナンス エージェント ステップにとって重要です (図 1 を参照)。
Figure 1。Microsoftの AI エージェント導入プロセス.
組織全体の AI エージェント用の単一のコントロール プレーンを確立する
すべてのエージェントは、監視可能で管理され、セキュリティで保護されている必要があります。 すべての AI エージェントは、組織のリスクを生み出します。 エージェントはデータにアクセスします。 エージェントはアクションを実行します。 エージェントは委任された権限で動作します。 組織のリーダーは、次のことが可能である必要があります。
- 存在するエージェントを特定する
- 所有者を決定する
- アクセスできる内容を制限する
- 彼らが何をするのかを観察する
- 彼らがしてはいけないことを止める
一元化されたエージェント コントロール プレーンを使用すると、プラットフォームやデプロイ モデルに関係なく、すべての AI エージェントで一貫したガバナンスを実現できます。
推薦： 次の機能を提供するエージェント コントロール プレーンを使用します。
- 一元化されたエージェント ID
- 一貫性のあるポリシーの適用
- 統合インベントリと所有権
- 継続的な行動の可視性
- クロスプラットフォーム ガバナンスの監視
次のガバナンス プラクティスを使用して、この推奨事項を適用します。
エージェント ガバナンスの責任を組織に割り当てます。 AI エージェントは、アプリケーションや ID に似た組織のリスクを導入します。 ガバナンスには明確な説明責任が必要です。 ベスト プラクティス: エージェント ガバナンスの所有権を、クラウド ガバナンス、セキュリティ、コンプライアンスを担当する同じリーダーに割り当てます。 エージェントの監視を既存のAzureガバナンス構造に合わせます。 並列ガバナンス モデルの作成は避けてください。
決定ガイダンス: エージェントの使用が制限されている場合は、既存のガバナンス フォーラムで十分な場合があります。 エージェントが複数の部署で使用されている場合は、ガバナンスを見直し、定義された権限を使用して AI エージェントのアカウンタビリティを形式化します。 一元的な所有権により、一貫性が向上します。 これには明確な意思決定権限が必要です。
エージェント レジストリを維持します。 追跡されていないデプロイまたは "シャドウ" デプロイは、セキュリティとコストのリスクをもたらします。 組織は、クラウド環境全体ですべての AI エージェントを検出して分類し、AI 資産の完全なインベントリを維持します。 存在を知らないエージェントを管理することはできません。 ベスト プラクティス: すべての AI エージェントを 1 つの組織のインベントリに記録する必要があります。 所有権、目的、プラットフォーム、アクセス スコープを追跡します。 エージェントを管理対象の組織リソースとして扱います。 エージェント 365 は、採用時に エージェント レジストリを 提供します。
決定ガイダンス: エージェント 365 が使用可能な場合は、組み込みのレジストリを使用します。 環境が小さい場合は、早期導入のために手動追跡で十分な場合があります。 エージェント 365 を大規模に使用できない場合は、Microsoft Entra エージェント IDをエージェント ID と所有権の権限のあるソースとして使用します。 この方法では、統合レジストリが採用されるまでの構造と可視性が提供されます。
すべてのエージェントに 1 つの ID が必要です。 エージェント アクションは、一意の ID に起因し、強制可能である必要があります。 ベスト プラクティス: 各エージェントが個別のエージェント ID で動作するように要求します。 id、アクセス許可、およびライフサイクル制御を割り当てるには、Microsoft Entra エージェント ID を使用します。 エージェントアクセスを組織の ID ポリシーにバインドします。 Entra エージェント IDにより、エージェント プラットフォーム間で一貫した ID 管理が可能になり、エージェントは既存のAzure ID ガバナンスに合わせて調整されます。
エージェント プラットフォーム間でポリシーを一貫して適用します。 エージェントは、実行場所に関係なく、同じ組織規則に従う必要があります。 ベスト プラクティス: データ アクセス、ID の使用、および許可されるアクションのポリシーを定義します。 ファースト パーティのエージェント、カスタム エージェント、およびサード パーティのエージェント間でポリシーを一貫して適用します。 チーム レベルのルールだけに依存しないでください。 エージェント 365 では、一元化されたエージェント ポリシー構成がサポートされます (採用されている場合)。 エージェント設定を使用して、許可されるエージェントの種類、共有、ポリシー、およびユーザー アクセスを構成します。 [ ツール] ページで、AI を利用したツールと MCP サーバーを表示し、許可またはブロックすることを選択します。
