INSIGHT
「テストだから」で、顧客データをコピーしてはいけない
テストに必要なのは実際の顧客情報なのか、それとも入力の条件や形なのか。
本番で起きた不具合を再現するため、顧客データを試験環境へコピーする案が出た。担当者の端末へ一度落とし、その一部をAIへ見せれば原因も早く分かるという。目的は正当でも、どの項目が必要か、誰が見られるか、どこへ残るか、いつ消すかは決まっていない。
試験で確かめたいことと、顧客データを別の場所で使ってよいことは、別の判断である。「本番に近い」という言葉だけで複製先を増やせば、管理対象も同時に増える。
目的・必要項目・利用先・閲覧者・削除を説明できない顧客データの新規コピーと、そのコピーを使う試験・AI相談は止める。
まず止めるのは、新しいコピーと未確認の利用
止める対象は、試験全体ではない。自分が顧客データを本番から試験環境、個人端末、共有フォルダー、添付、AIサービスへ移す操作と、すでに作られた未確認のコピーを使い続けることである。社内だけ、少量だけという条件でも、利用を認められたことにはしない。
新しい複製を止めたら、既存のコピーを消す前に、場所、作成者、作成日時、元データ、利用目的、閲覧できる人、試験や相談で使った範囲を確認する。急いで消すと、影響調査や削除確認の手掛かりまで失うことがある。不要と判断したものは、担当者と対象を決めて削除し、結果を記録する。
同時に、試験自体は代替データで続けられないかを見る。画面の動作、入力形式、件数、例外、処理速度など、目的によって必要なデータの特徴は違う。本番の全項目をコピーする必要があるかを、目的ごとに問い直す。
試験目的を、必要なデータの特徴へ変える
「本番と同じデータが要る」という要求を、再現したい条件へ分ける。文字化けを確かめるなら、使われる文字種と長さが要る。月末の処理量を見るなら、同程度の件数と分布が要る。権限を確かめるなら、複数の役割と案件の対応が要る。特定の計算誤りなら、その計算を起こす項目の組合せが要る。
顧客名、住所、連絡先、自由記述を含む全レコードが必要とは限らない。まず合成データで条件を作る。実データの構造を参考にする場合も、試験に不要な機微情報を除き、元の個人や案件を推測しにくい値へ置き換える方法を検討する。
たとえば顧客番号を置き換えるときは、注文表と請求表で別々の番号を振ると、確かめたい対応関係まで壊してしまう。名前を隠せたかだけでなく、再現したい関係が残り、元の顧客を特定する手掛かりは増えていないかを確認する。加工と試験の担当が、同じ目的を見て判断する必要がある。
AWS Well-Architectedの負荷試験に関する資料 は、本番に近い環境と想定負荷で測定し、事前に決めた指標と比べることに加え、合成データまたは機微・識別情報を除いた本番データを用いるよう説明している。これはAI生成システム専用の資料でも、自社に必要な件数や合格値を示すものでもない。データの実名性と試験の現実性を同じものにしないための参考になる。
本番に近づけるのは試験条件であり、顧客の名前や連絡先をそのまま持ち込むことではない。
加工したデータも、承認なしで自由に使えるとは限らない
名前を伏せる、顧客番号を置き換える、値を入れ替えるといった加工には違いがある。元の情報との対応表が残る、別の記録と合わせて推測できる、自由記述に氏名が残る場合もある。「マスキング済み」というラベルだけで、誰でも使えるデータとは決めない。
加工方法は、試験目的、残すべき特徴、元の情報へ戻れる可能性、対応表の保管、利用先の契約を合わせて確認する。日本法上の匿名加工情報など、法的な区分に当たるかは、本稿の一般手順だけで判断できない。必要なら社内の個人情報・法務担当へ確認する。
AWSの検証用データ管理ガイド は、試験データを一元化・版管理し、非本番環境向けに加工・承認し、変更を記録して関係チームへ伝える考え方を示す。生の本番データをすべて集中保管する推奨ではない。加工済みで非本番利用を承認したデータを、管理された入口から供給する考え方として読む。
試験データの正本を一つにし、持ち出しを増やさない
試験担当者が各自で本番から抽出すると、古いコピー、加工方法の違うコピー、削除されないコピーが増える。そこで、利用を認めた試験データに、目的、元にした条件、加工方法、版、作成・承認者、利用できる環境、期限を付ける。
試験環境は、その管理されたデータを直接受け取る。メール添付や個人端末を経由しない。データの項目や形式を変えたら、どの試験が影響を受けるかを記録し、利用チームへ知らせる。古い版を残す必要がある場合も、目的と期限を明示する。
AIへ相談する場合は、試験環境にあるから自動的に入力可能とは考えない。サービスの契約、保存、学習利用、閲覧者を確認し、質問に必要な項目だけを別の共有用データにする。試験データの利用承認と、外部AIサービスへの送信承認は別に残す。
使い終わったデータを、試験環境の外まで探す
保持期限は、試験環境の一つの表だけに適用しない。担当者の端末、ダウンロード履歴、共有フォルダー、メールやチャットの添付、解析用の一時領域、バックアップ、AIサービス側の履歴に残る可能性を確認する。
AWS Data Analytics Lensのデータ保持に関する資料 は、保存目的に必要な期間へ限定し、定期的に見直し、不要データを削除または保管場所を変える考え方を示す。分析環境向けの設計ガイドであり、日本法上の保存期限やAI開発全般の義務を定めるものではない。
自社では、利用終了の条件、削除対象、実施者、確認者、削除結果を記録する。バックアップや外部サービスで即時削除できない場合は、その範囲、アクセス制限、削除される時点を確認し、「削除済み」と広げて書かない。
実データが必要なら、コピーする前に利用条件を渡す
どうしても実データを使う必要が残る場合は、次の八つを整理し、業務と情報管理の担当へ確認する。自分で加工したことを、利用許可の代わりにしない。
- 試験目的と合格条件が書かれている。
- 必要な項目・件数・分布・例外を説明できる。
- 合成データや加工データで代替できない理由がある。
- 元データと複製先、外部送信先を特定している。
- 閲覧者と操作権限を必要な人へ限っている。
- 加工方法と対応表の管理、再識別の可能性を確認している。
- 保持期限、削除対象、削除確認の方法が決まっている。
- 業務責任者と情報管理の担当が、対象範囲を承認している。
既存コピーは、同じ条件で継続利用、利用制限、削除を決める。条件がそろわないなら、合成データへ戻す、必要な一部項目だけを加工する、社外送信のない管理環境で試す。試験結果を得る速さより、顧客情報の複製を説明できる範囲に保つ。
「注意して扱う」で先へ進まず、目的から削除までを示し、コピーする前に必要な利用許可を確かめる。
顧客データをコピーする前に、実名なしで試験条件を再現できるか確かめる
本番に近い試験は必要になる。しかし、近づけるべきものは件数、形式、分布、役割、例外といった試験条件であり、顧客を特定する情報そのものとは限らない。
コピーする前に、試したい条件を一つ書く。文字の種類、件数、項目同士の関係など、顧客の実名を使わず再現できないかを確かめる。実データが必要な理由が残ったときだけ、必要項目と利用先を管理担当へ渡す。「テストだから」ではなく、その条件を試すのに何が必要かから始める。