日経パソコン Online Special ：情報漏えい対策Webセミナー　Webセミナーライブラリ 2004

VOL.2 ITで個人情報を守る　実践編　前回は、個人情報保護法の概要から情報漏えい対策のステップまでを紹介した。そこで実践編では、具体的な対策を紹介しよう。個人情報を守るためには、ポリシーを含めた環境整備を行ったうえで、ITによる対策を進めていく必要がある。とりわけ情報の出入り口となるエンドポイントのセキュリティ対策と社員への教育がカギとなる。

守るべき個人情報を特定し、ポリシーを策定する

　まず最初に行うべきことは、社内で個人情報に相当するものを徹底的に洗い出すことだ。守るべき情報が特定されずに対策を行うことはできないからだ。情報が特定できたら、次にセキュリティポリシーを策定する。セキュリティポリシーとは、全社的なセキュリティに対する取り決めであり、全社で統一したセキュリティ対策を運用するために欠かせないものだ。たとえば、文書のセキュリティレベルを決めておき、レベルによって閲覧だけができる社員、書き換えまでできる社員などを決める。セキュリティポリシーは個人情報に限ったものではないが、まだ策定してない企業は、この機会にぜひ策定することをお勧めする。ポリシーなしで情報を守るのは、地図なしで旅行をするようなもの。非常に効率が悪い。

外部からの不正なアクセスを排除する

　守るべき個人情報とポリシーの策定ができたら、いよいよ実際の対策に入る。まず物理的対策として、個人情報を扱う部門や蓄積する場所を制限したり、建物、オフィス、サーバルームなどへの入退室管理などがあげられる。近年入退室管理には、ICカードによる社員証を用いる企業が増えている。また、サーバルームなど厳格な入退室管理が必要な場所は、指紋認証などのバイオメトリクス認証を行っている企業も多い。

　情報セキュリティ面では、まず基本として、ファイアウォール、IDS（不正侵入検知）やIPS（不正侵入防御）などがあげられる。また、セキュリティパッチとウイルスパターンファイルに関しては、１台でも適用されていなければそこから攻撃を受けるおそれがあるため、デスクトップ管理ソフトなどで社内の全PCの適用状況を把握・管理することが望ましい。最近は、パッチやパターンファイルが適用されていないPCのネットワークへのアクセスを遮断したり、検疫サイトに誘導し適用を促すシステムもある。

内部からの情報漏えいを許さない

　次に内部からの情報漏えい対策を実施する。まず、情報が外部に流出しても解読されないためのハードディスクの暗号化は基本である。また、PKI（Public Key Infrastructure）を利用したメール文書の暗号化も盗聴対策に有効だ。

　特に、第三者による悪用を防止するために重要なのはPCログオン時に確実に本人が特定できることである。IDとパスワードによるログオンは、パスワードが知られてしまうと機能しなくなるため、指紋などのバイオメトリクス認証が有効だ。

　社内の様々な情報データベースへのアクセスログの取得も欠かせない。これは、万一情報漏えいがあった場合の経路特定だけでなく、取得していることを社員に周知することによる抑止効果も期待できるからだ。社員を必要以上に疑うことはモラルを低下させることになるので慎重に行う必要があるが、社員が不正をしにくい環境を作ることもまた重要である。さらに、ログの取得に加えてプリントアウトやUSBメモリなどへのデータコピーの制限をかけるといった対策もある。

　これらの対策は社内の据え置きPCはもちろんだが、とりわけモバイルPCに関しては必須といえる。万一の盗難に備えて、暗号化はもちろんバイオメトリクス認証、暗号鍵やパスワード情報をチップ本体で保護するセキュリティチップ搭載PCなどを利用したい。

（富士通ジャーナルVol.30より）

人の異動にともなうリスクやバックアップデータにも留意

　個人情報の漏えいは、しばしば退職した社員のIDとパスワードが消去されておらず発生することがある。そうした意味で、人事部と情報システム部は密に連携し、対策を検討していくことが必要になる。人事データ上で退職した社員のIDとパスワードを自動的に無効にするシステムの構築も可能だ。

　また、各種データのバックアップにも注意が必要だ。もちろん企業のビジネス継続性を保つためにバックアップは不可欠だが、無期限にそれらの情報を残しておくことは新たな情報漏えいの可能性を増やす。バックアップについても期限を設定し、管理すべき情報を適正な量にとどめておく運用ルールの策定が欠かせない。もちろんこれらは紙のドキュメントについても同様である。