エージェントのアクティビティとツールを観察します。 エージェントのリスクは、動作と使用の進化に伴って変化します。 ベスト プラクティス: エージェントアクティビティ、アクセスパターン、ポリシーコンプライアンスの継続的な可視性を維持します。 観察された動作を使用して、ドリフト、新たなリスク、コントロールのギャップを特定します。 エージェントの導入スケールに合わせてガバナンスの決定を調整します。 エージェント 365 は、 ヒーロー メトリックなどの組織レベルの可視性を提供します。 エージェント マップを使用して、エージェントを視覚的に表示します。 チームが エージェントを自動インストルメント 化して、開発者が監視コードを手動で記述する必要をなくし、セットアップを簡素化し、一貫したパフォーマンス追跡を保証します。
コストを追跡して割り当てます。 AI エージェントは、コンピューティング能力、トークン、API 呼び出しなどのリソースを消費します。 可視性がなければ、コストはすぐにエスカレートします。 部門やプロジェクト全体のエージェントの使用状況とコストの統一されたビューを確立して、トークンの使用量やコンピューティングの使用状況などのメトリックを追跡します。 このデータを部門またはプロジェクト別に整理して、コストが集中する場所を特定します。 コスト センター タグを適用して、エージェントの経費を正確に割り当てます。 コストの内訳を明確に視覚化するには、エージェントまたはユース ケースごとにリソースにタグを付ける必要があります。 支出が予算のしきい値に近づいたときにチームに通知するようにリアルタイムアラートを設定します。 これらのアラートはオーバーランを防ぎ、プロアクティブな財務管理をサポートします。 エージェントを作成、デプロイ、スケーリングできるユーザーを制限してリスクを軽減し、承認された担当者のみが AI デプロイを管理できるようにします。
エージェント 365 が採用されていない場合: エージェント 365 を使用できない場合、組織は次のような個別のサービスからガバナンスシグナルを収集できます。
- AI エージェントの ID のためのMicrosoft Entra。
- Microsoft Purview AI エージェントのデータ ガバナンスとコンプライアンス。
- ai エージェントのセキュリティ監視用の Microsoft Defender
- Azure Monitor Microsoft Foundry および Copilot Studio エージェントを一元的に監視します。
Microsoft支援:
Foundry: チームは、FoundryがAgent 365とどのように統合されているかを評価するために、次のプラットフォームの機能を確認する必要があります：Microsoft Entra Agent Identity、および中央の可観測性を実現するためにエージェントをAgent 365に発行します。 また、エージェント アプリケーションの監視方法については、エージェントの監視、モデルのデプロイの監視、ダッシュボードを使用したアプリケーションの監視に関する記事を参照してください。
コストを計画および管理し、 管理センター を使用してクォータとアクセスを一元的に管理します。 エージェント 365 を使用できない場合は、Microsoft Defender for Cloud を使用してエージェント ワークロードを検出して分類します。
Automation:Data Agent Governance and Security Accelerator を使用すると、Defender for Cloud、診断、タグ付け、コンテンツの安全性の統合を使用して、Microsoft Foundry リソースのガバナンスを自動化できます。
データ ガバナンスとコンプライアンス
組織では、エージェントがデータにアクセスし、処理し、格納する方法を制御するための具体的なメカニズムが必要です。 これらのメカニズムにより、規制要件と企業ポリシーが、エージェントの動作に関する境界を適用する技術的な制御に変換されます。 データ ガバナンスは、使用できるデータ エージェント、操作できる場所、および情報を保持できる期間を定義することで、責任ある AI デプロイの基盤を確立します。
