正しいIDでログインしている。それでも顧客情報は安全なのか。

ある社員が、いつもどおり会社のシステムにログインした。IDもパスワードも正しい。画面にはエラーも出ない。ところが、そのアカウントから、普段の何十倍もの顧客情報が次々と取り出されていたとする。本人が操作したのか。IDとパスワードを盗まれたのか。あるいは、プログラムの不具合なのか。原因はともかく、経営者として気になるのは一つだ。

「システムが正常に動いているとき、会社はその異常に気づけるのか？」

当社では、こうした問題を見つけるため、データベースの処理記録を社内のAIに分析させている。今回は、外からの侵入を防ぐ話ではない。会社が預かっている情報の、その内側で何が起きているかを見張る話だ。

入口に鍵をかけても、その奥まで見えているとは限らない

当社の通販サイトや社内システムにも、顧客の氏名、住所、注文履歴、問い合わせ内容など、多くの情報が保管されている。

これらを整理して保存し、必要なときに取り出せるようにする仕組みが「データベース」だ。通販だけでなく、顧客管理、販売管理、在庫管理、勤怠管理など、さまざまな業務で使われている。第1回では、Webサイトへの不審なアクセスをAIで見つけ、条件に応じて遮断する取り組みを紹介した。いわば、会社のシステムへの「入口」を見張る話だ。

拡大して見る

しかし、入口の監視だけで十分とは限らない。正規の社員アカウントが悪用されることもある。プログラムの不具合で、本来は一件だけ取得するはずの情報を、何千件も読み込んでしまうこともある。パスワードは正しい。システムにもエラーはない。それでも、顧客情報が必要以上に取り出されているかもしれない。

「誰が利用できるか」を決めることと、「利用できる人が何をしているか」を把握することは別なのだ。

私が知りたかったのは、データベースの「いつもと違う」動き

もちろん、データベースには最初からさまざまな記録機能がある。適切に設定すれば、どのプログラムから、どんな問い合わせや操作があったかを調べられる。ただし、記録を見るだけで何でも分かるわけではない。多くの社員が同じシステムを通じてデータベースに接続する場合、データベースのログだけでは、実際に操作した社員までは分からないこともある。

そこまで確認するには、社内システムの操作記録と照合する必要がある。当社では、データベースの処理記録を整理し、AIに不自然な動きがないかを分析させている。特に気にしているのは、次の三つだ。

拡大して見る

大量のデータを扱うこと自体が悪いわけではない。月末の集計や正当なメンテナンスもある。問題は、その操作が「その人、その時間、その仕事にとって自然かどうか」だ。回数だけで判断するなら、従来のプログラムでもできる。しかし、時間帯、利用者、処理の内容、いつもとの違いを組み合わせて見るとなると、判断は複雑になる。そこをAIに手伝わせようと考えた。

今回、AIにはあえて「止める権限」を与えなかった

ここが、Webサイトの監視と大きく違うところだ。当社では、Webサイトへの明らかに危険なアクセスに対して、条件を決めてIPアドレスを自動遮断している。

だから、AIには異常の兆候を探してもらう。通知を受けた担当者が確認し、必要な対処を判断する。もちろん、データベースのアクセス権限や危険な操作を防ぐ基本的な仕組みは別に必要だ。AIの監視がそれらの代わりになるわけではない。

何を見つけさせるかだけでなく、どこまで行動させるかを決める。これもAI導入における経営判断だ。

では、なぜ外部のAIサービスに任せないのか

ここまでの分析は、ChatGPTやClaudeのようなクラウドAIで行うことも考えられる。高い性能を持ち、社内にAIサーバを用意しなくてよいという利点もある。それでも、当社では自社のPCでAIを動かす「ローカルLLM」を選んだ。

外部へ送る前に個人情報を削ればよい、という考え方もある。それも一つの方法だが、今回知りたいのは、同じ利用者がどの情報に、いつ、どれくらいアクセスしたかという関係性だ。情報を削りすぎると、不自然な動きを判断する手がかりまで失われることがある。識別子を置き換える方法もあるものの、その加工の仕組みを作り、管理する仕事が増える。