万が一情報漏えい事故が起こってしまったら

　もし、個人情報が漏えいしてしまった場合、どうするか。重要なことは、アクセスログや入退室履歴など、事故発生時のさまざまなデータを保全しておくことだ。これらの情報は原因・経路の解明や事後の対策に欠くことができない。

　また、被害拡大を防ぐためには、事故の発生を早急に被害者に通知する必要がある。流出した個人情報にIDやパスワードの類が含まれる場合など、それらをユーザー側が変更すれば被害の拡大を食い止めることもできるからだ。企業の面子などにこだわっている場合ではないのである。

　個人情報漏えい対策は、システムを導入しただけでは意味がない。確実に運用されることが重要だ。そのためには、情報システム部門だけが息巻いても限界がある。研修や通達など機会あるごとに個人情報漏えい対策の意味や重要性を説明し、全社一丸となって対策に望みたい。

携帯電話はどう管理する

　携帯電話を管理する？のか、とさぞ驚かれるだろう。しかし、個人情報の定義から見れば携帯電話のアドレス帳は明らかに「個人情報データベース」に該当するのである。個人が特定できる情報と、特に携帯電話番号という重要な情報が多数検索可能な状態で整理されているのである。また、重要な電子メール、携帯メールもまた多く保存されているとすれば、すべて個人情報として尊重する対象となる。

　最近の携帯電話にはワードだけでなく、エクセルも入るという。メモリスティックも入るというのだから、その記憶容量はフロッピーディスクどころの比ではない。しゃべるＵＳＢメモリ、といった感じですらある。

　こうして携帯端末の筆頭である携帯電話は、もはや電話という概念を突出して、いまや小型コンピュータ化してしまっている。そこにはデータベースすら入り始めているのであるから、その取扱い規則は小型のノートパソコンと同様となり、内蔵する個人情報は特に厳格な管理が必要となる。

　携帯電話をいかに管理するか。まず、内容を管理する。顧客データの数、項目、重要性の把握と管理簿への搭載。保管状況の確認と不要情報の消去は必須である。さらに、紛失する危険を考慮して、パスワード設定は必須である。特に、顧客管理のファイルやアドレス帳にはパスワードがかけられていなければ懲罰もの、とすべきである。

　プライバシーは巧妙に隠すのに、重要な顧客情報は守らない、では話にならないのである。

ノートパソコンの徹底管理が必要

　紙の処理から、電子的処理への移行が急速である。その分紙の代わりにデータの量が増えている。データを処理するにはパソコンが必須であり、携帯のノートパソコンは便利である。

　ところが、ノートパソコンの盗難が後を絶たない。高額商品であることもさることながら、保有データの価値に目をつけて盗んでいるとしか思えないケースも見られる。電車の中で利用している人に目をつけて、後をつけてスキを狙って盗む手口、会社の車の中に置いてあるノートパソコンを狙う車上荒らしも多数起きている。

　危険は外にばかりあるのではない。実は内側にも危険は散乱している。自宅での残業といってはノートパソコンを持出し、どこでも仕事ができる状態にしている人が多いが、どこでも仕事ができるということは、そのノートパソコンを手に入れれば、誰もが会社にいるのと同じ環境をもつことになる。会社のデータベースにアクセスすることも、ファイルを送受信することも自由自在となる。

　では、その社員が退職や転職をするときはどうか。自分のパソコンを会社で利用していた場合は退社と同時に持ち帰ることになるが、情報満載のパソコンを持ち出されてしまって、企業として危険はないのか。

　ノートパソコンの管理は、情報管理の基本である。ノートパソコンを管理できていないということは、情報管理そのものができていない、ということと同じである。情報管理規則によって、情報管理、情報端末情報システムの管理を行うことは、企業にとって必須なのである。個人情報保護法の全面施行がこの４月に迫っていることからも、企業は何らかの対策を早急に実施する必要性があるだろう。

筆者PROFILE
牧野二郎（まきのじろう）
1953年５月14日生まれ。中央大学法学部法律学科卒業。弁護士（東京弁護士会）牧野法律事務所所長。ＪＥＳＡＰ（日本電子署名認証利用パートナーシップ）運営委員。中央大学講師。山梨大学非常勤講師。日弁連機関誌「自由と正義」編集委員。日弁連情報委員会幹事。

↑ページトップに戻る



Copyright(C) 2004 Nikkei Business Publications, Inc. All rights reserved. 記事中の情報は、記事執筆時点または雑誌掲載時点のものです。このサイトに掲載されている記事、写真、図表などの無断転載を禁じます。詳しくはこちらをご覧ください。