AI Security Compliance Documentation — External Audit Authority
AIセキュリティ コンプライアンス文書
外部審査機関・認証機関向け
本資料は、Work Rules社会保険労務士法人（以下「当法人」）が実施するAIシステムのセキュリティ管理体制について、外部審査機関・監査法人・規制当局向けに準拠状況を体系的に開示するものです。
SRPⅡ認証 取得済み
全国社労士会連合会 個人情報保護 上位レベル
AI事業者ガイドライン準拠
経済産業省・総務省 第1.2版（令和8年3月31日）
ISO/IEC 27001（ISMS）ギャップ分析クリア済み
2026年4月 ギャップ分析完了
1
AIセキュリティ ガバナンス体制
1-1. 責任体制
AIセキュリティ最高責任者（CAISO）
代表 蒲谷 良司（社会保険労務士）
セキュリティ方針の最終承認権限
↓
セキュリティ管理責任者
管理担当責任者
AIシステム技術責任者
ITシステム担当
業務品質責任者
社会保険労務士（有資格者）
↓
担当スタッフ全員
AIセキュリティ方針の遵守義務
1-2. セキュリティ委員会
| 会議体 | 構成員 | 開催頻度 | 主要議題 |
|---|---|---|---|
| AIセキュリティ委員会 | CAISO・管理責任者・技術責任者・業務品質責任者 | 四半期（法改正時は随時） | セキュリティ評価・インシデント報告・方針改訂・法改正対応 |
| 日常セキュリティ確認 | 技術担当 + 担当スタッフ | 月次 | ログ確認・アラートレビュー・KPI確認 |
| インシデント対応会議 | 関係者全員（随時招集） | インシデント発生時 | 初動対応・被害範囲確認・顧客通知・根本対策 |
1-3. AIセキュリティ方針の適用範囲
| 適用対象 | 内容 |
|---|---|
| 組織の範囲 | Work Rules社会保険労務士法人の全スタッフ・業務委託者・有資格者 |
| システムの範囲 | WRAIAkyuuyoエンジン・Claude API・M365 Copilot・GWS Gemini・Box・Slack・その他承認済みAIツール |
| データの範囲 | クライアント企業から預かる全データ（給与・労務・人事・マイナンバー） |
| 地理的範囲 | 国内業務（海外データ転送は原則禁止） |
2
リスクアセスメント
2-1. リスク評価方法論
当法人はリスクを「発生可能性（1〜5）× 影響度（1〜5）= リスクスコア」で評価し、スコアに応じた対応を決定します。
影響度 →
発生可能性 ↓
発生可能性 ↓
1 軽微
2 小
3 中
4 大
5 壊滅的
5 高
5
10
15
20
25
4 やや高
4
8
12
16
20
3 中
3
6
9
12
15
2 低
2
4
6
8
10
1 極低
1
2
3
4
5
スコア 1〜4: 低リスク（定期監視） 5〜9: 中リスク（対策実施） 10〜14: 高リスク（優先対策） 15〜25: 最高リスク（即時対策）
2-2. 主要リスク一覧（現状評価）
| リスク | 発生可能性 | 影響度 | スコア | 現状の対策 | 残存リスク |
|---|---|---|---|---|---|
| マイナンバーのAI誤入力・漏洩 | 1（技術的禁止） | 5（最高） | 5 | AIシステムからの完全分離・技術的制御 | 低 |
| プロンプトインジェクション攻撃 | 3（外部データ処理時） | 4（大） | 12 | 入力サニタイゼーション・出力バリデーション・HITL | 中 |
| シャドーAI利用による情報漏洩 | 3（啓発前は高） | 4（大） | 12 | 承認済みツールリスト・定期研修・DLPポリシー | 中 |
| サプライチェーン攻撃（AIツール・パッケージ） | 2（管理強化済み） | 4（大） | 8 | 承認リスト管理・月次脆弱性スキャン・公式確認手順 | 中 |
| フィッシング・ディープフェイクによる情報詐取 | 3（AI進化で増加傾向） | 3（中） | 9 | MFA・折り返し確認ルール・定期訓練 | 中 |
