鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 講演資料 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 0 2007/1/24 版 講師略歴 (http://yosihiro.com/profile/) 佐藤 慶浩 （さとう よしひろ） 日本ヒューレット・パッカード株式会社 個人情報保護対策室 チーフ・プライバシー・マネージャ 併任 ? 情報処理推進機構（ www.ipa.go.jp/）セキュリティセンター 非常勤研究員(2000/12∼) ? 内閣官房 情報セキュリティセンター（ www.bits.go.jp/） 内閣参事官補佐(2004/7/15∼) 略歴 1990 年、日本ヒューレット・ パッカード(株)入社。 2004 年6月、個人情報保護対策室長に着任。 2004 年11月、ヒューレット・ パッカードのプライバシー・オフィスに所属し、日本のチーフ・プライバシー・マネージャとして全社 施策の推進にあたる。 委員等 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 情報処理学会（www.ipsj.or.jp/） 正会員(1998∼) NPO 日本ネットワークセキュリティ 協会（www.jnsa.org/） 理事(2000/4∼2004/5) 金融情報サービスセンター（ www.fisc.or.jp/）セキュリティポリシー研究会 委員(2001∼) ISO/IEC JTC1 国際標準セキュリティ委員会 委員(2001∼) 杉並区住民基本台帳ネットワークシステム調査会議（www.city.suginami.tokyo.jp/）技術専門委員(2002/7∼) 情報ネットワーク法学会（www.in-law.jp/）理事(2002/5∼) 経済産業省 セキュリティホールに関する法律の諸外国調査委員会 委員(2003) 総務省 セキュアＯＳに関する調査研究会 構成員(2003/4∼2004/3) 情報処理推進機構（ www.ipa.go.jp/）情報システム等の脆弱性情報の取り扱いに関する研究会 委員(2003∼) セキュアＯＳと基盤ソフトウエアに関する研究会（secure-os.yosihiro.com/） メンバー(2003∼) 内閣官房 情報セキュリティ対策推進室 セキュアＯＳ検討委員会 委員(2003∼) NPO オープンソースデベロップメントラボ（www.osdl.jp/） Enterprise Linux for Public Sector ワークショップ メンバー (2004/2∼) NPO デジタル ・フォレンジック研究会(www.digitalforensic.jp/) 理事(2004/8∼) 経済産業省 e-文書法 検討委員会委員(2004/11∼) 経済産業省 個人情報保護ガイドラインＱ＆Ａ集検討会 委員(2005/4∼) 日本情報処理開発協会 ISMS技術専門部会 委員(2006/5∼) © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 1 Page 1 鳥取県 平成１８年度市町村・企業トップ人権セミナー すぐに始められる 個人情報保護 2007年1月24日 日本ヒューレット・パッカード株式会社 個人情報保護対策室長 チーフ・プライバシー・マネージャ 佐藤 慶浩 © 2004 -2005 Hewlett-Packard Development Company, L.P. 本書に含まれる情報は、予告なく変更されることがあります。 2007/1/24 版 ＨＰの２つの立場 消費者 事業者 委託先 日本ＨＰの ＨＰサービス部門 © 2004-2007 Hewlett-Packard Development Company, L.P. ＨＰサービス部門の 委託先企業様 日本ＨＰの 委託先企業様 日本ＨＰの クライアント企業様 お客様 日本ＨＰ お客 様 © 2004 -2007 Hewlett-Packard Development Company, L.P. 再委託先 Slide 3 Page 2 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報保護の 企業における位置付け 企業の目的： 個人情報の受諾目的内での活用 企業への要件：個人情報の保護 ＝個人情報の目的外使用の防止 個人情報の保護だけを目的とするのではなく、 個人情報を適切に取扱う（保護し活用する）ことを目的 として、保護をその１つの要件として位置付け、それに 必要な対策を検討します。 お客様が自らの個人情報を自社に預けていただいてい ることの期待に応えるために、必要な施策をすべきです。 → 個人情報適正取扱施策 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 4 2007/1/24 版 個人情報適正取扱施策 有益な情報提供と プライバシー対策 高 お客 様への貢献 のレベル お客様のニーズに適合した ビジネスの実現 個人情報保護法 遵守 個人情報の適切な活用 個人情報漏えい 対策 個人情報 漏えい防止 低 個人情報適正取扱施策 のレベル 高 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 5 Page 3 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 「個人情報○×対策」という言葉 • コンプライアンス（ 順法） としての 個人情報保護法対応 • 情報セキュリティ ・ リスク管理としての 個人情報漏洩防止 • ビジネスに役立てるための 個人情報活用施策 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 6 2007/1/24 版 「個人情報○×対策」という言葉 • コンプライアンス（ 順法） としての 個人情報保護法対応 • 情報セキュリティ ・ リスク管理としての 個人情報漏洩防止 • ビジネスに役立てるための 個人情報活用施策 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 7 Page 4 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報取扱事業者の義務 １．