ベネッセの顧客情報漏洩事件がニュースとして報道されて、大まかな情報漏洩ルートが見えてきたようです。
現時点で私が感じていることは、「ベネッセの落ち度は、日常的にデータへのアクセス監視ができていなかったことだけ。」「顧客情報を使う側の社員の行動には問題なく、改善すべきはシステム管理する側のオペレーションだけ。」だと思います。チェックすべきシステム項目が明確になっていて、日々のシステムログチェックができていれば、漏洩情報量が小さい段階で発見できていたんじゃないかと感じます。
周囲の炎上が好きな人たちにあおられて、ベネッセや名簿業者が責められる構図になっていて、ベネッセのセキュリティーが甘かったということで落ち着きそうな雰囲気ですが、どんな対策を行ったとしても個人情報漏洩は防げないことを認識すべきでしょう。セキュリティー対策を十分に行っている会社なら、自分の個人情報は安全だ！と思うこと自体が危険だということを忘れてはいけません。
行政や企業に登録している個人情報ですが、努力によって大量流出は防げますが、特定の対象者を狙い撃ちする少量流出は防げないということを見落としているようです。
そもそも個人情報って何？
ニュース報道やWeb上の記事では「個人情報」としか扱われないのですが、そもそも個人情報って何？それが漏れると何が困るの？ と、いつも思います。
漠然と、
- 氏名
- 住所
- 電話番号
- メールアドレス
- 生年月日、または年齢
- 性別
くらいが含まれている情報かと思いますが、これだけなら大騒ぎするほど大切な情報かな？思います。
仮にこれらの情報が名簿業者に出回った場合、流出情報対象者側の被害としては、
- ダイレクト郵便物
- キャッチ電話
- スパムメール
くらいが考えられます。うっとおしいのは、スパムメールくらいでしょう。
郵便物や電話は、個人へのコンタクトにコストがかかる利用方法ですから、そう何度もいやな思いをすることは無いはずです。
こう考えると、上記のような個人情報が漏れたとして、メールアドレスが漏れていなければ、実質的に大したことない事件では？と思ってしまいます。
ベネッセの場合は、上記情報が未成年者のものプラス、
- 保護者氏名
- 保護者生年月日
- 保護者電話番号
あたりが追加されて漏れたのかな〜と想像できます。どんな情報が漏れているのか明らかになっていないため想像するしかありませんが、まあ、こんなものでしょう。顔写真が登録されていて漏洩したら・・・かなり気持ち悪いと感じるところですが、利用方法を思いつきません。
この場合、親としては、犯罪免疫がない未成年者に直接、
- 怪しいメールが届く
- 怪しい郵便物が届く
- 怪しい電話がかかってくる
という使われ方をされるのが心配なところでしょう。
ただ、見方を変えて、長い人生の中、いつかは出会う事件で、今、勉強する時期に来ているのだと考えればいいのではないかと思います。免疫が無いまま成人して親の保護を受けられないタイミングで事件に巻き込まれてあたふたするのと、親が警戒が必要だと認識しているタイミングで情報流出に出会うのはどっちが安全か？と考えればいつかは通る道とも言えます。
10年後に、保護者に振り込め詐欺の連絡がくる可能性があるかな〜？
そもそも企業などが所有している個人情報は、契約者などにサービスを提供するために所有しておくことが必須の情報と、顧客囲い込みのための情報に分けられます。
たとえば、
- サービス提供を受けるための必須情報
- 保険契約者情報
- 住民・社員などの所属情報
- プロバイダー契約情報
- 被医療情報
- 顧客囲い込みのための情報
- ポイントカード情報
- 通販会員情報
- 乗り物会員情報
いずれも、担当者がPC端末で情報を確認しながら対象者と話をしたり、特定の検索条件で対象者情報をリストしたり、郵便物の宛名書きに利用するような使い方をしますから、個人情報は必ず組織内でアクセス権限がある人の目に触れることになります。
悪意を持つ担当者に消費者個人情報が漏れることは防げない
個人情報を扱う企業などは、サービスを提供するために個人情報を参照しますから、その中に「個人情報を集めて売ってやろう」と考える人がいる場合、組織側がどんな対策をしたとしても個人情報が一件一件漏れることは防ぐことはできません。電子機器を使わなくても、当日扱った顧客情報を担当者が頭に記憶して、ノートに書き写されたらどんな対策も役に立ちませんからね。典型的な漏洩は、電話番号から利用者を検索する需要。容易に想像できるでしょう。
幸い人間の記憶力には限界があり、情報買い取り業者の方も数件のランダムな個人情報に価値を見いだしませんから、このレベルでは情報流出ビジネスにはなりません。単に流出は防げない！と言いたいだけです。
対策可能なのは、一定時間内にまとまった大量の情報がコピーされることだけです。
情報流出が防げないなら、個人がとるべき対策は？
情報が流出することは防げませんし、漏れた情報を消す方法はありません。エントロピーに対して法律は無力です。個人情報を書き込む時点で問題が発生することを想定した情報登録の仕方を行っておくしかありません。
家庭や会社組織に属している以上、映画「アウトロー」のトム・クルーズ演じるジャック・リーチャーように完全にゴースト化できる人間はいません。（ああい う生活が出来るなら、それはそれで楽しいかもしれませんが。）今の時代、個人情報は漏れてもいい部分と、漏れるとあとで対応が大変になる部分を明確にし て、ユーザー登録する時点で対策しておく必要があると思います。
個人情報には、必須情報と囲い込み情報があると書きましたが、公的（あるいはそれに類する）サービスを受けるための必須情報として個人情報を登録するのは仕方ないことです。保険金を請求しようとして、「あなたの情報にアクセスできません」と断られても困るわけですからね。
