3つの問題とその対策

個人情報保護の難題を乗り切るために

ITとインターネットによって簡単に収集できるようになった、個人を特定できる情報を保護する上で弱点となる3つの問題と、それを乗り切るための対策を紹介する。

公開 2008年04月23日 08時00分

更新 2012年09月04日 19時03分

著者

Rick Lawhorn

[TechTarget]

印刷する

　個人を特定可能な情報（Personally Identifying Information：PII）と個人を特定可能な資産情報（Personally Identifiable Financial Information：PIFI）の保護は、セキュリティ専門家にとって頭の痛い仕事だ。目的は比較的はっきりしているが、業界が適応力を身に付ける中、その目的を達成する手段は常に変わり続けている。

　PIIとは、個人の身元や所在を突き止めるのに使われる可能性がある情報のことだ。ITとインターネットによって簡単に収集できるようになったため、この情報の重要性が高まった。特にPIFIは、犯罪者が私腹を肥やすために収集し、売りさばく標的になっている。加えてアウトソーシング事業とナレッジプロセスの拡大で情報が共有され、PIIとPIFIは一層露出が進んでいる。これに応えて、多くのWebサイトはプライバシーポリシーでPIIの収集に対応し、PIIの配布と利用を規制する法律もできた。

　こうした情報の保護において弱点となる3つの問題と、情報流出の防止あるいはリスク低減のために情報セキュリティが果たし得る役割について見ていこう。

問題1：業務とナレッジプロセスのアウトソーシング

　業務プロセス、そして最近ではナレッジプロセスのアウトソーシングは、情報セキュリティの観点から見ると大きな不安の種だ。ビジネス機能がいったんグローバル化のプロセスに参入すると、そのプロセスにおいて企業が資産情報や個人特定可能な情報の管理過程を直接コントロールすることはできなくなる。唯一利用できるセキュリティコントロールは契約やサービス条件だが、いったん確立されてしまうと変更は難しい。

対策

　情報セキュリティ部門は契約が初期の検討段階にあるうちにアウトソーシング先や法務部門と密接に連携し、セキュリティコントロールについての規定があるか、監査とアクセスコントロールは実施できるかをチェックする必要がある。契約先と既に取引がある場合、現在の契約を見直し、もし必要であればサービス契約本体の改訂を要求する。企業がパートナーのリスクプロファイル評価・監視を支援する動機付けを行うことは、顧客情報を健全な状態に保つ上で役に立つ。

問題2：重要な顧客情報のインベントリ

　データインベントリの存在は、顧客情報管理に関して一定の水準を主張する鍵となる。データインベントリはまた、現存するほとんどの消費者情報保護およびプライバシー法の根拠ともなっている。情報がどこでどう利用されているのかを知らなければ、顧客情報がセキュアだとは主張できない。重要情報がどこにあり、取引での利用、表示利用およびどのようにアクセスされているかを知っておかなければならない。インベントリ確立が容易かどうかは、情報管理、変更管理、例外管理文書化における会社の成熟度次第だ。

対策

　情報セキュリティ部門は、変更や製造管理といった導入ライフサイクルの主要分野において、重要なデータ要素を把握するプロセスを確立しておく必要がある。これによってインベントリは最新状態に保たれ、将来的に監査が必要なときにアクセスできる状態が保たれる。次に、データ所有者とシステムユーザーからビジネスインテリジェンスをキャプチャーする定性ベースのメカニズムを構築する。重要データの構造を体系的に把握する技術を導入してインベントリのすき間を埋め、自分が知らない新しいトランザクションには警告が出るようにする。

問題3：法令対応

　金融サービス会社には、法令の定めと監査が大量に課せられている。顧客情報に関する規定が食い違ったり、貴重なリソースを食いつぶす余分な業務が発生することもある。多くの企業はこの業務のデフォルトモードとして、情報を物理的に隔離するか、最も制約の多い規定を選んでいる。どちらにしても、これによってコンプライアンス順守関連の時間とエネルギー、経費がかさむ。

対策

　情報セキュリティ部門は企業価値向上のため、コンプライアンスを維持しながら焦点をぶれさせず、経費を削減し、無駄を省かなければならない。従来のように規制でがんじがらめになるやり方から、業務構造と法令の規定を照らし合わせるように考え方を変えるだけで、全体的な目標達成の一助になる。業務構造を照らし合わせる指標を確立することで、同じような業務を見つけ出して解決策を立てることが可能になる。

　個人情報の管理に関して当局や法令による監視の目が厳しくなる中、情報セキュリティ部門はビジネスプロセスを調査して、特にアウトソーシングではどのような情報が利用され、どこに行っているか理解していることを示す必要がある。

　重要情報のインベントリを確立し、各法令に共通の規定を見いだせば、リスクを見極めて将来の監査や調査に備えた適切なコンプライアンス実証に使える確実なツールセットを手にすることになる。

本稿筆者のリック・ローホーン氏はCISPP、CISAの資格を持つ。GE Financial AssuranceとGenworth Financialの最高情報セキュリティ責任者（CISO）を経て、現在はPlanIT Technology Groupの情報セキュリティ・コンプライアンス責任者。IT業界で17年の経験を持ち、セキュリティの経験が豊富。CISOのための指標確立を目指す作業部会を設置した。

印刷する