規制に対するコンプライアンス
すべてのエージェントは、規制と標準に準拠する必要があります。 規制コンプライアンスには、データ保護法 (GDPR や HIPAA など)、業界認定、および内部ガバナンス要件が含まれます。 これらの規制を基本的な制御に変換して、エージェントが責任を持って、安全に、透過的にデータを処理できるようにします。
データ プライバシーを適用する。 エージェントは、データプライバシーの原則に従い、目的の機能に必要なデータのみを使用するように要求します。 AI モデルに組み込まれるデータセットをレビューして、RAG、微調整、またはトレーニングを行い、プライバシー リスクを特定します。 メモリ ストアとログを定期的に監査します。 可能な場合は、個人データを匿名化または仮名化します。 組織のプライバシー ポリシーに合わせて、削除要求などのユーザー権限をサポートします。
データ所在地のコンプライアンスを義務付ける。 エージェントがデータ所在地と主権の要件を満たす環境で動作することを確認します。 コンプライアンスを確保するために、各データ ソース、エージェント ランタイム、出力ストレージの場所を特定します。 Azureリージョンまたはオンプレミス環境を使用して、データ居住地ポリシーに準拠します。 機密性の高いコンテンツの不要な保存を回避し、コンプライアンスポリシーまたは運用ポリシーに必要なものだけを保持し、保存時にデータを確実に暗号化するようにログ記録を構成します。
データ保持ポリシーを定義します。 ログ、メモリ、トレーニング データに定義済みの保持期間を適用します。 エージェントの機能に必要なコンテキストのみを保持するために、自動消去または匿名化プロセスを実装します。 エージェントは、保持期間についてユーザーに通知し、削除メカニズムを提供する必要があります。 保持ポリシーをデータの作成、アーカイブ、削除、およびパージをカバーする完全なライフサイクル管理に拡張します。
Microsoft支援:
Foundry: Microsoft Purview コンプライアンス マネージャー を使用して、EU AI 法などの規制を制御に変換し、AI アプリケーション全体のコンプライアンス体制を評価します。
Microsoft Purview API を使用して、コンプライアンス自動化をエージェント ワークフローに統合します。 Foundry の
Copilot Studio: governance とセキュリティのベスト プラクティスに従います。
データの場所を使用して、データ主権を尊重します。 プラットフォームの コンプライアンス (ISO、SOC、HIPAA) の認定を参照してください。
企業のコンプライアンス
すべてのエージェントは、責任ある AI ポリシーに準拠している必要があります。 企業のコンプライアンスにより、エージェントは責任ある AI 原則 (公平性、信頼性と安全性、プライバシーとセキュリティ、包括性、透明性、アカウンタビリティ) に基づいている内部ガバナンス ポリシーに準拠します。 組織は、これらの原則を、エージェントがデータを処理し、意思決定を行い、ユーザーと対話する方法を制御する具体的なコントロールに変換します。 これらのコントロールは、定義された倫理的および運用上の境界内でエージェントが動作することを保証しながら、評判上の損害、規制上のペナルティ、ユーザー信頼の喪失から組織を保護します。
機密データを分離する。 物理境界または論理境界を使用して、機密データをパブリック データ ソースから分離します。 公開エージェントは、内部ビジネス データにアクセスできません。 この分離により、機密情報が誤ってパブリック チャネルに到達するのを防ぐことができます。 Azureランディング ゾーンで、"corp" (内部) 管理グループ サブスクリプションに内部エージェントとデータをデプロイし、"オンライン" 管理グループ サブスクリプションにパブリック エージェントとデータをデプロイします。
データ アクセスを制限し、アクセス許可を適用します。 エージェントに対して、その機能に必要な特定のデータ ソースにのみアクセス権を付与します。 すべての組織データに広範なアクセスを提供しないでください。 エージェントがユーザーの代わりにデータにアクセスする場合は、そのユーザーのアクセス許可を継承していることを確認します。 セッションの整合性を確保するためにデータのクエリを実行するときに、ユーザーの ID またはトークンを安全に渡します。 データを保護するために、Microsoft Purview データ損失防止 (DLP) ポリシーと秘密度ラベルを適用します。 この方法により、たとえば、社内のヘルプデスク エージェントが従業員に対して自分の人事レコードのみを表示することが保証されます。
