注目高まる情報漏えい対策

　ADSLサービスYahoo! BBの顧客情報が大量に流出した事件をきっかけに、IT業界でも顧客等に関する情報の管理に注目が集まっている。今年4月には政府が個人情報の保護に関する基本方針を策定した。2005年には個人情報の保護に関する法律（個人情報保護法）が施行されることもあり、大量の顧客情報を扱う事業者は対策を迫られている。

　日本国内における個人情報の取り扱い基準の制度化は、1980年にOECD理事会から出されたガイドライン勧告以降、その内容に沿った形で進められてきた。1988年に行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律が公布され、その後に民間事業者の保有する情報の取り扱いを定める法令として個人情報保護法が2003年5月に成立した。同法は2005年4月から全面施行される。

　個人情報保護法の規定の対象となるのは、生存する個人を識別する材料となる情報（個人情報）を5000件以上保有する事業者で、個人情報やそれらをデータベース化して検索可能な状態においたもの（個人データ）などの取り扱いに関する指針が定められている。しかし、個人情報保護法は企業の具体的な取り組みに対する指針を示すものではなく、個人情報の収集・公開等に関する原則を定めたものにすぎない。経済産業省は、同省の監督分野の企業を対象とした個人情報保護法に関するガイドラインを発表してパブリックコメント過程を設けるなど、企業の取り組みを具体化させる環境づくりを進めている。

　民間企業が業務の運営指針に反映させることのできる枠組としては、ISMS（Information Security Management System）適合性評価制度がある。また、2001年度以降、政府調達の対象とする製品の要件とされているISO/IEC 15408（JIS X 5070）は、個別の製品・システムのセキュリティ機能に関する要件や、セキュリティ機能が確実に実現されていることを確認する保証要件からなる。ユーザー企業が秘匿性の高いデータを扱うシステムを採用するうえで今後参考にできる規格だ。また、1998年に創設されたプライバシーマーク制度も、個人情報保護への企業の取り組みを社会に示す手段ととらえることができる。

ソフトベンダーやSIが活発化

　顧客情報に限らず、企業システム内に存在する情報の流出原因となるのは、システム設定上の不備を利用した第三者による情報の抜き取りや、情報に対するアクセス権限を持つ認証ユーザーによる持ち出し、PtoPファイル交換システムやウイルス等による人間の操作を介しない流出、第三者による盗聴等の手段による情報の取得、情報を破棄する際の作業不備のいずれかであることが多い。こうした予見可能なリスクに対応した製品やサービスが、システムインテグレータやソフトウェアベンダーから発表されている。

　セコムトラストネットが5月に発表した「新・情報漏洩防止サービス」では、セキュアデータセンターでの作業に警備員が立ち会うなどして情報の持ち出しを防ぐ。コンピュータ・アソシエイツが6月に発表したeTrust Secure Content Manager v1.1日本語版は、電子メール／URLフィルタリングや、悪意あるプログラムに対するシステムの防御、迷惑メール／ウイルス対策などを単一の製品で包括的に実現する製品で、監視ルールで定義した条件に合致する内容が含まれる電子メールの送信が行われていないかどうかを検査し、重要情報の流出を防ぐ。

　企業の保有する個人情報が外部に流出した場合の損害を経営判断の観点から算定する試算結果を、日本ネットワークセキュリティ協会（JNSA）が今年5月に発表している。インシデント発生時の被害想定と損害賠償額の想定や、緊急対応に要する費用、企業価値への影響などに対する分析が公開されている。こうした試算を参考にして保険製品の採用を検討することも可能だ。

　また、ソフトウェアベンダーとコンサルティング企業などが包括的な情報漏えい対策ソリューションの提供に向けて連携を発表するなど、ソフトウェアベンダーとシステムインテグレータの連携も進んでいる。セキュリティ製品と情報漏えい保険を双方の顧客に紹介することでベンダーが連携するなどの取り組みも進んでいる。

　ユーザー企業側では、こうした情報流出防止を支援する方策の導入を検討するとともに、個人情報を収集する目的に照らし合わせて、収集する情報のの内容を見直すべきだろう。個人情報の収集に関するルールを定め、それに沿って業務を進めている企業は、情報を収集する際には目的外の情報の提供を顧客に求めないことは、リスク低減の観点からも重要だと指摘している。

　セキュリティポリシー策定の過程で、社内の情報資産の棚卸しは必須の作業となる。セキュリティ対策がCSRを全うするための重要な“戦略投資”と位置づけられる現在、個人顧客やパートナーに被害を及ぼす事態を防ぐための事前策として、個人情報の保護を制度・運用の両面から徹底する必要がある。