| AIの誤出力による計算ミス | 1（プログラム処理を使用） | 4（大） | 4 | 計算はプログラム処理（AI使用禁止）・機械検証ゲート | 低 |
| 外部AIサービスの障害・停止 | 2（クラウド障害） | 2（小） | 4 | ルールベースフォールバック設計・BCP策定 | 低 |
| 法改正への未対応 | 2（定期監視で低減） | 4（大） | 8 | 法改正監視体制・四半期レビュー・社労士による確認 | 中 |
3a
AI事業者ガイドライン 第1.2版 準拠マッピング
📋 参照文書
総務省・経済産業省「AI事業者ガイドライン」第1.2版（令和8年3月31日）URL: https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
| 原則・項目 | ガイドラインの要求事項（概要） | 当法人の対応 | エビデンス | 準拠状況 |
|---|---|---|---|---|
| 人間中心の原則 | AIは人間の意思決定を支援するものであり、最終判断は人間が行う | HITL（Human-in-the-Loop）を全処理フローに組み込み。社会保険労務士による最終承認を必須化 | HITLチェックポイント仕様書・社労士承認ログ | ✓ 準拠 |
| 透明性の原則 | AIシステムの動作・判断根拠をステークホルダーが理解できるよう説明する | 判定根拠出力機能（特許請求項8）によりAIの全判断根拠を記録・開示可能 | 判定根拠レポートサンプル | ✓ 準拠 |
| プライバシー保護の原則 | 個人情報を適切に取り扱い、プライバシーを侵害しない | データ分類体系・L3/L4のAI非入力ルール・アクセス制御・マイナンバーの完全分離 | データ分類ポリシー文書・技術設計書 | ✓ 準拠 |
| セキュリティ確保の原則 | AIシステムのセキュリティを確保し、悪用・攻撃への対策を講じる | 多層防御設計・プロンプトインジェクション対策・サプライチェーン管理・インシデント対応体制 | セキュリティ実装仕様書・インシデントRunbook | ✓ 準拠 |
| 公正性の原則 | AIが不当な差別・偏見を生まないよう設計・運用する | 給与計算・社会保険は法令定義の計算式をプログラムで実装。AIは文章生成補助のみに限定 | 計算処理設計書 | ✓ 準拠 |
| 説明責任の原則 | AIの利用に関する説明責任を担う体制を構築する | CAISO（代表）を責任者とするガバナンス体制・全処理ログの保管・クライアントへの開示体制 | 本資料・監査証跡体制 | ✓ 準拠 |
| AIエージェントの安全管理 （第1.2版で強化） |
自律的なAIエージェントが外部アクションを実行する場合のリスク管理を強化 | AIが単独で外部操作を完結させない設計。全外部アクション前に人間の承認が必要 | WRAIAkyuuyoフロー設計書・機械検証ゲート仕様 | ✓ 準拠 |
| Human-in-the-Loop （第1.2版で明示的要求） |
高リスク判断における人間の介在を明示的に要求 | 5段階のHITLチェックポイントを設計（一次確認・月次レビュー・届出前最終確認・四半期総点検・法改正時） | HITLチェックポイント実装記録 | ✓ 準拠 |
3b
個人情報保護法 対応状況
| 法律の要件 | 条文 | 当法人の対応 | 準拠状況 |
|---|---|---|---|
| 個人情報の適正な取得 | 第17条 | クライアントとの業務委託契約に基づく適正取得。利用目的を明示 | ✓ |
| 利用目的による制限 | 第18条 | 給与計算・社会保険手続きの目的のみに使用。目的外利用なし | ✓ |
| 安全管理措置 | 第23条 | データ分類・暗号化・アクセス制御・ログ管理・社員教育を実施 | ✓ |
| 第三者提供の制限 | 第27条 | 原則禁止。法令上の義務がある場合のみ、クライアント事前連絡の上で対応 | ✓ |
