homulaAIエージェント導入のセキュリティ実践 — 第3回
統制レベル
任せる範囲は、自律性と行動範囲の2つの軸で捉える。範囲が広いほど、必須の統制を増やす。
この回の結論：エージェントにどこまで任せるかを、人の関与の度合い（自律性）と、変更できる範囲（行動範囲）の2軸で決める。L1×E1から始め、統制の実効性を確認してから範囲を広げる。
第2回の8原則は、すべてのエージェントに同じ強さで求めるものではありません。人が一つずつ承認しながら社内の情報を参照するだけのエージェントと、自律的にシステムの状態を変更するエージェントとでは、必要な統制が異なります。この回は、任せる範囲に応じて、どの統制を必須にするかを整理します。
原稿：ホワイトペーパー第1.0版（2026年10月）
本記事は、homulaのホワイトペーパー「業務AI・AIエージェント導入の情報セキュリティ実践ガイド」をWeb向けに再構成したものです。事実には [ ] で出典番号を付け、記事末尾に原文へのリンクを載せています。出典番号のない手順・推奨と「本ガイドの提案」と明記した事項は、本ガイドが提案するものです。
1.任せる範囲は、自律性と行動範囲の2つの軸で捉える
経済産業省サブWGは、AIエージェントの統制要求を、自律性レベル（L1〜L4）と行動範囲レベル（E1〜E3）の2軸で整理しています[A8]。本ガイドもこの軸を採用し、組み合わせを4つに区分して、それぞれに必要な統制を提案します。
自律性レベル（経済産業省サブWGの定義・原文）
| レベル | 名称 | 定義 |
|---|---|---|
| L1 | 人間主導 | AIは人間の指示に従って個々の処理を行う |
| L2 | 人間協働 | AIは処理を進めるが、主要な工程で人間の承認を受ける |
| L3 | 条件付き自律 | AIは通常の処理は自己完結し、所定の条件への該当時や例外時は人間に判断を求める |
| L4 | 高度自律 | AIは条件や例外なく、自ら判断し処理を継続する |
行動範囲レベル（経済産業省サブWGの定義・原文）
| レベル | 名称 | 定義 |
|---|---|---|
| E1 | 参照操作 | 接続するデータ・システム等の情報を参照できるが、状態を変更しない |
| E2 | 限定的な変更操作 | あらかじめ定められた対象・操作の範囲で、状態を変更できる |
| E3 | 包括的な変更操作 | 対象・操作を限定せず、状態を変更できる |
始め方
CISA他は、エージェントを低リスクで機微でない業務に限り、明確に定義した低リスクの業務から段階的に導入するよう求めています[B1]。L1×E1から始め、統制の実効性を確認してから範囲を広げます。
2.任せる範囲が広いほど、必須の統制を増やす
以下は、8原則をL×Eに割り付けた本ガイドの提案であり、経済産業省のガイドライン（令和8年度中公表予定）の確定内容ではありません。公表後に見直します。
| 統制 | L1〜L2 × E1 | L1〜L2 × E2 | L3〜L4 × E1〜E2 | E3 （すべてのL） |
|---|---|---|---|---|
| エージェント単位のID・最小権限原則2 | 必須 | 必須 | 必須 | 必須 |
| 短寿命・注入型の認証情報、平文保存禁止原則3 | 必須 | 必須 | 必須 | 必須 |
| ツール・接続先の許可リスト原則1 | 推奨 | 必須 | 必須 | 必須 |
| egress制限原則5 | 必須 | 必須 | 必須 | 必須 |
| 高影響操作の人間承認原則4 | 対象外 | 必須変更操作 | 必須例外時 | 必須すべての変更 |
| ツール呼び出し単位の監査ログ原則6 | 必須 | 必須 | 必須 | 必須 |
| データ保持期間の定義と削除原則7 | 必須 | 必須 | 必須 | 必須 |
| 即時停止手段（kill switch） | 推奨 | 必須 | 必須 | 必須 |
| 実行環境の分離（サンドボックス） | 対象外 | 推奨 | 必須 | 必須 |
| 変更操作の取り消し手段（ロールバック） | 対象外 | 推奨 | 必須 | 必須 |
