AnthropicのClaudeのようなAIアシスタントは、この1年足らずで、興味深い新技術から企業の中核インフラへと急速に進化しました。エンジニアリングチームはコードを作成し、財務チームは財務モデリングを行い、法務チームは契約書を要約しています。さらに、セキュリティチーム自身もアラート調査に活用しています。こうしたワークフローはすべて、ソースコード、財務データ、PII、営業秘密といった機密データに関わっています。そして、それぞれの利用によって新たなユーザーアイデンティティ、新たなプロジェクト、新たなチャットが作成されます。しかし、それらは企業を保護するSIEM、DLP、アクセスレビューの可視化・管理対象外となっています。
セキュリティチームやSOCチームにとって、このギャップは看過できない課題です。昨夜誰がOktaにログインしたかは確認できます。Google Driveでどのファイルにアクセスされたかも把握できます。しかしこれまでは、自社が事業を展開していない国のIPアドレスから午前2時に財務担当者がClaudeのチャットへ貼り付けた内容を把握することはできませんでした。
このたびエクサフォースはClaude Compliance APIとのインテグレーションを発表します。これによりClaude Enterpriseのアクティビティをエクサフォースプラットフォームへ直接取り込み、インベントリの可視化に加え、アイデンティティコンテキスト、データの機密度、脅威検出のための主要なデータソースとして活用できるようになります。Claudeは今や企業データの新たな管理対象領域です。エクサフォースは、他のセキュリティスタックと同様に、Claudeをガバナンス、調査、脅威検出の対象として扱えるようにします。
Claudeを接続すると、エクサフォースで可視化できる情報
Claude Enterprise組織をエクサフォースに接続すると、Compliance APIから取得したデータを基に、社内でのClaude利用状況を包括的に可視化します。
- **組織、ユーザー、および組織内の役割：**すべてのClaudeユーザーを、Okta、Entra、Google Workspace、またはお客様のIdP上のユーザーアイデンティティに紐付けます。
- **プロジェクト、プロジェクト内の役割、および所有者情報：**プライバシー設定、添付ファイル数、チャット数、および各プロジェクトの責任者を特定できます。
- **会話およびメッセージ：**監査可能なイベントとして収集され、コンテンツの機密度分析に利用できます（詳細は後述）。
- **添付ファイルおよびプロジェクトナレッジ：**Claudeプロジェクトにアップロードされたファイルはリソースとしてインベントリ化され、それらにアクセスしたプロジェクトおよびアイデンティティとの関係性も追跡できます。
- **監査イベント：**ログイン、役割変更、APIキーの作成、プロジェクトメンバーシップの変更、会話の閲覧などを収集します。
- **セキュリティ態勢の検出結果：**長期間利用されていないAPIキー、最近アクティビティのない特権ユーザー、多数のメンバーが参加している機密プロジェクト、所有者不在のプロジェクト、緩和されたプライバシー設定が適用されたプロジェクト、機密性の高いチャットやファイルを含むプロジェクトなどを検出します。
AI利用状況の可視化の多くは、インベントリと監査ログの把握にとどまっています。エクサフォースは、Claudeのアクティビティをアイデンティティ、データの機密度、行動、アクセス情報と関連付けることで、何が起きたのかだけでなく、誰が関与したのか、どのデータが影響を受けたのか、その行動が異常だったのかまで把握できるようにします。これは重要な基盤です。しかし、多くのAI可視化の取り組みは、その段階で止まっています。エクサフォースはさらに踏み込み、SecOpsにとって重要な3つの観点で、より高度な分析を実現します。
1. Claude監査イベントに対する脅威検出
インベントリは何が存在しているかを把握するためのものです。一方、検出は異常や問題の発生を明らかにします。エクサフォースは、Claudeの監査イベントを、Okta、Google Workspace、GitHub、Zscalerのイベントと同様にイベントストリームとして扱います。アイデンティティ、ワークスペース、プロジェクトなど複数の観点でベースラインを構築し、行動分析モデルおよびルールベースの検出エンジンによって評価します。さらに、Claudeのアクティビティは関連するエンタープライズテレメトリーと相関付けられるため、エクサフォースは同一の調査の中で、Claudeイベントをアイデンティティ、デバイス、ネットワーク、リポジトリ、クラウド、エンドポイント、およびSaaSのアクティビティと関連付けて分析できます。
例えば、通常と異なる場所から機密チャットが閲覧されたケースを考えてみましょう。過去90日間のベースラインでは常にベンガルールからログインしていたユーザーが、別の国に属するASNから、PIIを含むと分類されたチャットを突然閲覧したとします。エクサフォースは、このClaudeの会話閲覧イベントを、ユーザーのアイデンティティグラフに基づくベースライン（地理的位置、ASN、デバイス、時間帯）と関連付け、調査に必要な証跡を含むアラートを生成します。
その他にも、機密度の高いプロジェクトに対する通常業務時間外の異常なアクセス、これまでAPI利用実績のないアイデンティティによる初回APIキー作成、以前に機密性が高いと判定されたチャットを含むプロジェクトからの大量の添付ファイルダウンロード、これまで関与したことのないプロジェクトでユーザーがOwnerまたは管理者へ昇格する権限変更、ならびに機密コンテンツを保持するプロジェクトにおけるSSOの無効化やプライバシー設定の緩和といった検出を標準で提供します。
2. 機密チャットのラベル付け
チャットが閲覧されたことを把握できるだけでも有用です。しかし、そのチャットにPII、シークレット情報、または規制対象データが含まれているかどうかを把握できれば、単なる監査イベントを対応が必要なインシデントとして判断できるようになります。