| 漏洩等の報告・通知（改正） | 第26条 | 速報（72時間以内）・確報（30日以内）の手順を整備。インシデントRunbookに記載 | ✓ |
| 外国への第三者提供の制限（改正） | 第28条 | 外部AIサービスへの個人情報（L3以上）の入力を禁止することで対応 | ✓ |
| 委託先の監督 | 第25条 | 承認済みAIツールのデータポリシーを事前確認・定期審査 | ✓ |
3c
マイナンバー法 安全管理措置
🔴 最重要管理事項
特定個人情報（マイナンバー）はAIシステムから完全分離し、技術的にAIへの入力を禁止する設計を採用。これはAIツールの種別・設定に依存しない絶対的な制御です。
| 安全管理措置の種別 | 法律・ガイドラインの要求 | 当法人の実施内容 | 準拠状況 |
|---|---|---|---|
| 基本方針の策定 | マイナンバー法・特定個人情報の適正な取り扱いに関するガイドライン | マイナンバー取扱規程の整備・全スタッフへの周知 | ✓ |
| 組織的安全管理措置 | 取扱担当者の限定・責任者設置・定期点検 | 担当者を最小限に限定・責任者をCAISOとして設置・四半期点検を実施 | ✓ |
| 人的安全管理措置 | 教育・訓練・誓約書 | 入社時・定期（年1回以上）のマイナンバー取扱研修。守秘義務誓約書の取得 | ✓ |
| 物理的安全管理措置 | 取扱区域の管理・媒体の施錠・廃棄 | マイナンバー取扱専用端末の設定・鍵付き保管庫・シュレッダー廃棄の記録 | ✓ |
| 技術的安全管理措置 | アクセス制御・暗号化・不正アクセス対策 | AIシステムとの論理分離・専用処理プログラム・アクセスログ取得・通信暗号化 | ✓ |
| 委託先の監督 | 委託先への安全管理措置の担保 | 処理をAI外部サービスに委託しない設計（技術的に不可能な状態） | ✓（技術的制御） |
3d
社会保険労務士法 準拠状況
| 条文 | 規定内容 | 当法人の対応 | 準拠状況 |
|---|---|---|---|
| 第2条1項1号・2号 | 社会・労働保険の申請書類作成・提出代行、法定帳簿作成は社会保険労務士の独占業務 | AIは計算補助・下書き作成のみ。最終確認・署名・提出は有資格の社会保険労務士が実施 | ✓ 完全準拠 |
| 第21条 | 業務上知り得た秘密を正当な理由なく漏らすことを禁ずる守秘義務 | 機密情報のAI非入力ルール・匿名化処理・AIツールのデータポリシー事前確認 | ✓ 完全準拠 |
| 第27条 | 非社会保険労務士（AI含む）による独占業務の禁止 | AIが独占業務を単独で完結させない設計。HITL必須化・技術的制御 | ✓ 完全準拠 |
| 第32条の2 | 第27条違反の罰則（1年以下の拘禁刑又は100万円以下の罰金 ／ 令和7年6月1日施行の改正刑法により「懲役」は「拘禁刑」に統一） | 上記設計により違反リスクをゼロに近いレベルに制御 | ✓ リスク管理済み |
3e
ISO/IEC 42001（AIマネジメントシステム）参照対応
当法人はISO/IEC 42001の認証取得は現時点では未取得ですが、同標準を参照し主要な要求事項との整合性を確認しています。
| ISO/IEC 42001 箇条 | 要求事項（概要） | 当法人の対応状況 | ステータス |
|---|---|---|---|
| 箇条4 組織の状況 | AIシステムの内外部の課題・ステークホルダーの特定 | クライアント・規制当局・スタッフ等のステークホルダー分析実施済み | 対応済み |
| 箇条5 リーダーシップ | トップマネジメントのコミットメント・方針策定 | 代表（CAISO）によるセキュリティ方針の承認・推進 | 対応済み |
| 箇条6 計画 | リスクアセスメント・対策計画 | リスクマトリクスによる定期評価・対応計画の策定 | 対応済み |
| 箇条7 支援 | 資源・力量・教育・コミュニケーション | スタッフへの定期研修・社内セキュリティ文書の整備 | 対応済み |
