Box Shield Proで情報セキュリティを高度化！AIで分類ラベルを自動付与し、ドキュメント分類文化の定着と運用高度化を加速

野村総合研究所では、2017年よりコンテンツ管理基盤としてBoxを導入し、部署ごとに分散していたファイルサーバーのセキュリティリスクの解消と、全社的な情報共有基盤の整備を進めてきました。また、2024年にはBoxの最上位プラン「Box Enterprise Advanced」を国内で初導入し、AI活用を前提としたビジネスや業務プロセスの変革にも取り組んでいます。現在、Boxは社内クラウドストレージのデファクトスタンダードとなり、社員テナントだけでも約350TB規模のファイルを保管。今後は中期計画の中で、従来のファイルサーバーをBoxに置き換えていく方針です。

野村證券に源流をもち、金融分野に強みを持つ同社では顧客の機密情報や経営に関わる重要データを扱う機会が多いことから、一般企業以上の高水準のセキュリティが常に求められます。

左から、IT戦略部長 村田龍俊様、IT戦略部 エキスパート 青木優子様
デジタルワークプレイス事業三部 エキスパート 原田修平氏様
デジタルワークプレイス事業三部 アソシエイト 大音優衣様

「昨今は他社のセキュリティインシデントが相次いでおり、お客様からも当社のセキュリティ対策について直接ご質問いただく場面が増えました。また、社内やグループ会社、パートナーを含めて、情報漏洩リスクへの備えがこれまで以上に重要になっています。そのため、事業継続と顧客信頼の観点から情報セキュリティ対策を強化しています」（IT戦略部長 村田龍俊氏）

こうした高い情報セキュリティ意識のもと、同社では2018年頃よりゼロトラストに基づく基盤整備をいち早く開始。その中で、ID認証や端末管理、ネットワーク制御に加え、クラウド上のデータを一元管理する必要性が高まったことが、当初Boxを採用した理由の1つでした。さらに同社ではBoxの高度なセキュリティ機能である「Box Shield」も導入。脅威検出機能によって不審な場所や端末からのアクセスや大量ダウンロードなどを検出するとともに、スマートアクセス機能を活用して分類ラベルに応じたアクセス制御を適用し、情報漏えいの大きな原因と言われる「不注意な行動」と「悪意ある行動」の双方に対する対策を強化してきました。

「Box Shieldの導入効果として大きいのは、退職時の情報持ち出しチェックを仕組み化できた点です。以前は管理者が個別に確認しなければなりませんでしたが、現在は大量ダウンロードの検出などにより、ルールに基づいた確認が可能です。また、スマートアクセス機能により誤操作による情報漏えいリスクも低減し、管理者が都度対応しなくてもガードレールが機能する状態を実現しています」（デジタルワークプレイス事業三部 アソシエイト 大音優衣氏）

さらに、Box Shieldで検出したアラートはログ分析基盤のSplunkに連携し、ダッシュボードで可視化して部門長に共有することで、退職時や不審な挙動が見られる場合には、部門長自身が対象ユーザーの操作内容を確認し、異常の早期発見と迅速な対応につながる体制を整えました。

「大量ダウンロードが発生した際には、ユーザー本人や部門長にメールで通知が届きます。これにより、従業員には操作が可視化されているという意識が自然と生まれ、この環境では不正はできないという認識につながっています。ログによる検出と上長の確認、そしてユーザーの意識を組み合わせることで、三方向から抑止をかけています」（デジタルワークプレイス事業三部 エキスパート 原田修平氏）

Boxを核としたコンテンツ管理基盤の整備を進める中で、同社は2026年1月に「Box Shield Pro」の導入を決定しました。その目的は、従来のBox Shieldではカバーしきれなかった2つの課題に対応するためです。

その1つが、「分類ラベル付与が人力依存だったこと」です。分類ルール自体はあっても、人がファイルにラベルを付与する運用を定着させることは容易ではなく、十分に機能していないという課題がありました。また、手動運用では認識のばらつきや付け間違い、抜け漏れも発生しやすく、スマートアクセス機能の適用が限定的になる要因にもなっていました。

もう1つが、「法廷対応時に機密分類の運用実績を証明する必要性」です。従業員による情報の持ち出しが発生した場合、日本の法制度では営業秘密として認められるために「秘密管理性」「有用性」「非公知性」といった要件を満たす必要があります。中でも特に重要とされる「秘密管理性」を担保するため、機密分類ルールを整理・明確化して従業員に周知するとともに、情報が客観的に「秘密」として区別・管理されている状態の構築に向け、ファイルへの分類ラベル付与の徹底を図る必要がありました。