ただし、メールアドレスだけはいつでも捨てることができる、または、どのサービスに登録したのかを識別できるようにしておくことが、トラブルが発生したときに対策がとりやすくなる方法です。たとえば、gmail などの比較的認知度と安全性が高いメールアドレスを獲得して使うなどで、決して自分がメインとして使っていて変更が難しいメールアドレスを使わないことです。または、メールアドレスは登録しないようにするか。
何度も書きますが、法律は個人情報を守ってくれませんから、情報を登録して得られるメリットと、万が一情報が悪用された場合に被るデメリットのバランスで、個人情報を登録するかしないかを判断する必要があると言うことです。
特に、囲い込みを目的とした情報登録には注意が必要で、お店から個人宅への直接配送が行われる場合以外は、本当の連絡先を書かないことが無難です。ポイントをためることが目的のショッピングカード運営会社からのダイレクトメールなんて不要でしょ。
企業が取るべき個人情報流出対策
ニュースで報道されていたベネッセが行っていた情報保護対策ですが、USBメモリには情報をコピーできない対策が取られていたが、スマートフォンを接続することはできたという報道に不明な点はあるものの、まとまった情報へのアクセス権限などは現在のセキュリティーレベルとしては、十分だったと言えそうです。
まずかったのは、大量データへのアクセスした場合の自動アラート機能や、ログチェックする管理体制が不十分だったことでしょう。半年も気がつかなかったわけですからね。
企業が優先すべきは消費者情報の使い勝手であり、セキュリティーは2番目。情報へのアクセス方法をあまり厳しくしても、社員が情報にアクセスするのをためらうように感じる使い勝手にすると、会社全体の士気が下がり情報の利用価値が低下し、最終的に消費者がツケを払うことになるわけで、ほどほどで妥協せざるを得ません。ワンパスワードでログインすると、一定時間使い続けることができ、画面を印刷することができるのは最低限必要な仕様でしょう。
どんなに厳格なオンラインセキュリティーを設けたとしても、データベースに直接アクセスできる人間が、オフライン中のHDDを物理的に持ち出したり（盗難）、データのバックアップを持ち出したり、メンテナンス時にコソコソっとHDD丸ごとコピーすることが出来たら意味ありません。
オフライン管理は、バックアップやシステムアップグレードの時には必須の機能ですから、無くすわけにはゆきません。データの価値と、価値を維持するための労力と、セキュリティーのバランスを取る必要があります。
結局のところ、情報を持ち出そうと考えるような気を起こさせないことがセキュリティー的にも最も重要だということでしょう。そのためには、社員を大切にし、情報は自社だけで管理し、外注しないことが、スタートラインになるでしょう。
ベネッセの場合、ワンヒットで200億円ですか〜。ログチェックを怠ることによるダメージとしては大きな数字ですが、専任ログチェック要員を一人おいておけば検知できたかもしれません。
幸い日本人は簡単に事件を忘れる民族性ですから、短期間会社の信用度が低下するだけで済むでしょう。半年もすればすっかり元の通りです。そういう意味では、補償も不要なのでは？という気もします。ダイレクトメールが送られてきたことくらいは被害の範疇に入らないでしょうからね。
個人情報を管理するデータベースに求められる仕様
大量の個人情報を預かって利用している組織としては、
- 地方自治体
- 電力・ガスなど生活インフラの会社
- 家電製造会社
など様々な組織がありますけど、100万件を超えるような大量情報漏洩という話は不思議とあまり聞きません。組織の運営体制がしっかりしているのか、セキュリティーが十分なのか、社員を信用していないのか、闇に葬られているだけで実際にはたくさん発生しているのか、理由は定かではありませんが、技術的に採れる方法としては、個人情報を一つのデータベースにまとめて入れないという対策があります。
たとえば、契約顧客と電話による対話を行わなければならい業務で個人情報を使うようなケース。
顧客名と契約製品情報は一つの画面に表示するものの、顧客名と住所や年齢などは同時に表示されないように、あらかじめデータを分離して管理することです。データベースのデータに直接アクセスできる担当者が、データベースをまるまる持ち出したとしても、利用価値があるデータにならないようにあらかじめデータベースの構造設計を行っておくことです。安易にデータを盗もうとする側から見ると、結構萎えます。
全体データのうち、20%くらいを偽個人情報データで埋めておくこと。もっともらしい偽データを作るのは結構大変なのですが、これができればかなり効果はあるでしょう。
ダイレクトメールを送って20%が戻ってくるような名簿を買ってしまったら怒るのが当然。1万通のダイレクトメールを送ったら、2千通戻ってくるわけです。別の意味でクレームです。二度とその業者から名簿を買うようなことはなくなります。
ただし、消費者個人情報を管理する側も、社内利用者は正式データと偽データを区別でき、かつ、システム管理者には区別できないようにしないといけませんから、データ構築が結構大変です。社員情報をユーザー情報としても登録しておくのが最も簡単なポイゾニング個人情報名簿と言えます。
情報漏洩事件が起きるたびにマスコミと政府による対象企業バッシングが起きますが、少量の個人情報漏洩は防げないわけですから、本当はどこで起きても不思議じゃない事件と言えるわけです。事件として報道されていないだけで日々個人情報が流通しているのが現状の世界だと思います。
まとめ
私が感じる、個人情報をにタッチする時点で心がけるべき項目は、
- 漏れることが前提で個人情報を登録すること。提供される価値以上の情報を登録しない。
- 情報を扱う側になる場合は、情報をデータベースから一括で取り出す場合のセキュリティー対策を最初から組み込む。使い心地が多少不便になることには目をつむる姿勢が必要。
の二点だと考えます。