利用目的の特定と通知 個人情報漏洩防止のためだけの 法律ではありません。 ・正確かつ最新の内容に保つよう努めなければならない。（第19条） ・安全管理のために必要な措置を講じなければならない。（第20条） ・従業者・ 委託先に対し必要な監督を行わなければならない。（第21、22条） ・本人の同意を得ずに第三者に提供してはならない。（第23条） 保有個人データに対する義務 ・苦情の適切かつ迅速な処理に努めなければならない。（ 第31条） ３．正確性の確保、安全管理措置、監督、第三者提供 個人データに対 する義務 ２．苦情の処理 個人情報に対する義務 ・利用目的をできる限り特定しなければならない。（ 第15条） ・利用目的の達成に必要な範囲を超えて取り扱ってはならない。（第16条） ・偽りその他不正の手段により取得してはならない。（第17条） ・取得したときは利用目的を通知又は公表しなければならない。（第18条） ４．本人の関与 ・利用目的等を本人の知り得る状態に置かなければならない。（ 第24条） ・本人の求めに応じて保有個人データを開示・訂正・利用停止等を行わなければならない。 （第25条∼第27条） ・理由の説明、手続き、手数料について。（ 第28条∼第30条） Slide 8 © 2004 -2007 Hewlett-Packard Development Company, L.P. 2007/1/24 版 個人情報保護対策 「利用目的の通知」 個人情報を取得する際には、必ず、「利用目的」を取得時に ご本人に知らせなければなりません。 「利用目的」の表記方法は会社の標準に従わなければなりません。 「利用目的」に勝手な作文をしてはなりません。 個人情報利用目的の通知 事業者 ご本人 （自社） 個人情報の取得 利用目的を通知せ ずに、個人情報を取 得すると、取得する 行為そのものが違 法となります。 個人情報とは：お客様、取引先、下 請けなど個人を特定できる情報を 含むものすべて 取得とは： 氏名の記入や、Web画 面入力、名刺をいただくことなど 詳細は、ガイドラインで規定 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 9 Page 5 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報保護対策 「第三者提供の同意」 個人情報を自社以外に提供する（参照させる）際には、ご本人から、 予め「第三者提供の同意」を得なければなりません。 個人情報利用目的の通知 第三者提供の同意 自社 以外の 企業や組織・ 団体など 事業者 ご本人 （自社） 個人情報の取得 第三者提供 ご本人から第三者提供の同意を予め得ず に、個人情報を自社以外に提供すると違 法になります。 イベントやセミナーの共催であっても、例外 ではありません。 詳細は、ガイドラインで規定 Slide 10 © 2004 -2007 Hewlett-Packard Development Company, L.P. 2007/1/24 版 個人情報保護対策 「第三者提供の同意」 個人情報をご本人以外から取得（入手）する場合には、自社に対 する第三者提供の同意を、得てもらったものに限ります。 個人情報利用目的の通知 第三者提供の同意 ご本人 事業者 （自社 以外の 企業や組織・ 団体など） 個人情報の取得 自社 第三者提供 ご本人以外から取得する場合には、最初に取得する人が、 事業者以外への第三者提供の同意を得る必要があります。 第三者提供の同意を得ていないものを取得すると、提供を 受けた者は不正入手という違法になります。 イベントやセミナーの共催であっても、例外ではありません。 名簿業者も同様です。 詳細は、ガイドラインを規定 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 11 Page 6 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報保護法のガイドライン 内閣府 国民生活局 個人情報の保護に関するガイドラインについて http://www5.cao.go.jp/seikatsu/kojin/gaidorainkentou.html 参考書籍 これだけは知っておきたい 個人情報保護（５２５円） 岡村久道・鈴木正朝著 日本経済新聞社 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 12 2007/1/24 版 個人情報保護に関係する法令等 省庁 総務省 日付 内容 - 迷惑メールに 係る対応方策 の検討について（論点整理） - 独立行政法人 などの保有する個人情報の 保護に関する法律に係る 行政手続における情報通信の技 術のりように 関する法律施行規則 - 行政機関等個人情報保護法（個人情報保護関連5法 の概要） - 放送受信者等の 個人情報の保 護に関する指針 - 電子タグに関 するプライバシー保護 ガイドライン - 損害保険会社に係る個人情報保護指針（個人情報指針）について H16.9.14 「行政機関の 保有する個人情報の適 切な管理のための措置に 関する指針」及び 「独立行政法人等の 保有うする個人情報の 適切 な管理 のための措置に 関する指針」 H16.8.13 「放送分野における個人情報保護の 基本的 な在 り方について」の公表 特定電子 メールの 送信の 適正化等に関する法律 H14.6.21 経済産業省 H19.∼ 財務省 H16.10.25 特定商取引に関する法律施行規則 の改正について(電 子メールによる一方的 な商業広告の 送りつけへの 対応） 電子商取引等に関する準則改訂案 New 財務省の 所管する事業者等.