| 箇条8 運用 | AI固有リスクの管理・導入プロセスの管理 | 承認済みツールリスト・HITL実装・機械検証ゲート・監査ログ | 対応済み |
| 箇条9 パフォーマンス評価 | 監視・測定・内部監査・マネジメントレビュー | 四半期セキュリティ委員会・月次ログレビュー・KPI管理 | 一部対応 |
| 箇条10 改善 | 不適合の是正・継続的改善 | インシデント後のRCA・法改正対応プロセス | 対応済み |
| 附属書A AIシステム固有のリスク | AIの公平性・説明可能性・信頼性・安全性の確保 | 計算精度（プログラム処理）・説明可能AI（請求項8）・自動検証（請求項1,3,4） | 対応済み |
※ 「一部対応」項目については、2026年度内に正式なKPI定義と測定記録の整備を予定しています。
4
技術的管理策
ISO/IEC 27001 附属書Aを参考に、当法人のAIシステムに適用する技術的管理策の実施状況を示します。
| 管理策 ID | 管理策名称 | 実施内容 | 実施状況 |
|---|---|---|---|
| A.5.15 | アクセス制御 | RBAC（役割ベースアクセス制御）・最小権限原則・定期的な権限レビュー（四半期） | ✓ |
| A.5.16 | 識別情報の管理 | SSO（Microsoft Entra ID）・ユーザーIDの一意割り当て・退職時の即時無効化 | ✓ |
| A.5.17 | 認証情報 | MFA必須化・APIキーローテーション（90〜180日）・.env管理による平文禁止 | ✓ |
| A.8.7 | マルウェアからの保護 | エンドポイント保護・承認済みパッケージリスト・月次脆弱性スキャン | ✓ |
| A.8.8 | 技術的な脆弱性の管理 | pip-audit / GitHub Secret Scanning / CVEモニタリング | ✓ |
| A.8.15 | ログ取得 | 統一ログスキーマによる全処理記録・5年間保管・改ざん防止設定 | ✓ |
| A.8.16 | 監視活動 | リアルタイムアラート・月次ログレビュー・異常検知ルール設定 | ✓ |
| A.8.24 | 暗号の使用 | TLS 1.2以上（通信）・AES-256（保存）・クラウドプロバイダー標準暗号化 | ✓ |
| A.8.28 | セキュアなコーディング | コーディングガイドライン・コードレビューチェックリスト・git pre-commit hook | ✓ |
| AI固有 — HITL | Human-in-the-Loop | 5段階のHITLチェックポイント・全AIアクションに人間確認を必須化 | ✓ |
| AI固有 — 検証ゲート | AI出力の自動検証 | 機械検証ゲート（特許請求項1）・クロスチェック（請求項3）・三方照合（請求項6） | ✓ |
| AI固有 — 説明可能性 | AIの判断根拠記録 | 判定根拠出力機能（特許請求項8）による自動記録 | ✓ |
5
人的・組織的管理策
5-1. 教育・研修体制
| 研修種別 | 対象 | 実施頻度 | 内容 | 記録 |
|---|---|---|---|---|
| AIセキュリティ基礎研修 | 全スタッフ | 入社時 + 年1回以上 | シャドーAI・プロンプトインジェクション・フィッシング・ディープフェイク対策 | 受講記録・確認テスト |
| マイナンバー取扱研修 | マイナンバー取扱担当者 | 入社時 + 年1回 | マイナンバー法・安全管理措置・AIへの非入力ルール | 受講記録・誓約書 |
| 社労士向けAI補助ツール研修 | 社会保険労務士 | 新ツール導入時 + 法改正時 | AIツールの適切な使い方・HITL実施方法・独占業務での注意点 | 受講記録 |
| フィッシング訓練 | 全スタッフ | 年2回 | 模擬フィッシングメール・ディープフェイク音声の識別演習 | 訓練結果・フォローアップ記録 |
| インシデント対応訓練 | IT担当・責任者 | 年1回 | インシデント対応Runbookに基づく演習 | 演習記録・改善事項 |