知識とツールの統合を標準化します。 エージェントが知識やツールに接続して重複を減らし、メンテナンスを簡素化する方法を標準化します。 カスタム統合の代わりに公式の API とコネクタを使用します。 これにより、部門間で複数のエージェントがインフラストラクチャを再利用でき、運用コストが削減されます。 プロジェクト レベルのデータ分離を使用してクロスコンタミネーションを防ぐガバナンス ポリシーに従います。
透明性を義務付ける。 エージェント インターフェイスに AI の関与を明確に開示する。 データがトレーニングまたは推論をサポートしている場合は、内部関係者に通知します。 統合の前に新しいデータ ソースを確認して、コンテンツ、アクセス許可、セキュリティリスクを検証します。
公平性、包摂性、アカウンタビリティを強制します。 組織の責任ある AI ポリシーとの整合性を確保するために、AI の成果に明確な所有権を割り当てます。 責任ある AI ツールを使用して、開発フェーズとテスト フェーズでバイアスと包括性のモデルを評価します。 モデルの評価を定期的に確認して、エージェントがすべてのユーザー グループを公平に扱うことを確認します。 展開を承認し、倫理基準に対する継続的なコンプライアンスを監視する責任を負う人間の役割を指定します。
Microsoftファシリテーション:
Copilot Studio: ソリューション パイプラインを作成して管理し、再利用可能なコンポーネント コレクションを使用し、バージョン ガバナンスを適用します。
エージェントのセキュリティ
すべてのエージェントは、すべてのベースライン セキュリティ要件を満たしている必要があります。 AI エージェントは自然言語を処理し、外部ソースと対話し、多くの場合、自律的な意思決定を行います。 これらの機能により、データ漏洩、データポイズニング、脱獄の試行、資格情報の盗難など、組織が対処する必要があるセキュリティ リスクが発生します。 組織は、エージェント セキュリティを既存のエンタープライズ セキュリティ フレームワークに統合して、一貫性を確保し、露出を減らし、規制コンプライアンスをサポートします。
エージェントのセキュリティ トレーニングを義務付ける。 セキュリティチームと開発チーム向けのターゲットトレーニングを提供します。 エージェントのセーフガードをバイパスする脱獄手法の実際のシナリオ、トレーニング データを操作するデータ中毒攻撃、エージェント インターフェイスを介した資格情報の盗難に焦点を当てます。 このトレーニングにより、認識と準備が強化され、チームは AI 固有の脅威に効果的に対応できるようになります。
AI 脅威保護が必要です。 AI 固有の脅威保護をアクティブ化します。 Defender for CloudのAI 脅威保護は、プロンプト操作、未承認のデータ アクセス、およびその他のエージェント固有の脅威を検出します。 これらの保護は、グローバル脅威インテリジェンスを使用し、Content Safety と統合して、疑わしい動作をリアルタイムで特定します。 これらのツールをアクティブにすると、露出が減少し、新たなリスクへの迅速な対応が可能になります。
インフラストラクチャのセキュリティ ベースラインを適用します。 顧客向けシステムと同じレベルの監視でエージェント インフラストラクチャを扱います。 エージェント ランタイムでは、承認されていないアクセスを防ぎ、安定性を確保するために、顧客向けシステムと同じガバナンスと監視が必要です。
敵対的なテストを義務付ける。 デプロイ前にエージェントの回復性を検証します。 レッド チーミングでは、実際の攻撃をシミュレートして、標準テストで見逃す可能性がある脆弱性を特定します。 これらの演習では、迅速な挿入、データ漏えい、脱獄の試行などの弱点を検出します。 運用環境のリリース前と重要な更新後に、すべてのエージェントに対して敵対的なテストを実行します。 この手順により、悪用の可能性が低下し、敵対的な入力を処理するエージェントの能力が向上します。
入力と出力をフィルター処理します。 統合された安全プロトコルをバイパスしようとする敵対的な入力をブロックします。 すべての受信データ、テキスト、ファイル、およびイメージを、潜在的に敵対的として扱います。 モデルまたはバックエンド システムに到達する前に、入力を検証してフィルター処理します。 テキストからスクリプトと挿入コンテンツを削除し、ファイルの種類とサイズの制限を適用し、モデレーション サービスを使用してメディアをスキャンします。 監視された攻撃パターンに基づいてサニタイズ ルールを更新します。