個人情報の保 護に関する法律 （個人情報の 取得等、管理etca0 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 13 Page 7 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 日本における 法令等のコンプライアンス （私見） 合法＝法の条文とおり従う →目標（理想的） 法の条文とおりではなくても違法ではない場合もある →欧米にあまりない概念 違法とならない程度＝社会通念上遜色のない最善策を実施して いれば違法とはならない場合もある 脱法＝法律に触れないような方法で、実際は、法が禁止している ことを犯すこと （広辞苑より） →発覚すれば企業として致命的 →絶対にしてはならない © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 14 2007/1/24 版 個人情報保護法へのコンプライアンス？ →特定の法律だけを検討しても不十分 個人情報 プライバシー 民法 個人情報保護法 出典:「個人情報保護法とコンプライアンス・プログラム」鈴木正朝 著 商事法務 出版 ISBN4-7857-1191-4 Slide 15 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Page 8 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報の定義のおける留意点 一般的に使われる「個人情報」 という用語で考えればよ いが、以下の点に注意するとよい。 • 電子、非電子のいずれも対象 • 従業員も対象 • 法人等の連絡先情報も対象 • 公知の情報も対象 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 16 2007/1/24 版 プライバシー侵害 プライバシーの侵害による不法行為の成立要件 • 公開された内容が私生活の事実またはそれらしく受け とられるおそれのある事柄であること • 一般人の感受性を基準にして当該私人の立場に立っ た場合公開を欲しないであろうと認められること • 一般の人々に未だ知られない事柄であること • その他、被害者が公開により不快、不安の念を覚える こと 『宴のあと』事件」判決（東京地判昭和３９年９月２８日）より 出典：新保史生先生 http://hogen.org/research/paper/jp/ © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 17 Page 9 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報保護法施行後に 起こりうる事案 「特定」したとみなさ れないと苦情 あり ヤミ名簿業者の名 簿 を使うと苦 情 あり １．利用目的の特定と通知 通知・公表していな ければ苦情 ・利用目的をできる限り特定しなければならない。（ 第15条） ・利用目的の達成に必要な範囲を超えて取り扱ってはならない。（第16条） この場合 、即違法 ・偽りその他不正の手段により取得してはならない。（第17条） ・取得したときは利用目的を通知又は公表しなければならない。（第18条） 合法であっても苦情 ２．苦情の処理 は避けられない ・苦情の適切かつ迅速な処理に努めなければならない。（ 第31条） ３．正確性の確保、安全管理措置、監督、第三者提供 継続的改善しかあ り得ないためなくな らないはず ・正確かつ最新の内容に保つよう努めなければならない。（第19条） 下請け丸投 げは許 ・安全管理のために必要な措置を講じなければならない。（第20条） ・従業者・ 委託先に対し必要な監督を行わなければならない。（第21、22条） されない可能性あり ・本人の同意を得ずに第三者に提供してはならない。（第23条） よくあるビジネスモデルが見 落とさ ４．本人の関与 れている可能性あり ・利用目的等を本人の知り得る状態に置かなければならない。（ 第24条） ・本人の求めに応じて保有個人データを開示・訂正・利用停止等を行わなければならない。 （第25条∼第27条） ご本人へ の利便性と、なりすま し防止の 両立が 問われる ・理由の説明、手続き、手数料について。（ 第28条∼第30条） Slide 18 義務ではないので忘れられがちだが、 © 2004 -2007 Hewlett-Packard企業防衛のために必須 Development Company, L.P. 2007/1/24 版 オプトイン／オプトアウト HPのポリシー オプトイン（同意原則） 個人情報を取得する際に、利用目的についての合 意を得て、それに従って利用する 明示オプトイン：「同意するなら○○してください」 EU,US での →確認を取れなければ、不同意として扱う ﾍﾞｰｽﾗｲﾝ 暗黙オプトイン：「同意しないなら○○してください」 →確認を取れなくても、同意とみなす 個人情報保護法の要件 オプトアウト（利用停止） 個人情報を利用する際に、利用停止の手段をご本 人に通知し、ご要求により利用を停止する © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 19 Page 10 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 オプトイン・フラッグ ４つのメディアを区別 ID 電 F 電 子 A 電子メール （オプトイン） メ X 話 ＦＡＸ （オプトイン） | 電話 （オプトアウト） ル １ Y Y Y 郵便 （オプトアウト） ２ Y U N ステータス ３ Y N N Ｙ （同意） ４ I I I Ｎ （不同意） Ｕ （未確認） ●事業部間連携 Ｉ （利用禁止） 郵 氏 便 名 連 絡 先 Y U N I ・・・ ・・・ ・・・ ・・・ 佐藤 鈴木 田中 伊東 ●本人確認手段 →お客様ご本人による情報管理 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 20 2007/1/24 版 事業部間連携課題の解決方式例 ●統合ＤＢ集約方式 ●分散ＤＢ同期方式 ●分散ＤＢ独立 出口一元処理 出口振り落とし処理 ●その他 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 21 Page 11 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 GOOFY General Opt-Out Filtering sYstem 事業部 毎の システム オプトイン フラッグ 管理 [email protected] [email protected] [email protected] [email protected] [email protected] [email protected] [email protected] [email protected] 入力 GOOFY 日本HP 全社システム 出力 [email protected] © 2004 -2007 Hewlett-Packard Development Company, L.P. 