AIを活用した内製開発の加速を止めない、専任者がいなくてもチームで回せるクラウドセキュリティ

株式会社テレビ朝日

1959年開局の民間放送局。ニュース・報道、バラエティ、ドラマ、スポーツなど幅広いジャンルの番組を制作・放送。近年は中期経営計画においてAIを重点戦略に位置づけ、コンテンツ制作から社内業務効率化まで、AI活用を全社的に推進しています。

＜お話を伺った方＞ 

ビジネスソリューション本部 イノベーション戦略局 AI戦略部
中村 敦 様、牧村 太郎 様、小俣 慎太郎 様、吉原 智哉 様

ミッションについて

テレビ局発、AIに関わることをすべて受け止める横断組織

中村様：私たちAI戦略部は、社内のAIに関する取り組みを一手に受け止め、形にしていくインキュベーター（育成の場）のような役割を担っています。番組コンテンツにAIを活用する班、社内業務のDXを担う班、データ活用を推進する班、社内のAIリテラシー向上を担う班、ガイドライン策定を担う班など、複数の班で構成されています。活用推進からガバナンスまで、AIに関連するテーマを幅広くカバーする体制です。こうした取り組みで生まれるサービスの多くは、Google Cloud上で私たち自身がAIを用いて内製開発しています。

組織として発足したのは、全社横断の「AI推進チーム」が2024年1月、「AI戦略部」が2025年7月です。それ以前は数名のプロジェクトとして活動していたのですが、AIで作った成果物を外部のコンテストに出したり社外に発表したりする機会が増える中で、会社として正式に組織化されました。組織になったことで、より横断的に動ける体制が整っています。

中期経営計画（2026〜2029年）の重点戦略にもAIが位置づけられており、「業務効率化のためのAI活用」「コンテンツ開発のためのAI活用」「ビジネス開発のためのAI活用」の3軸を全社で推進しています。

導入前の課題

「内製でできる」ことが、新たなセキュリティ課題を生んだ

中村様：従来システム開発は外部ベンダーへ発注していたのですが、ここ数年で、AIを活用すれば自分たちだけでもある程度のアプリケーションを開発できることが分かってきました。AI戦略部にはコンピューターサイエンスのバックグラウンドを持っていないメンバーも多かったのですが、AIの力を借りることで多くのサービスを部分的には内製できるようになってきたのです。感覚的には、これまでだと3〜6か月かかっていたものが1〜2週間で動いて使える状態になっています。

一方で、外部ベンダーが担保していたセキュリティや可用性についても、自分たちで考えなければならなくなりました。開発スピードを重視すればするほど、セキュリティ設計に十分な時間をかけることが難しくなります。かといって、セキュリティを犠牲にするわけにもいきません。

吉原様：AIを活用することで、従来とは比べものにならないスピードで開発を進められるようになりました。特に企画・検証の段階では、インフラのリソース設計を細部まで作り込むよりも、まずは「動くもの」を素早く形にして、現場で本当に使えるかどうかを見極めることを優先しています。

社内からは「こんなことはできないか」という相談が次々と寄せられ、開発を進めながら次の案件に着手することも少なくありません。そのため、本来あるべきリファクタリングや不要コードの整理まで、十分に手が回らない状況になっていました。それほど開発のサイクルが加速していたのです。

年に一回の脆弱性診断では間に合わない開発スピード

中村様：もともと、他部署と合わせて年1回の脆弱性診断を実施していました。ただ、AI戦略部として作るものは種類も頻度もどんどん増えています。新しいものを作りながらすぐ次のプロジェクトに着手するというサイクルで、年1回のスポット診断ではそもそも間に合わない状況になっていました。

ある日クラウドリソースを見ていたら、権限項目などで、検討が充分に行われていない設定がいくつかみつかり、「これはもう人力では管理しきれない」と実感したんです。限られた人数で、これだけ早く変化する環境をすべて手作業で対応するのは、現実的ではありません。クラウド環境を常時見守ってくれる仕組みが必要だと考えるようになりました。

Cloudbase導入の決め手

自分たちの規模にフィットした、過不足のないセキュリティ

中村様：他のサービスも検討していましたが、自分たちに合うものがなかなか見つかりませんでした。私たちの環境は、大規模なシステムが少数稼働しているというよりは、小さなソフトウェアが数多く存在し、それらが日々スクラップ＆ビルドされながら変化していくという特徴があります。数十個規模のサービスを継続的に監視するには、大規模環境向けの製品ではオーバースペックになってしまいます。その点Cloudbaseは、自分たちの規模に合ったライセンス形態で利用できることが魅力でした。