認証を標準化します。 資格情報管理のリスクを排除するために 、認証にマネージド ID の 使用を義務付けます。 この方法では、開発者がシークレットを処理する必要がないようにし、承認された ID のみがリソースにアクセスできるようにします。
最小限の特権を適用します。 エージェントがアクションを実行するときに、エージェントの機能を厳密に管理します。 エージェントが使用する各ツールは、ユーザーのアクセス許可を適用するか、スコープ付きサービス アカウントを持っています。 データ損失防止 (DLP) ポリシーを使用して、エージェントがアクセスまたは出力できるデータを制限します。 たとえば、エージェントが回答にクレジット カード番号を返さないようにします。
セキュリティ操作と統合します。 AI 関連のアラートが Security Operations Center (SOC) に送られるようにします。 待機時間の急増や未承認のアクセス試行などの異常のしきい値を定義します。 Azure Monitor アラートを使用し、Log Analytics を経由して Microsoft Sentinel にルーティングします。 この統合により、組織の全体的なセキュリティ体制が強化され、エージェントの回復力と信頼性が維持されます。
外部統合を管理する。 エージェントが外部システムと対話する場合は、MCP などの相互運用性標準と A2A などの新しい標準をサポートします。 組織のセキュリティとコンプライアンスの標準を満たす信頼できる MCP サーバーに外部の対話を制限します。 すべての外部エージェント通信を検証し、明示的に承認されたエンティティに制限します。 外部の対話中にデータ アクセスとロジックを実行するための明確な境界を定義します。 これらの対策は、機密情報の漏洩を防ぎ、組織の境界を越えてエージェントの動作を制御します。
インシデント対応計画を確立します。 誤動作や損害が発生した場合にエージェントをすばやく無効にする方法を事前に決定します。 インシデントを伝える方法を計画します。 フォレンジック分析のログを保持し、利害関係者を更新するための手順を含めます。 システムの場合と同様に、AI エージェントのディザスター リカバリー計画を確立します。 エージェントが重要な操作をサポートしている場合は、訓練を実行して、チームが圧力の下で対応する方法を確実に把握します。
Microsoft支援:
Foundry: Azure Foundry のセキュリティ ベースラインを標準ポリシーとして確認します。
AI Red Teaming Agent を使用して、デプロイ前にアプリケーションの安全性とセキュリティの問題をスキャンするように強制します。 AI Red Teaming Playground Labs も参照してください。 有害なコンテンツを軽減するためにベースライン ガードレールとコントロール を適用します。
Purview DLP ポリシーと組み合わせるか、Purview 内またはスタンドアロン ソリューションとしてカスタム検出機能を追加して、機密データの漏えいを減らします。
Azure ロールベースのアクセス制御を使用して、最小特権ロールを適用します。 組織全体で 高可用性と回復性の ガイダンスを適用します。
Copilot Studio: セキュリティとガバナンスのガイダンスを確認します。 自動セキュリティ スキャンを有効にし、agent ランタイム保護の状態を確認して、継続的な検証を行います。
エージェント開発標準
すべてのエージェントは、承認済みのフレームワークとプロトコルのみを使用する必要があります。 組織は、エージェントがツール、データ、および相互に対話する方法を標準化して、一貫性、安全性、相互運用性を確保します。 ビジネス リーダーは、許容できるプロトコルとフレームワークを定義し、すべてのエージェント開発作業で使用を義務付けています。
エージェント フレームワークを標準化します。 エージェント開発用の一貫したフレームワークと SDK のセットを確立します。 このアプローチにより、複雑さが軽減され、部門間のコラボレーションが向上し、長期的なメンテナンスが簡略化されます。 エージェントのオーケストレーションと統合に対する構造化されたアプローチを提供し、新しいエージェントの迅速なオンボードをサポートするオプションを標準化します。 フレームワークを選択するときは、既存のインフラストラクチャとの互換性を確保して、フレームワークが現在のクラウド アーキテクチャやデータ ソースとうまく統合されるようにします。 堅牢なドキュメントとアクティブなサポートを備えたフレームワークを選択して、起動時間を短縮します。 内部ポリシー要件を満たすために、組み込みのコンプライアンス機能とセキュリティ機能を含むフレームワークを優先します。 これらの選択肢を標準化することで、配信を高速化し、リスクを軽減する予測可能な開発環境が作成されます。