利用停止 ご希望者 リスト [email protected] Slide 22 2007/1/24 版 個人情報の分別 個人情報保護法は類別をしないが、 HPポリシーは類別により対策にメリハリを付ける センシティブデータ(EU データ保護指令：人種や民族上の 出自、政治的見解、宗教や思想信条、労働組合への加盟 状況、健康や性生活に関するデータ、EU以外：、経済状 況に関するデータや子どもに関する情報なども含む） 重要個人情報（クレジットカード情報、パスワード） 個人識別情報 PII (Personally Identifiable Information) 個人識別可能情報 それぞれに応じた対策を講ずるべき。(EU,US) 集計データ 日本の個人情報保護法では特定の業種以外では、個人情報の 類別をしていない。そのため、重要な情報に対して重点的 匿名データ な対策をするというコスト配分の裏づけを得られない。 業務連絡する際（製品保守契約情報をお知らせするなど） © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 23 Page 12 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報の分別 必要性の判断 企業が 接する 個人情報 ビジネス に必要な 個人情報 ビジネス に必要ない 個人情報 大分別による保管（例） （Ａ）従業員の個人情報 （Ｂ） 顧客の個人情報 （Ｃ） 委託業務で処理する個人情報 （Ｄ） 上記以外の個人情報 © 2004 -2007 Hewlett-Packard Development Company, L.P. 小分別による対策（例） （Ａ−ア） プライバシー情報 （Ａ−イ）連絡先情報 （Ａ−ウ）人事評価情報 ： （Ｂ−ア）センシティブデータ （Ｂ−イ） プライバシー情報 （Ｂ−ウ） 重要個人情報 （Ｂ−エ）自宅の連絡先 （Ｂ−オ） 職場の連絡先 （Ｂ−カ） 業務上の連絡先 （Ｂ−キ）匿名情報 （Ｂ−ク）集計情報 （Ｃ−ア）○○○情報 （Ｃ−イ）○○○情報 ： （Ｄ−ア）○○○情報 （Ｄ−イ）○○○情報 ： Slide 24 2007/1/24 版 「個人情報○×対策」という言葉 • コンプライアンス（ 順法） としての 個人情報保護法対応 • 情報セキュリティ ・ リスク管理としての 個人情報漏洩防止 • ビジネスに役立てるための 個人情報活用施策 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 25 Page 13 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 情報セキュリティ対策 と 個人情報保護対策 個人情報保護対策 情報セキュリティ対策 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 26 2007/1/24 版 個人情報と機密情報の関係 個人情報 個人情報 機密保持契約 の対象情報 自社機密情報 預かり機密情報 機密情報 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 27 Page 14 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 企業における機密情報 何があるか推察はできる 見ても内容がわかりにくい 何があるかわからない 見ても内容がわかりにくい 多くの者がアクセス可能 関係者が限られる 自社機密情報 預かり機密情報 機密情報 Slide 28 © 2004 -2007 Hewlett-Packard Development Company, L.P. 2007/1/24 版 個人情報と機密情報の関係 あることがわかっている 見ればわかる アクセス可能者が多い →狙われやすい 個人情報 個人情報 自社機密情報 預かり機密情報 機密情報 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 29 Page 15 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 管理の不徹底が顕在化した 新たな脅威技術が登場したわけではない • 企業において機密情報管理が徹底していなかった。 • 個人情報の漏洩でそのことが顕在化した。 • 管理が不十分であったとは言い切れないが、不徹底が 潜在的にあった。 • 企業内外の情報に対する価値観や環境の変化。 • 現代の企業は、変化に対応することで安定する必要が ある。（変化しないことが安定ではない） © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 30 2007/1/24 版 個人情報保護法第２０条 安全管理措置 とガイドライン 経済産業省ガイドライン ・個人情報取扱事業者は、その取り扱う個人データの漏洩、滅失又は毀損 の防止その他の個人データの安全管理のため、組織的安全管理措置、人 的安全管理措置、物理的安全管理措置、及び技術的な安全管理措置を 講じなければならない。 組織的 安全管理措置 人的 安全管理措置 物理的 安全管理措置 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. 