Google Cloudの幅広いサービスに対応していて、特にバケットやインスタンスまで継続的に監視してくれるのもありがたいです。リソースが増えても追加の手間なく見続けてくれるので、内製開発を進める私たちの環境にフィットしていました。

また、私たちが求めていたのは、一度きりのスポット診断ではなく、クラウド環境の設定ミスや脆弱性を継続的に管理することでした。

多要素認証やアクセス権限の管理など、基本的な対策を行った上で、継続的にリスクを監視できる状態を作る。その仕組みがあれば、組織としてセキュリティに対する説明責任を十分に果たせると感じました。

現場の運用を回せる日本語のUIと手厚いサポート

小俣様：実際にCloudbaseを触ったときに「どこにどのようなリスクがあるのか」が一目で分かる点も大きかったです。対処方法も日本語で記載されているため、リスクを発見してから対応するまでの流れがスムーズでした。

専門知識がなくてもリスク修正の判断ができ、チーム全体でセキュリティを意識するきっかけになっています。チーム内のリテラシー向上にも寄与していると感じます。

中村様：導入前には数か月間のトライアルを実施しましたが、本契約の決め手になったのはサポートの手厚さです。自分たちのクラウド環境をCloudbaseに接続する初期設定の際には、担当者の方が一緒に画面を見ながら対応してくれました。エラーが発生した際も、その場でCloudbaseのエンジニアチームに確認してもらいながらリアルタイムに解決できたので、安心感がありました。

活用方法について

専任のセキュリティ担当者なしで、全員でリスクに対応する

中村様：私たちのチームには、クラウド環境のセキュリティを専任で管理する担当者がいるわけではありません。そのため、Cloudbaseのアラートを活用しながら、チームメンバー同士でリスクを確認する運用を行っています。

AI戦略部の中でもGoogle CloudにアクセスできるメンバーはCloudbaseを利用できるようにしており、日々クラウド環境を触っているメンバーが定期的に状況を確認しています。

リスクが検出された際には、Cloudbase上で担当者をアサインして対応を進めます。すべてのリスクに対応するのは現実的ではないため、即時対応が必要なものやクリティカルなリスクを中心に対処しています。お互いに「警告が出ていますよ」と声を掛け合うことで、少人数でも継続的にクラウド環境を見守れる体制を作っています。

導入後の効果について

セキュリティに対する「安心感」の獲得

吉原様：自分が作ったサービスの中で「直さなければいけない箇所」を自動で検出してもらい、すぐに見直せることがありがたいです。新しい脆弱性を常に追い続けるのは難しいのですが、Cloudbaseが知らせてくれるため、自身の情報キャッチアップにもつながっています。

牧村様：私はAI戦略部に参画したばかりですが、まずクラウド全体が一元管理されて見渡せること自体が大きな価値だと感じています。

また、AIを活用した開発では、必ずしもシステムを1から10まで全て理解した上で作るわけではありません。以前はコードを手で書いていたので隅々まで把握できていましたが、今はそうではありません。そのような中で、見落としていたリスクを知らせてくれる仕組みはとても助かっています。

小俣様：チーム全員でセキュリティの状況を把握できるサービスがあるだけで、お守りのような安心感があります。これまでは、社内からの開発要望に応えることに追われ、セキュリティについて考える余裕もあまりありませんでした。

今はセキュリティを意識するきっかけにもなっていますし、見守ってくれる仕組みがあることでとても心強く感じています。

客観的な根拠とともに「説明責任」を果たせる

中村様：一番ありがたいのは、セキュリティの説明責任を果たせることです。経営層から「セキュリティは大丈夫なのか」と聞かれたときに、こういう目的でこのサービスを使っていて、現在はこういう状態です、と具体的に答えられます。報告の際にはCloudbaseのダッシュボードを示しながら、「今クリティカルなリスクが出ているので、このプロジェクトを止めて対応します」「対応の前後でこう変わりました」と根拠をもって伝えられています。専門家ではない自分たちが説明責任を果たせる材料を持てることが、非常に大きな価値だと感じています。

今後の展望

開発の成熟に合わせた活用拡大へ

中村様：私たちは「まずシステムを作って世に出す」ことを優先するチームなので、現状はリスクの検出・管理に注力している段階です。一方で、本来は使われていないリソースの整理やコストの最適化、システム運用の効率化といった観点でも、Cloudbaseを活用できる余地があると感じています。将来的にはそうした領域にも活用を広げていきたいですね。

Cloudbaseは、セキュリティを担保しながらクラウド活用を成熟させていくための土台になる存在だと思っています。現在は監視対象を絞って運用していますが、今後は監視範囲の拡大も含めて、さらに活用の幅を広げていきたいです。