5-2. 職務分掌（Segregation of Duties）
| 重要業務 | 申請・実行者 | 確認者 | 最終承認者 |
|---|---|---|---|
| 給与計算の確定 | プログラム（自動）+ 担当スタッフ | 社会保険労務士 | 社会保険労務士（署名） |
| 社会保険届出の提出 | 担当スタッフ（書類作成） | 社会保険労務士（内容確認） | 社会保険労務士（独占業務・署名） |
| 新規AIツールの導入 | 担当スタッフ（提案） | IT管理者（セキュリティレビュー） | 責任者（承認） |
| ルールDB（法令ルール）の変更 | 技術担当（提案） | 社会保険労務士（法的確認） | 責任者（承認・適用） |
| クライアントデータの一括エクスポート | 担当スタッフ（申請） | IT管理者 | 責任者 |
6
監査証跡・エビデンス体制
6-1. エビデンス一覧
| カテゴリ | エビデンス種別 | 内容 | 保管期間 | 提供形式 |
|---|---|---|---|---|
| AI処理記録 | 統一処理ログ | 全処理の日時・担当者・クライアント・データ分類 | 5年 | CSV・PDF |
| 機械検証ゲート判定記録 | 全ゲートの判定結果・根拠Rule ID | 5年 | CSV・PDF | |
| 判定根拠レポート（請求項8） | AIの判断理由・参照法令・ルールID | 5年 | PDF（電子署名付き） | |
| 三方照合結果（請求項6） | 元データ・履歴・計算値の照合結果 | 5年 | CSV・PDF | |
| 人間確認記録 | HITL実施記録 | 各チェックポイントの確認日時・担当者 | 5年 | ログ・PDF |
| 社労士承認記録 | 有資格者による最終確認日時・署名 | 5年 | PDF（電子署名） | |
| 法定書類の作成・提出記録 | 各種届出書類と提出証跡 | 法定期間（2〜5年） | 原本・PDF | |
| セキュリティ記録 | アクセスログ | クライアントデータへの全アクセス記録 | 5年 | CSV |
| インシデント対応記録 | インシデントレポート・対応記録・再発防止策 | 10年 | ||
| ガバナンス記録 | セキュリティ委員会議事録 | 四半期委員会の決定事項・評価結果 | 5年 | |
| ルールDB変更履歴 | 法令ルールの更新内容・承認者・日時 | 10年 | Gitログ・変更記録 | |
| 教育記録 | 研修受講記録 | 全スタッフの受講履歴・テスト結果 | 5年 | CSV・PDF |
| 守秘義務誓約書 | 全スタッフのマイナンバー取扱誓約 | 退職後3年 | 原本 |
6-2. エビデンス提供手順
| 審査・調査の種類 | 対応フロー | 提供目標時間 |
|---|---|---|
| 外部監査法人による確認 | 担当者窓口で受付 → 必要エビデンスの特定 → IT管理者がログ抽出 → 責任者が確認 → 提供 | 要請から5営業日以内 |
| 行政機関（労基署・年金事務所等）の調査 | 責任者が対応。法定書類・処理記録を準備 → 担当社労士が同席 | 要請に従う（速やかに） |
| 個人情報保護委員会の報告要求 | 責任者主導で対応。顧問弁護士に連絡・相談 → 提出 | 期限内（法定通り） |
| クライアントからのセキュリティ審査 | 本資料および関連エビデンスを提供 → 必要に応じて説明会を実施 | 要請から10営業日以内 |
7
PDCA・継続的改善
P — 計画
セキュリティ方針・計画策定
- 年次セキュリティ計画の策定（10月）
- リスクアセスメントの実施（四半期）
- 法改正スケジュールの把握・対応計画
- 教育・訓練計画の立案
D — 実施
セキュリティ管理策の運用
- 日常的なログ監視・アラート対応
- 月次セキュリティ確認会議
- 研修・フィッシング訓練の実施
- 法改正発令時のルールDB更新・テスト
C — 評価
パフォーマンス評価・監査
- 四半期セキュリティ委員会での評価