技術的 安全管理措置 Slide 31 Page 16 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 経済産業省 個人情報保護法ガイドライン 第２０条 （安全管理措置） ●組織的安全管理措置 情報のライフサイクル（取得・入力、移送・送信、利用・加工、保 管・バックアップ、消去・廃棄） ●人的安全管理措置 教育 ●物理的安全管理措置 ●技術的安全管理措置 ５Ａ（Authentication, Access Control, Administration, Auditing, Assurance) © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 32 2007/1/24 版 経済産業省 個人情報保護法ガイドライン 第２０条 56ページにわたり、具体的な指針が書かれているが 、特に20条 安全管 理措置については、11ページを割いて詳述している。 20条のガイドライン（抜粋） 1. 2. 3. 組織的措置 人的措置 物理的措置 4. 技術的措置： 1. 2. 3. 4. 5. 6. 7. 8. 個人データへのアクセスにおける識別と認証 個人データへのアクセス制御 個人データへのアクセス権限の管理 個人データのアクセスの記録 個人データを取り扱う情報システムに対する不正ソフトウェア対策 個人データの移送・通信時の対策 個人データを取り扱う情報システムの動作確認時の対策 個人データを取り扱う情報システムの監視 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 33 Page 17 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 経済産業省 個人情報保護法ガイドライン 第２０条 http://yosihiro.com/infosec /index.html#security_architecture • つぎはぎシステムを防ぐ セキュリティアーキテクチャ • 5A (Authentication, Access Control, Administration, Auditing, Assurance) © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 34 2007/1/24 版 内閣官房情報セキュリティセンター 政府機関情報セキュリティ統一基準 http://www.nisc.go.jp/active/general/ kijun01.html • 政府機関の情報セキュリティ対策のための統一基準 （2005年12月版［全体版初版］）解説書 • 2007年2月2日（情報セキュリティの日）以後に、上記 の統一基準を民間企業でも活用しやすくするための参考 資料を提供予定です。その日以後に、 http://www.nisc.go.jp/ にてご確認ください。 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 35 Page 18 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報のライフサイクル ①個人情報の取得・ 入力 利用目的・ 情報移転の了解を事前に得る 必要最低限の取得→使用予定のないものは取得しない ②個人情報の移送・ 送信 宛先間違え、遺失、盗聴などの予防や防止、被害の軽減対策など ③個人情報の利用・ 加工 利用者の制限（無許可者からのアクセス防御） 最小情報、最小数量の利用制限（ 許可者の最小権限） 取扱い手順の明確化（許可者の注意義務） 情報格付けの継承、ｼｽﾃﾑ要件の継承 ④個人情報の保管・ バックアップ 情報漏洩・ 書き換えの防御 情報格付け、ｼｽﾃﾑ格付け：所在の管理、視認性の確保 ⑤個人情報の消去・ 廃棄 廃棄手順の明確化（電子化前後の廃棄手順を含む） Slide 36 © 2004 -2007 Hewlett-Packard Development Company, L.P. 2007/1/24 版 情報漏洩 対策 情報漏洩防止の基本原理 主として 運用対策 なるべく保有しない 主として 技術対策 なるべく参照させない 存在 保有 参照 参照させなければ 漏洩しない 保有しなければ 漏洩しない © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 37 Page 19 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報漏洩防止の 基本原理 なるべく保有しない ・持たざるを得ない個人情報／持たなくてもよい個人情報 ・取得禁止項目を明確にする。 ・利用予定のない個人情報の取得を禁止する。 ・利用後、直ちに消去できるものは消去を義務付ける。 なるべく参照させない ・業務上必要な権限よりも、Ｉ Ｔが許可する権限は小さくなれない。 ・Ｉ Ｔが許可する権限と業務上必要な権限の差を極力少なくする。 ・業務上必要な最小限の参照に限定する。 種類、人、時間、場所、目的、手段 （５Ｗ１Ｈ） 個人情報へのアクセス ・アクセス記録の保全→抑止 ・アノマリ検出（非通常行為の検出） © 2004 -2007 Hewlett-Packard Development Company, L.P. この部分にまだ甘えがある Slide 38 2007/1/24 版 個人情報漏洩防止の 基本原理 Ｉ Ｔが許可する権限 不必要な権限 ↓ 最小化 業務上必要な権限 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 39 Page 20 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報漏洩防止の対策 プリンタ事業部コンシューマ部門の例 - お客様情報はご自身で Web に入力していただく （営業が入力代行したり、葉書の打ち込み委託会社が個人情報を知る必要がない） - 営業職なども個人情報にはアクセスできない （そもそも統計情報以外、アクセスする必要がない） - インバウンド・ マーケティング 顧客ＤＢとＣＫＭ−ＤＢを分離している （製品戦略担当者が、個人情報の個別の内容を知る必要がない） - コールセンター のオペレータは、１アクセス１レコードしかアクセスできない （オペレータが担当しているお客様のレコード以外にアクセスする必要がない） - アウトバウンド・マーケティング： DM などをする場合には、企画者は DM 送付条件をシステムに指定する システムが該当する顧客を抽出し、抽出された宛先は、配信システムに直接伝達する （販売促進担当者が、個人情報の個別の内容を知る必要がない） © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 40 2007/1/24 版 性悪説だけでは企業は成り立たない • 性善説を前提にして、 • 性悪説を想定する © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 41 Page 21 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 不正アクセスの類型 アクセス権限のない者による不正アクセス（通称：外部犯） • 無権限アクセス 悪意あり - 技術面：アクセス制御による防御・多重の防御 アクセス権限者による不正アクセス（通称：内部犯） • 誤操作・ 過失 悪意なし - 誤操作を軽減する設計 - 啓発、教育、訓練 • 権限の悪用 悪意なし - 運用面：許可する権限の最少化 - 技術面：監視による抑止効果 - 技術面：アノマリ・アクセス検出 © 2004 -2007 Hewlett-Packard Development Company, L.P. 悪意あり Slide 42 2007/1/24 版 情報ｾｷｭﾘﾃｨ対策の教育の一例 ブロークン・ウインドウズ理論 Broken Windows Theory March 1982, Atlantic Online ※一例であり、これを画一的に、あるいは一意に推奨するという ことではありません。 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 43 Page 22 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 凶悪犯罪を未然に防止 することはできるか？ 情報セキュリティの重大 違反を防止することはで きるか？ 人が業務を遂行しており、 人が違反する →違反を低減させるには どうすればよいかについ ても考える。 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 44 2007/1/24 版 ブロークン・ウインドウズ理論 第１段階 落書きが放置されていると罪悪感が薄れやすくなる 第２段階 軽犯罪が多発し治安が悪くなる 第３段階 警察の監視がないと判断され、より凶悪な犯罪者が寄り付く 第４段階 犯罪がエスカレートし凶悪犯罪が発生する 対策 (1)落書きを徹底的 に消す →警察や住民の監視があるというメッセージ →軽い気持ちで罪を犯す人が減少する (2)軽犯罪の取締りを強化する →小さな犯罪も許さないという姿勢をアピール →犯罪を起こそうと思う人間は近づかない →凶悪犯罪は低減する © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 45 Page 23 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 想定外事象への対応に関する 参考図書 Managing Unexpected 不確実性のマネジメント 出版：ダイヤモンド社 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 46 2007/1/24 版 委託関係において 配慮すべきこと 委託発注者は、一次的な個人情報取扱事業者である。 発注者は、自身の安全管理措置を具体的に定めて徹底する。 発注者は、安全管理措置を発注時に具体的に示す。 受注者は、指示された措置に必要な対策を具体的に設計し、必要 な費用を見積もる。 双方が、個人情報の保護に必要な運用体制（情報受け渡しプロトコ ル）を確立する。 なぜなら、顧客は、一次的な個人情報取扱事業者を信頼して個人 情報を預けているのであって、委託先に責任転嫁されることを期待 していない。 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 47 Page 24 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報取扱事業者と業務委託の関係 個人情報 主体 個人情報取扱事業者 企業 お客様等 業務委託した場合であっても、 委託元企業が、 個人情報取扱事業者で あることは 変わらない。 委託先 再委託先 再委託先企業 委託先企業 委託元企業 お客様等 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 48 2007/1/24 版 委託先への参照 最少化の責務は事業者にあるべき 結果責任偏重の損害賠償だけの 契約は無責任かつ逆効果 なるべく入手しない なるべく参照させない 存在 保有 参照 参照させなければ 漏洩しない 保有しなければ 漏洩しない 個人情報 取扱事業者 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. 委託業務 受託者 Slide 49 Page 25 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 委託関係において あってはならないこと 委託関係において、発注者が安全管理措置を具体的に示さず、結 果責任としての賠償責任だけをリスク転嫁することは、健全な社会 を形成するとは思われない。 