社内で分析できるものを、わざわざ社外へ送る必要はない。

私はそう判断した。もちろん、ローカルLLMでも社内のアクセス権限やログの取り扱いには注意が必要だ。「社内に置けば何もしなくても安全」という話ではない。外部AIサービスの障害や利用制限から、ある程度切り離して運用できる利点もある。その代わり、自社のPCが故障すれば監視は止まるし、保守する責任も生じる。それでも、機密情報を扱う仕事を継続して任せ、さらに別の社内業務にも使うなら、自社にAI PCを一台置く意味は大きい。

いくらかかるのか。経営者として計算してみた

ここまで読んで、次に気になるのは費用だろう。当社では実際に、Ryzen 7 9800X3D、GeForce RTX 5090、メインメモリ192GBを搭載したPCで、Qwen3.8-27BというAIモデルを動かしている。ただし、このPCは複数の社内業務に使うための構成で、データベース監視だけにここまでの性能が必要という意味ではない。

例えば、より小規模なQwen3.5-9Bの4bit量子化モデルなら、モデル本体のファイル容量は約5.7GB。GPUメモリ16GBのPCでも導入を検討できる。実際に使えるかは、ログの量や求める分析精度・速度を確認して判断する。

では、データベース監視用に一台導入するとしたらどうか。ここからは、実際の支出ではなく仮定に基づく試算だ。担当者が毎日45分かけていた確認作業を15分にできれば、月20営業日で10時間の削減。加えて、月5時間の詳細調査が2時間になれば、合計で月13時間を減らせる。人件費を1時間2,500円で換算すると、月32,500円、年間39万円分の時間に相当する。

構築費には、データベースの記録を収集し、必要に応じて社内システムの利用者情報と照合して、AIによる分析と通知につなげる仕組みを想定している。この条件なら、人件費換算の効果が初期費用65万円に相当するまで約26か月という計算になる。作業時間が減っても、給与の支払額がそのまま減るという意味ではない。

費用だけを見れば、もっと回収の早い自動化もあるだろう。それに、そもそも十分に監視できていなかった会社なら、削減できる作業時間も少ない。だからといって、監視に価値がないとは思わない。

今まで気づけなかった異常を、見つけられる可能性が生まれる。

私は、こちらの価値を重く見ている。さらに同じAI PCを、Webサイトのログ監視、社内文書の分析、問い合わせの分類などにも活用できれば、設備投資の意味は変わってくる。

情シスに任せていても、経営者が確認できること

技術的な設計や設定は、情シス担当者や外部の専門会社に任せればよい。経営者がデータベースの構造やAIモデルを細かく理解する必要はない。ただ、会社の情報がどう守られているかは知っておきたい。例えば、こんな質問から始められる。

• 「普段と違う大量の顧客情報取得があったら、誰かに分かるようになっている？」
• 「正しいIDでログインしていても、不自然な操作を見つけられる？」
• 「異常を見つけたとき、業務を止めずに担当者へ知らせる仕組みはある？」

答えが分からなければ、一緒に確認し、必要に応じて社内のAI PCを使う方法を検討すればよい。大切なのは、「AIを導入すること」そのものではない。

情報を誰が扱い、いつもと違うことが起きたら誰が気づくのか。その状態を会社として把握することだ。

まとめ｜入口だけでなく、情報のある場所にも目を向ける

この違いは意識して決めている。AIがすべての異常を見つけられるわけではないし、人間の判断が不要になるわけでもない。それでも、今まで見えていなかった会社の動きを知る手段が一つ増える。

守りたいのは、サーバそのものではない。その中にある、お客様から預かった情報だ。

そして、こうした仕事を自社のPCで動くAIに任せられるようになった。私は、それこそが中小企業にとってのローカルLLMの実用的な価値だと思っている。