- KPI（AIエラー率・インシデント数・ゲートFAIL率）の測定
- クライアントからのフィードバック収集
- 外部監査・審査への対応
A — 改善
是正・予防・継続的改善
- インシデント後の根本原因分析（RCA）
- KPI未達成項目の是正計画策定
- 新たな脅威への対策強化
- セキュリティ方針の年次改訂
7-1. KPI（重要業績評価指標）
| KPI | 目標値 | 測定頻度 | 責任者 |
|---|---|---|---|
| 機械検証ゲートFAIL率 | 全処理の5%未満（FAILはブロック・確認済み） | 月次 | IT管理者 |
| 二重ループ検証の3回以内収束率 | 99%以上（POC実証値：99.2%） | 月次 | IT管理者 |
| HITL完了率 | 100%（スキップゼロ） | 月次 | 業務品質責任者 |
| P1以上インシデント発生数 | 0件/四半期 | 四半期 | セキュリティ管理責任者 |
| スタッフセキュリティ研修受講率 | 100%（全員受講） | 年次 | セキュリティ管理責任者 |
| APIキーローテーション実施率 | 100%（期限内に全キー更新） | 四半期 | IT管理者 |
| 法改正対応（ルールDB更新）のタイムリー率 | 施行日前日までに100%対応 | 随時 | 技術責任者 + 業務品質責任者 |
8
事業継続計画（BCP / DR）
ℹ 設計思想
当法人のAIシステムは「AIに依存しない」設計を基本としています。コア業務（給与計算・社会保険届出）はAIが使えない状態でも継続できるルールベースプログラム処理と手動処理手順により、業務停止を回避します。
8-1. RTO / RPO 目標
| システム・サービス | RTO（目標復旧時間） | RPO（目標復旧時点） |
|---|---|---|
| コア給与計算処理（ルールベース） | 即時（AI停止時に自動切替） | 処理時点のデータ（損失ゼロ） |
| AI補助機能（文書作成・Q&A等） | 代替手段で即時継続（影響小） | N/A（補助機能のため） |
| クライアントデータへのアクセス | 2〜4時間以内 | 最新バックアップ時点（24時間以内） |
| 監査ログ・証跡 | 24時間以内 | 最新バックアップ時点 |
8-2. 障害シナリオ別対応計画
| 障害シナリオ | 影響範囲 | 対応計画 | クライアント通知 |
|---|---|---|---|
| 外部AIサービス（Claude API等）停止 | AI補助機能のみ | 自動でルールベース処理に切替。影響なし | 不要（自動切替のため） |
| M365 / GWS 広域障害 | クライアントデータへのアクセス不可 | WR指定バックアップ環境への切替・手動処理 | 発生後2時間以内に連絡 |
| WR社内ネットワーク・システム障害 | 自動処理の停止 | 手動処理に切替・業務スケジュールの調整 | 発生後2時間以内に連絡 |
| ランサムウェア・大規模サイバー攻撃 | 全システムに影響の可能性 | ①システム遮断②被害範囲確認③バックアップからの復旧④クライアント通知 | 検知後1時間以内に第一報 |
| 大規模災害（地震・火災等） | オフィス・システムに影響 | リモートワーク体制での最低限の業務継続・手順書に従った対応 | 翌営業日以内に状況連絡 |
宣
宣言・承認署名
Work Rules社会保険労務士法人は、本文書に記載するAIセキュリティ管理体制を誠実に運用し、 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）の趣旨に沿い、 個人情報保護法・マイナンバー法・社会保険労務士法その他関連法令を遵守して AI技術を活用することを宣言します。
本宣言は四半期ごとに見直しを行い、法改正・新たな脅威・業務変化に応じて継続的に改善します。
承認者（CAISO）
代表 蒲谷 良司
Work Rules社会保険労務士法人
発行日
2026年4月20日
次回レビュー予定
2026年10月
（署名・押印欄）