リスクの転嫁の連鎖だけが発生する 具体策がないまま見積もりをする 適正にするところは費用が高くなる 適当に対応するところは費用が安くなる 発注者としての具体策がないため、費用以外での評価ができない リスクが潜在化するだけ 結果責任だけを押し付けると、自社の周囲に粗悪業者が蔓延し、 事故が発生するその日まで、リスクが温存される危険性が高まる。 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 50 2007/1/24 版 委託先への間違えやすい管理 委託先にプライバシーマーク認証取得を指示する • 委託先にＩ ＳＭＳ認証取得を指示する →保護対象とする情報や適用範囲を適正に定めて、それを明確に している場合だけが意味がある。 →暗黙のままでは、プライバシーマークやＩ ＳＭＳの認証対象は、そ れを取得する企業自身の情報となる。（委託元から預かる情報と は異なる場合がある） • 個人情報取扱事業者として、社外への丸投げ体質は許されない。 リスク転嫁策のように思われるが、事故発生後のことを考えれば、 それが正しくないことは、すぐにわかること。 さらに、現場での責任意識・危機管理意識の希薄化を招くため、む しろ、百害あって一利なし。 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 51 Page 26 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報保護法ガイドライン （経済産業省の例） 第２３条 （第三者への提供） 事業者は、雇用管理に関する個人データの第三者への提供に当 たって、次に掲げる事項に留意するものとすること。 （１）提供先において、その従業者に対し当該個人データの取扱い を通じて知り得た個人情報を漏らし、又は盗用してはならないことと されていること。 （２）当該個人データの再提供を行うに当たっては、あらかじめ 文書 をもって事業者の了承を得ること。 （３）提供先における保管期間等を明確化すること。 （４）利用目的達成後の個人データの返却又は提供先における破 棄若しくは削除が適切かつ確実になされること。 （５）提供先における個人データの複写及び複製（安全管理上必要 なバックアップを目的とするものを除く。）を禁止すること。 但し、当該再提供が 、法第二十三条第一項第一号から第四号 までに該 当する場合 を除く。 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 52 2007/1/24 版 個人情報保護法ガイドライン （経済産業省の例） 第２２条 （委託先の監督） ・個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合、 法第20条に基づく安全管理措置 を遵守させるよう、受託者 に対し必要かつ適切 な監督を行わなければならない。 ・「必要かつ適切な監督」には、委託契約において、当該個人データの取扱に関 して、必要かつ適切な安全管理措置として、委託者、受託者双方が同意した内容 を契約に盛り込むとともに、同内容が適切に遂行されていることを、あらかじめ定 めた間隔で確認することも含まれる。なお、優先的地位にある者が委託者の場 合、受託者に不当な負担を課すことがあってはならない。 ・委託者が受託者 について「必要かつ適切な監督」を行っていない場合で、受託 者が再委託をした際に、再委託先が適切といえない取扱いを行ったことにより、 何らかの問題が生じた場合は、元の委託者がその 責めを負うことがあり得るの で、再委託する場合は注意する。 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 53 Page 27 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 「個人情報○×対策」という言葉 • コンプライアンス（ 順法） としての 個人情報保護法対応 • 情報セキュリティ ・ リスク管理としての 個人情報漏洩防止 • ビジネスに役立てるための 個人情報活用施策 © 2004 -2007 Hewlett-Packard Development Company, L.P. 1990 年代 「バウンダリ・セキュリティ」 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 54 2007/1/24 版 Slide 55 Page 28 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 「バウンダリ・モデル」は、 本当に安全か・・？ © 2004 -2007 Hewlett-Packard Development Company, L.P. 200X 年 「エンド・ツー・エンド・セキュリティ」 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 56 2007/1/24 版 Slide 57 Page 29 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 最低基準ではなく適正基準 「何ができるかより、何をしないか」 ビジネス・リスク対策としての情報セキュリティ施策 実際の脅威 情報セキュリティポリシーによる目標 受け入れたリスク これからの 対策 現状 実施済みの対策 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 58 2007/1/24 版 最低基準ではなく適正基準 「何ができるかより、何をしないか」 ビジネス・リスク対策としての情報セキュリティ施策 ? 脅威 目標 現状 変化＝チャンス＋リスク インターネット接続 自由度のある利用形態 非従業員との協業 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 59 Page 30 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 個人情報管理でのポイント ∼顧客に提供する情報の品質改善∼ 合法であっても問い合わせは来る →問い合わせにて、合法を納得させられなければ、苦情になる →問い合わせを軽減するために、施策や説明、同意の有無をわか りやすくする 数撃てば当たる的な販売促進活動は自滅する →利用停止要求を軽減するために、提供する情報の品質を改善し、 継続して情報提供して欲しいと思われる情報の発信をする 日本ＨＰにおける個人情報保護法の効用 個人情報をいかにビジネスに役立てるのかの戦略が重要に なる。