セキュアなエンタープライズRAG実装

セキュアなエンタープライズRAG実装

エンタープライズ環境でRAGを実装する際、最大の課題は「正しいユーザーが正しい文書にのみアクセスできる」ことを保証することです。一般的なRAGシステムはアクセス制御を考慮せず設計されており、エンタープライズ導入の最大の障壁になっています。また機密情報の漏洩、コンプライアンス要件（GDPR、SOC2、ISO27001）、データレジデンシーも重要な考慮事項です。

ドキュメントレベルのアクセス制御

メタデータフィルタリングによるアクセス制御

各ドキュメントチャンクにアクセスメタデータを付与します。例：{"document_id": "doc-123", "allowed_groups": ["finance", "executive"], "classification": "confidential", "department": "finance"}。ベクトルデータベース（Pinecone、Weaviate、Qdrant）はメタデータフィルタリングをサポートしており、クエリ時にユーザーのグループメンバーシップに基づいてフィルタリングできます。重要：フィルタリングは検索後ではなく検索時に適用すること（ポスト取得フィルタリングは情報漏洩リスクあり）。

マルチテナントRAGのネームスペース分離

テナントごとに別々のネームスペースまたはインデックスを使用します。Pineconeのネームスペース、Weaviateのクラス分離、QdrantのコレクションがテナントIDで分離します。共有インデックスにメタデータフィルタリングのみで依存するよりも、物理的なインデックス分離の方がセキュリティリスクが低いです。ただしコストは増加します：100テナントなら100個の独立したインデックスが必要です。

データの暗号化とPII処理

保存データと転送中データの暗号化

保存データ（At-rest）暗号化：ベクトルデータベースとドキュメントストレージにAES-256暗号化を適用します。AWS S3、Azure Blob、GCSはサーバーサイド暗号化をデフォルトで提供します。顧客管理キー（CMK）でAWS KMS、Azure Key Vault、Google Cloud KMSを使用します。転送中（In-transit）暗号化：すべてのAPIエンドポイントでTLS 1.3を強制します。内部サービス間通信も例外なく暗号化します（mTLSが理想）。

PIIの検出と匿名化

ドキュメントのインデックス前にPII（個人識別情報）を検出・匿名化します。ツール：Microsoft Presidio（オープンソース）、AWS Comprehend、Google Cloud DLP。検出対象：氏名、メールアドレス、電話番号、マイナンバー、クレジットカード番号。匿名化戦略：置換（「田中太郎」→「[氏名]」）、疑似匿名化（可逆な変換で内部的に元データに戻せる）、完全削除。インデックスに残すPIIはGDPRの「忘れられる権利」に対応する削除パイプラインが必要です。

監査ログと監視

クエリ監査ログの設計

すべてのRAGクエリに対してログ記録：タイムスタンプ、ユーザーID、クエリテキスト（ハッシュ化も可）、取得された文書ID、モデルが生成した回答、アクセス制御フィルタの適用結果。これによりコンプライアンス調査時に「誰がいつ何の情報にアクセスしたか」を追跡できます。ログはS3、BigQueryなどの改ざん防止ストレージに保存し、90日以上保持します（業種によりGDPR、HIPAA、金融規制で要件が異なる）。

異常検知とアラート

異常なクエリパターンを検出します：1ユーザーからの高頻度クエリ（データ抽出の試み）、機密分類のドキュメントへの異常アクセス、通常業務時間外のアクセス。Datadog、Splunk、またはElastic SIEMでリアルタイムアラートを設定します。RAGシステム固有のリスク：プロンプトインジェクション（「これまでの指示を無視して...」）を検出するコンテンツフィルタリングも必要です。

デプロイメントアーキテクチャとコンプライアンス

クラウドとオンプレミスの選択

金融機関、医療機関は規制によりオンプレミスまたはプライベートクラウドが必要な場合があります。LLMをSelf-host（Llama 3.x、Mistral）すればデータが外部に出ません。プライベートクラウド（AWS GovCloud、Azure Government）はコンプライアンス認定済み環境を提供します。VPC Endpointを使用してAWS Bedrock等のマネージドLLMサービスにプライベートに接続することで、トラフィックをインターネットに露出せず利用できます。

データレジデンシーとDPIA

GDPRはEU市民のデータをEU域内で処理することを要求する場合があります。ベクトルデータベースのデプロイリージョンを法的要件に合わせて選択します。DPIA（データ保護影響評価）をRAGシステム導入前に実施します：処理するデータの種類、リスク、軽減策を文書化します。新しいRAGシステムは多くの場合、既存のデータガバナンスポリシーの適用対象となります。法務・コンプライアンスチームを早期に関与させることが重要です。

セキュリティチェックリストまとめ

エンタープライズRAGのセキュリティ実装チェックリスト：（1）ドキュメントメタデータに権限情報を組み込む、（2）検索時のアクセス制御フィルタリングを実装する、（3）保存・転送データを暗号化する、（4）PIIを検出・匿名化する、（5）すべてのクエリと取得結果を監査ログに記録する、（6）プロンプトインジェクション対策を実装する、（7）データレジデンシー要件に準拠したデプロイリージョンを選択する。セキュリティは後付けではなく設計段階から組み込むことが原則です。