エクサフォースはClaudeのチャットコンテンツを分析し、含まれる機密データの種類に基づいて各会話へラベルを付与します。この分析は、幅広い種類の機密データを対象としています。たとえば、1つの会話に顧客の氏名とメールアドレス、決済カード番号、社内APIキーが同時に含まれている場合でも、エクサフォースは該当するすべてのカテゴリにフラグを付与します。これにより、チームはチャットを開く前の段階で、それが通常のやり取りなのか、それとも調査が必要なものなのかを判断できます。また、これらのラベルは、Claudeプロジェクト内のどこに規制対象データ、シークレット情報、顧客データ、財務データ、その他の機密情報が存在しているかを可視化し、AIガバナンスや監査ワークフローも支援します。
これらのラベルは、検出ロジックやアクセスグラフにも活用されます。たとえば、「異常な場所から機密チャットが閲覧された」というアラートが生成されるのは、そのチャットに機密性ラベルが付与されているためです。また、「機密チャットが新しいプロジェクトで共有された」というアラートが調査対象となるのは、お客様の環境において何が機密情報に該当するかを認識できているからです。ラベルは、アイデンティティ、監査、リスクを結び付ける重要な接点となります。
重要なのは、機密性分析の実行にあたり、会話コンテンツの複製を別途保持しないことです。プラットフォームに取り込まれるのは、ラベルと最小限の証拠スニペットのみです。エクサフォースがClaudeの会話内容を長期保管するための追加リポジトリになる必要はありません。会話コンテンツは機密性ラベル、最小限の証拠情報、および検出コンテキストを生成するために分析されますが、元のコンテンツは引き続きClaude上で管理されます。
3. アイデンティティアクセスグラフ
3つ目の要素はアイデンティティアクセスグラフです。これは、チームがエクサフォースを他のセキュリティデータソースで活用している方法に最も近い機能です。
エクサフォースは、企業アイデンティティから、そのアイデンティティがアクセス可能なClaudeの個々のリソースまでの関係性をグラフ化します。組織ロール、組織メンバーシップ、プロジェクトロールを経由し、プロジェクト本体、さらにその中の添付ファイルやプロジェクトナレッジファイルに至るまでのアクセス経路を可視化します。
以下は、3つのClaudeプロジェクトでOwnerロールを持つユーザーについて、このグラフがどのような構造になるかを示した例です。
各ノードはアクセス権限のレイヤーを表しています。Identityは企業ユーザーを示し、IdP上の企業アイデンティティに紐付けられています。OrganizationRoleはユーザーがClaude組織レベルで実行できる操作を表し、Organizationはそのユーザーが所属するClaude Enterprise組織を示します。さらに、ProjectRoleは各プロジェクト内での役割を記録し、Projectはアクセス可能なプロジェクトとそのプライバシー設定やメタデータを可視化します。Resourceは、それらのプロジェクトからアクセス可能な実際のコンテンツを表し、プロジェクトナレッジファイル、データセット、添付ファイルなどを含みます。
任意のノードをクリックすると、関連するアクセス関係をたどることができます。例えば、特定のデータセットにアクセスできるすべてのアイデンティティを表示したり、PIIラベル付きチャットを含むプロジェクトのうち、特定ユーザーが所有するプロジェクトを一覧表示したりできます。AWS IAM、Oktaグループ、GitHubリポジトリアクセスの分析で利用しているグラフベースのアクセス分析を、Claudeにも適用できます。
セキュリティおよびガバナンスチームへの効果
SOCアナリストは、アカウント侵害の調査時に、侵害されたアカウントがアクセス可能だったClaudeのプロジェクト、チャット、添付ファイルを即座に確認できます。また、調査対象期間中に機密チャットが閲覧されていたかどうかも把握できます。検出エンジニアは、既存のアイデンティティ管理基盤で使用しているものと同じルール言語および検出エンジンを用いて、Claudeの監査イベントに対する検出ルールを作成できます。さらに、ユーザーごとのビヘイビアベースラインも自動的に算出されます。
コンプライアンス責任者は、誰が何にアクセスできるのか、Claudeプロジェクト内のどこに機密データが存在するのかを明確に把握し、ログを別のツールへエクスポートすることなく、監査対応に利用できる証跡を作成できます。インサイダーリスク対策チームは、退職予定の従業員や注意対象ユーザーがClaudeをどのように利用していたのかについて、閲覧した内容、アップロードした内容、共有した内容を含む全体像を把握できます。また、それらをエクサフォースが既に監視している他のアクティビティと関連付けて分析できます。
Claudeが開発ワークフロー、連携ツール、MCPサーバー、リポジトリ、Webhook、自動化へと利用範囲を広げる中、エクサフォースは、アイデンティティ、リソース、データの機密性を関連付けて把握し、通常とは異なる振る舞いを検出することで、ClaudeのアクティビティをAIサプライチェーン全体と関連付けて分析できるようにします。
Claudeのセキュリティ強化を始める
Claude Compliance APIインテグレーションは、現在、エクサフォースとClaude Enterpriseをご利用のお客様向けに提供されています。すでにエクサフォースをご利用の場合は、Data Sourcesページからコネクタを利用して簡単に導入できます。エクサフォースを初めてご利用で、SOC運用の視点からClaudeの利用状況を可視化したい場合は、ぜひデモをご依頼ください。
Claudeは今後、重要な業務ワークフローのあらゆる場面で利用されるようになるでしょう。それに伴い、可視化、機密性の把握、そして脅威検出も欠かせない要素となります。