役立てない情報は、保持しないでリスクを回避する必要 がある。保持して利用するものについては、その効果測定をし て、リスク管理することが必要になる。 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 60 2007/1/24 版 情報セキュリティ 情報活用と情報保護のバランス 情報は活用するためにある 情報セキュリティ偏重の過度の情報保護は禁物 情報活用が、企業における情報保持の目的 情報保護は、目的達成のための条件であり義務であるが、目的ではない 情報活用と情報保護のバランスをはかる情報セキュリティ施策とすべき コスト低減に貢献しないセキュリティ対策は要注意 Ｉ Ｔセキュリティ施策をＲＯＩ で考えてはいけない Ｉ Ｔ施策におけるＴＣＯ削減は避けれない ＴＣＯ削減に貢献する、Ｉ Ｔセキュリティ施策でなければ実効性は高まらない セキュリティ対策のひとつは単純化。単純化はコスト低減になるはず。 逆にコスト低減になっていないということは、複雑化をもたらしている危険信号。 Ｉ Ｔの最適化計画の中でセキュリティ対策に取り組むべき © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 61 Page 31 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 情報セキュリティ 情報活用と情報保護のバランス 守れるルールだけが、守られる。 必ず遵守できるルールだけを設けて、「ルールはすべて守るものである」という意識を 定着させることが、結果的に企業のセキュリティレベルを向上することができる。 できることの他に、できれば望ましいようなルールを混在させて、「ルールは必ずしも守 らなくても良い」という意識を持たれることは好ましくない。 具体的な遵守方法が十分検討されていないようなルールを設けることは論外。 ビジネスの要求に即したバランスを保つルールを設けることが重要。 性善説を前提。性悪説も想定。 性善説を前提とする。その上で、性悪説についても想定する。ことが重要。 性善説であれば、「ルールは守られる」というところから検討し始めることができる。 性悪説への対策は、ルールを守っている性善説の人達によって実施する。しかない。 © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 62 2007/1/24 版 情報セキュリティ 情報活用と情報保護のバランス 日本ＨＰにおけるルールの例 すべてのモバイル ＰＣは、起動用パスワード(Boot Password)と、 ディスクアクセス用パスワード(Drive Lock Password)を設定する こと。 ●モバイルで仕事する営業職に対しては、ＰＣの持ち出し全面禁止ルールは設けない。 業務上持ち出す必要のあるＰＣは持ち出すことがビジネスに必要。 ●コールセンター 従事者に対しては、極めて厳しいルールを設ける。 コールセンター では、すべてのＰＣは外部メディア接続不可能な設定（設定変更不可）。 入室時に私物の持ち込み禁止（室外の個人用ロッカーに預け入れ）。 ★業務内容に沿った、めりはりのあるルールの設定が重要。 守れるルールだけが、守られる。 情報は活用するためにある。 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 63 Page 32 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 まとめ © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 64 2007/1/24 版 「個人情報○×対策」という言葉 • コンプライアンス（ 順法） としての 個人情報保護法対応 →お客様・取引先ロイヤルティ向上 • 情報セキュリティ ・ リスク管理としての 個人情報漏洩防止 →情報漏洩対策 • ビジネスに役立てるための 個人情報活用施策 →情報管理対策、情報品質向上 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 65 Page 33 鳥取県 平成１８年度市町村・企業トップ人権セミナー 2007/1/24 版 まとめ 個人情報に関する企業における対策は、 ・お客様 ・関連企業の従事者 ・従業員に関する者 に関するものの３つに大別できる。 そのうち、お客様に関する個人情報に関する対策は、お客様に対して、 ・「個人情報を適切に保護しているという安心感の向上」 ・「個人情報を利用した各種販売促進活動における満足度の向上」 を管理することだと言える。 →社内個人情報保護ガイドラインの公開 (http://www.hp.com/jp/pip) 参考： 「法律から始めない個人情報保護対策」 科学技術振興機構発行 情報管理 2006年8月号 (VOL.49 NO.5) http://johokanri.jp/vol49-05/index.html © 2004 -2007 Hewlett-Packard Development Company, L.P. Slide 66 2007/1/24 版 © 2004 -2007 Hewlett-Packard Development Company, L.P. © 2004-2007 Hewlett-Packard Development Company, L.P. Slide 67 Page 34 鳥取県 平成１８年度市町村・企業トップ人権セミナー 参考資料 http:// yosihiro.com/go/2007-01-24-tori © 2004-2007 Hewlett-Packard Development Company, L.P. Page 35
© Copyright 2024 ExpyDoc
