 |
 |
記事検索 |
最新ニュース |
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
営業マンが聞き出した社長の趣味も立派な「個人情報」～MRI松尾氏 |
||||||||||||||||||||||
|
||||||||||||||||||||||
|
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
||||||||||||||||||||||
|
シマンテックは25日、個人情報の保護などをテーマに企業セキュリティに関する報道関係者向けワークショップを開催した。三菱総合研究所（MRI）情報通信政策研究部の松尾正浩氏らが講演した。 松尾氏はまず、各企業の個人情報保護対策の状況について解説。「個人情報保護法が2005年4月に完全施行されるため、ここ3カ月で情報システムや管理体制の強化、従業員および派遣社員向けの教育、セキュリティポリシーや運用ルールの厳格化などが進んでいる」という。今後の対策としては、「1割強が財団法人日本情報処理開発協会が認定する『プライバシーマーク』の取得を目指している」とした。 ● 営業マンが聞き出した趣味などの個人的な情報も、「個人情報」に該当 続けて、「対策そのものは進んでいるようだが、実際に運用するのに困難が生じている」と分析。「扱っている情報が個人情報に該当するかどうか、仕事の中でどういったことが個人情報保護に反するかといった判断が難しい」という。例えば、新商品の案内をメールで送る時に、旧製品のユーザーのメールアドレスを使用していいのか、なじみの取引先に自社の従業員名簿を貸し出すことに問題はないかといった場合だ。 松尾氏は、「メールアドレスなどの個人情報は、収集時に利用目的を明示する必要がある。もし、明示していない目的に利用するのであれば法律違反になる可能性が高い」と警告。また、営業マンが訪問先の社長から個人的な趣味を聞き出して得た情報も個人情報となるため、注意が必要だ。「趣味や家族構成などを聞いて、営業日誌に書き込むときは個人情報として扱う必要がある」と述べた。
● データベースを分割しても、統合時に個人が特定できれば「個人情報」となる
また、個人情報にも分類がある。特定の個人を特定できるという個人情報の大きな枠組みの中で、体系的に整理され、データベース化して検索性を有するものを「個人データ」とし、さらに個人データのうち、保有期間が6カ月以上に及ぶものを「保有個人データ」と定義している。なお、「個人情報の総数が5,000件以内だからデータを自宅に持ち帰っても問題ないという事業者もいるが、明らかに勘違い。5,000件という数字は個人情報取扱事業者かどうかの基準であって、扱う情報が個人情報かどうかを判断する情報ではない」と述べた。 個人情報保護法では、こうした分類に応じた「義務」も定めている。個人情報全体に関わる義務としては、「利用目的の通知」だ。さらに個人データと保有個人データに関わる義務としては、「安全管理措置の義務」「第三者への提供に関する事前許諾」、保有個人データには「情報提供者による事業者に対する開示請求」が求められている。 さらに、2004年になって発表された「内閣総理大臣 基本方針」にも言及。「事業者はセキュリティポリシーや、事故が起きた場合の事実関係を公表しなければならいと、法律で明記していない部分にも触れている」と一定の評価を与えた。 ● 完璧は難しい。問題発生時には説明責任の準備も必要
ただし、「法令に基づく義務とはなったが、完璧は難しい」とも率直に述べた。「事故は確率的には絶対に起こる。セキュリティ対策だけではなく、企業としてどのように対策してきたかという説明責任を果たす準備をしておくことは、事故や訴訟が起きた時には重要になる」。 説明責任については、「万が一事故が発生してしまった時に、口頭で言っただけでは誰も信じてくれない。会社が倒産しない範囲で最善のことをしてきたという証拠を残す必要がある」と補足。また、「取引先から情報管理について聞かれた時に、きちんと答えられれば、むしろ付加価値になる。ビジネスチャンスにもつながるのではないか」と述べた。 ● セキュリティポリシーの監査を
しかし、「WindowsではなくLinuxを導入したら安全管理措置になるかというと、それは違うと思う」とも指摘。「例えば、Windowsにも侵入のログをとる機能が実装されている。大事なことは、それらのセキュリティ機能をしっかり機能させること。アクセス制限をポリシー上で決めていても、実際に運用しているのかどうかが問題だ」と策定したセキュリティポリシーの監査が大事だという認識を示した。 ポリシー監査のためにシマンテックでは、「Enterprise Security Management」（ESM）というソリューションを用意。こうしたソリューションを利用することで、システム内部を監査し、万が一のときでも「きちんと対策をとっていましたと担保できる」としている。
関連情報 ■URL シマンテック http://www.symantec.com/region/jp/ 三菱総合研究所 http://www.mri.co.jp/ ■関連記事 ・ 個人情報の保護対策が「特になし」と回答した企業が27％～gooリサーチ（2004/03/04）
（ 鷹木 創 ）
- ページの先頭へ-
|