エージェント プロトコルを標準化します。 プロトコルは、エージェントがツール、データ、および相互に対話する方法を定義します。 すべてのエージェント開発作業では、標準的なプロトコルを使用して、セキュリティで保護された予測可能な動作を保証します。 採用する 2 つの主要なプロトコルは、モデル コンテキスト プロトコル (MCP) とエージェント間プロトコル (A2A) です。 MCP は、ツール、API、およびデータ ソースへの構造化された安全なアクセスを提供します。 これにより、エージェントがアクセスできる範囲に境界が適用され、承認されていないアクションが防止され、コンプライアンスがサポートされます。 A2A を使用すると、エージェント間の一貫した通信が可能になります。 タスクの委任とコンテキスト共有がサポートされています。これにより、調整が向上し、マルチエージェント システムのエラーが軽減されます。 これらのプロトコルは、組織全体のエージェントに共通の言語を作成します。 明確な相互作用ルールを適用することで、統合オーバーヘッドを削減し、相互運用性を向上させ、ガバナンスをサポートします。
Microsoft支援:
Foundry: Microsoft Agent Framework および Foundry SDK を使用して開発を標準化します。 これらのツールは、エージェントのオーケストレーションと統合に対する構造化されたアプローチを提供します。
Copilot Studio: ローコード開発には authoring canvas を使用し、knowledge ソースを外部データおよびサービスと統合します。
環境の準備
環境とは、ワークロードと AI エージェントが開発、デプロイ、運用される制御された空間です。 目標は、すべての AI 環境がガードレールとして機能するガバナンス ポリシーを確実に適用し、すべてのワークロードとエージェントに一貫性、セキュリティ、コンプライアンスを提供することです。 これらのガードレールは、迅速で安全な開発を可能にしながら、チームを保護します。
強制戦略で共同作業を行います。 ガバナンスは、コントロールと機敏性のバランスを取る必要があります。 過度に厳格なポリシーは、開発を遅らせ、イノベーションを妨げる可能性があります。 ワークロード チームと協力して、即時の制限ではなく監視から始まるアプローチを定義します。 まず、監査ベースのモデルを使用して動作を観察し、パターンを特定し、必要に応じてより厳密な制御を徐々に導入します。 この段階的なアプローチにより、ガードレールを時間の経過と同時に調整しながら中断を最小限に抑えることができます。
環境を管理します。 環境を管理することは、PaaS、IaaS、SaaS のいずれであっても、すべてのプラットフォームに一貫した組織のポリシーと制御を適用することを意味します。 組織は、すべての環境が企業の標準および規制要件に準拠していることを保証する責任を負います。
PaaS プラットフォームと IaaS プラットフォーム: エージェントを構築するために、一貫して管理されるアプリケーション ランディング ゾーンを確立します。 これらのアプリケーション ランディング ゾーンは、ID、ネットワーク、およびセキュリティ制御の基礎を提供します。 AI エージェントでは、特殊なアプリケーション ランディング ゾーン アーキテクチャは必要ありませんが、ガバナンス ポリシーには使用中のサービスが反映されている必要があります。 詳細なガイダンスについては、 AI 環境の準備に関する記事を参照してください。
SaaS プラットフォーム: プラットフォームは完全に管理されているため、ランディング ゾーン基盤は必要ありません。 代わりに、組織のポリシーとベスト プラクティスに従って ID、アクセス、データ ガバナンスの設定を構成することに重点を置きます。 セキュリティと規制の整合性を維持するために、可能な限りコンプライアンス制御を適用します。
Microsoftファシリテーション:
Copilot Studio: governance とセキュリティのベスト プラクティスに従います。 ワークロードを分離するように環境を構成します。
データ損失防止 (DLP) ポリシーを適用して、各環境内のコネクタの使用を制御します。
テンプレートからエージェントを作成します。