| 導入自体の是非の再検討 | 対象外 | 対象外 | 対象外 | 原則として避け、E2に分割できないか検討する |
表の読み方
「例外時」は、L3の所定の条件への該当時や例外時に人が判断することを指します。取り消しが難しい操作はその条件に含めます（原則4）。L4は定義上、人が個々の処理に関与しないため、承認を組み込んだ業務はL3として扱います。
参照だけのエージェントにも、egress制限は必須
egress制限をE1でも必須とするのは、参照だけのエージェントからもデータが外に出る経路が公表されているためです。公開フォームから送った指示で、顧客データがDNS経由で外部へ出る経路が公表されています（第1回の事例）。読み取れる情報を外に出せる経路があれば、参照だけでも漏えいは起こりえます。
3.政府の実装例：環境を2段階に分ける（デジタル庁 源内基準）
デジタル庁の源内基準は、自律性と行動範囲の異なる2つの環境を用意し、高自由度の環境は申請と管理者の許可を経て使えるようにしています[A14]。
エージェントチャット
制限した環境
ツールは利用者本人の領域内に限定。管理外のAPI・MCPサーバーへ直接アクセスできない。
源内工房
高自由度の環境
任意サイトへのアクセスやコマンド実行が可能。初期状態では利用不可とし、一定の水準を満たした職員の申請に基づき管理者が権限を付与。
自律性が高く行動範囲が広い環境ほど、統制の強化に加え、利用者に能力要件を課し、管理者の明示的な許可を求める構造です。企業でも、コマンド実行や任意サイトへのアクセスができる環境は、利用者の能力要件を定め、管理者が個別に許可する運用が考えられます（第4回の5.1）。
Summary
この記事の要点
- 1エージェントに任せる範囲は、経済産業省サブWGの自律性レベル（L1〜L4）と行動範囲レベル（E1〜E3）の2軸で捉える。
- 2L1×E1（人が進め、参照のみ）から始め、統制の実効性を確認してから範囲を広げる。
- 3ID・最小権限、短寿命の認証情報、egress制限、監査ログ、データ保持期間の定義は、すべての区分で必須とする（本ガイドの提案）。
- 4高影響操作の承認は、E2では変更操作、L3〜L4では例外時、E3ではすべての変更に求める。L4に承認を組み込む業務はL3として扱う。
- 5E3（対象・操作を限定せず変更できる）は原則として避け、E2に分割できないか検討する。
- 6高自由度の環境は、デジタル庁の源内のように、利用者の能力要件と管理者の明示的な許可を組み合わせて提供する。
Sources
出典
出典番号はホワイトペーパー付録A「準拠文書の一覧」と共通です。URLは原稿作成時点（2026年10月）のものです。
- [A8]
- [A14]
- [B1]
FAQ
よくある質問
業務ごとに、エージェントが行う操作を列挙してE1〜E3に分類し、人がどの工程で判断するかを定めてL1〜L4に分類します。「参照だけ」のつもりでも、メール送信・チケット作成・ファイル保存が含まれればE2以上です。判定の手順は第4回の5.1で解説しています。
L4は定義上、人が個々の処理に関与しないため、承認を組み込んだ業務はL3（条件付き自律）として扱います。本ガイドでは、取り消しが難しい操作をL3の「所定の条件」に含め、そこで人が判断する設計を提案しています。
いいえ。自律性レベルと行動範囲レベルの定義は経済産業省サブWGの資料（原文）に基づきますが、4つの区分と、各区分への統制の割り付けは本ガイドの提案です。経済産業省のガイドラインは令和8年度中に公表される予定で、公表後に見直します。
Next
シリーズの前後
PDF版（25ページ・図17点）を無料でダウンロード
社内の検討資料にそのまま使えるPDF版です。ベンダー質問票には回答の記入欄があります。
AIエージェントの統制設計を、あわせて相談したい方へ
homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。SaaS型の選定時の確認から、自社で構築する場合の基盤設計まで、ご相談ください。