こうした2つの課題を踏まえ、同社では人手に依存しない仕組みによる統制の必要性を強く認識し、コンテンツの内容や文脈をAIが解析し、組織が定義した基準に基づいて分類ラベルを自動付与するBox Shield Proの「AI分類エージェント」機能を活用することにしたのです。

Box Shield Proを選定したのは、ドキュメントの格納とAIによる分類が同一基盤上で完結できる点を重視した結果です。

「一般的なソリューションでは、別の分類基盤やセキュリティ基盤へのデータ連携のためにワークフロー構築が必要になります。一方、Boxではそうした追加の仕組みを設けることなく、すでに多くの社内データがBoxに集約されているため、ラベル付けからアクセス制御まで一気通貫で実施できる点が魅力です」（IT戦略部 エキスパート 青木優子氏）

Box Shield Proの活用方法としては「極秘」「機密」「社内限」「一般」という4つの分類ラベルを定め、管理者側でそれぞれに該当する情報の内容や判断基準をプロンプトで定義したうえで、以下のプロセスで運用していく方針です。

① Boxにファイルを保存するとAIが内容を解析し、分類ラベルを自動判定して付与
② 判定結果をポップアップで従業員に提示し、分類ラベルを確定
③ Box Shieldのスマートアクセス機能で外部共有やダウンロードなどのアクセス制御を自動適用

これにより、すべてのファイルに対して漏れなく自動で適切な分類ラベルが付与されることになり、分類ラベル付与の人力依存、ならびに秘密管理性の担保といった課題を解決することができます。従来のBox Shieldはパスポート番号など特定キーワードに基づくルールベースの判定にとどまる一方、Box Shield Proは文章の内容や文脈を踏まえ、「どの情報の組み合わせを極秘とするか」などを細かくプロンプトで定義でき、実態に即した柔軟な分類が可能になります。また、Box Automateによるワークフロー自動化を組み合わせ、「極秘情報」や「機密情報」に対して上長承認を必須とする運用を構築し、機密管理体制を強化することも計画しています。

「設計思想としては、まず機密性が疑われるものは安全側に倒し、仮ラベルを付けるフェイルセーフな考え方を重視しています。そのうえで、ポップアップなどを通じて従業員に確認を促し、最終判断は人が行う形にしたいと考えています。最初から複雑なルールを作り込むのではなく、シンプルなルールでスモールスタートし、パイロット運用を通じて継続的にチューニングしていく想定です」（原田氏）

「従業員を強く縛ることが目的ではなく、日常業務の中で自然にセキュリティを意識できる状態を目指しています。確認ポップアップの仕組みもそのために設けたものです。業務を阻害しない形で日常的な気づきを増やし、一人ひとりの意識改革につなげていきたいです」（大音氏）

そう語るように、同社で大切にしているのは、AIにすべてを任せるのではなく、「ヒューマンインザループ」、つまり人の確認を前提とした運用です。その理由は、人による最終確認でAIによる間違いを防ぎ、すべてのファイルを正しく分類できるようにするだけでなく、「ドキュメントに人がラベルを付与する」という文化の定着にも大きな効果があると期待しているためです。

「AIエージェントをセキュリティに組み込むことは非常に有効だと考えています。特に、人手では漏れが出やすいラベル付与のような領域では、AIによる網羅的な支援に大きな価値があります。ただし、すべてをAIに委ねるのではなく、人が内容や文脈を踏まえて最終判断するという役割分担が現実的で安全な運用モデルだと考えています」（青木氏）

「AI時代の理想的なセキュリティは、システムによる網羅的な保護と、社員一人ひとりの意識向上が両立している状態だと思います。個人任せでは対応品質にばらつきが出るため、その底上げをAIが支援することに意義があります。セキュリティは業務の制約ではなく、安全にデータを活用するための基盤です」（村田氏）

なお、同社では今後、Box Shield Proの「ランサムウェアアクティビティ検出」や「AI脅威分析エージェント」の活用も予定しています。Box Shieldでのランサムウェア対策は事後対応が中心でしたが、ランサムウェアによるファイル暗号化は、人間では考えられない速度でファイル更新が繰り返されるといった特徴があります。そのため、AIを活用したリアルタイム検出による早期に異常を捉え、セッション切断やリカバリーまで迅速に対応できることに期待しています。

このように同社では、AIと人の役割を適切に組み合わせることで、セキュリティと利便性を両立する新たな情報管理基盤の構築を進めています。Boxを中核とした一体的な運用により、現場に過度な負荷をかけることなく、全社でセキュリティを実装していく取り組みは、今後の企業におけるデータ活用とセキュリティの両立に向けた有効なアプローチの一つと言えるでしょう。