00:05
おはようございます。オサナイ和志です。 青森で中小企業診断士として経営コンサルをしたり、
オサナイだけど、背中は押します!を合言葉に、全国の中小企業の社長さんや社員さんを応援しています。
ということで、新しい1週間がね、また始まりましたけれども、皆さん。 10月もね、もう19日ということでね、あっという間にもう
あと2週間でもう10月も終わっちゃうんですね。 早いですね。
本当に年を取るごとにあっという間に過ぎていくなというふうに感じておりますけれども、新しい1週間でまた頑張っていきましょう。
ということで今日は、最近話題になっています情報漏洩の話をしていきたいと思っています。
テーマは、次はうちかも、漏洩属質の今、個人データをどう持つ?の全編をお送りいたします。
本当にですね、ここ皆さんのニュース、いろいろネットでもそうですけれども、情報漏洩のニュースが毎日出てきているなというふうに思うんですが、
特に最近話題になっていたのは、カーシェアのタイムスカーですね。
運転免許証の画像が約160万件漏洩されたというふうな話だったりとか、
あとブックオフですかね、およそ638万人分の会員情報が外に送られていたというふうなこともわかったということで、
僕が一番引っかかったのは、どちらにももう退会した人の情報が含まれていたということなんですよね。
退会したのに何でも漏れるのかということなんですよ。
その答えは実は個人情報保護法という法律の中にあるんですね。
名前はよく聞くけれど、中身はよく知らないという、そんな方も多いんじゃないでしょうか。
今日はこの法律が会社に何を求めているのかということをできるだけ噛み砕いてお話ししていきたいと思います。
明日の後編ではそのデータをどこに置くべきかということを、
僕も以前情報システムの部署の責任者をやっていましたから、
その時代の経験からお話しさせていただければなというふうに思っています。
本題に入る前に少しお知らせをさせてください。
ノートメンバーシップを募集中です。
無料配信では聞けない僕の葛藤や具体的な数字や事例などを公開しております。
目で見て耳で聞く、1度2度おいしいためになる有料コンテンツを配信中ですので、
概要欄にリンクを貼っておきますので、そちらからご参加ください。
それからもう一つお知らせでございます。
10月29日木曜日ですが、二次の秋広講演会in青森県弘前市が開催されます。
場所は弘前市民文化交流館ホールとなっています。
JR弘前駅から徒歩3分のところにあります商業施設ヒロロの4階で開催です。
会場は17時から開演は18時からとなっています。
チケットの方ですが事務仕切れの方で販売しておりますので、概要欄のリンクを貼っておきますので、
ぜひそちらからご参加ください。よろしくお願いいたします。
ということで今日は、次はうちかも、
03:02
漏洩属質の今、個人データをどう持つの全編をお送りしたいと思います。
まず最初にお断りしておきたいのは、
僕は今回の放送で個別の会社を責めたいとかそういうわけではなくて、
あくまでも公表されている報道とかの事実を基に、
それを基にして僕の意見をお話しさせていただければなと思いますので、
細かい法律の話だったりとかその判断とかは、
弁護士さんなどの専門家の方にご確認いただければなというふうに思っています。
まず報道されていることを整理してお伝えしますと、
タイムスカーは9月の下旬に外部からの不正アクセスが見つかったということです。
漏洩した恐れがあるのが最大で約660万アカウント。
そのうち運転免許証とかの画像が約160万件あったということです。
それからブックオフの方では10月上旬に会員の情報が外に送られていたということが分かったと。
対象がおよそ638万人、そのうち約21万人が既に退会した人だったということなんですね。
他にも退会した人の情報まで漏れたというケースが続いているということなんです。
情報が漏れるということは外から誰かが会社のシステムに入り込んで中のデータを持っていくということなわけですよ。
つまり情報を持っていたから持っていかれたというところ。
ここが今日のお話の出発点になります。
個人情報保護法、これ皆さん名前は聞いたことあると思うんですけど、
具体的にどんな法律なのかということなんですけども、
一言で言うと会社がお客さんとか社員さんの個人情報を正しく扱うためのルールだということ。
これが個人情報保護法なんですね。
ここで個人情報といっては何かということなんですけど、
これは生きている人について誰のことが分かる情報のことなんですね。
例えば名前であったりとか、生年月日、住所、顔写真とか、運転免許証の番号のように、
番号そのものが個人情報になるということもあります。
ここからが一番大事なところなんですけど、この法律、実は大きな会社だけのものではないですね。
以前は個人情報を扱う、5000人以上の個人情報を扱うところが個人情報保護法の対象だったんですけども、
2017年からは扱う人数が少なくても、お客さんの名簿などを事業に使っていれば、
中小企業でも個人事業主さんでも対象になっています。
ですからうち小さいから関係ないではないんですね。
会社は何を守らなければいけないのかということなんですけど、大きく分けると4つです。
1つ目は何に使うかを決めてお客さんに示すことです。
06:05
2つ目は漏れたりなくなったりしないようにしっかり守るということです。
法律の言葉で言うと安全管理措置と言うんですけども、漏れたりなくなったりしないようにしっかり守ること。
3つ目、これは本人の同意なしに勝手に他の会社に渡さないことです。
本人の同意なしに勝手に他の会社に渡さないこと。
ですから皆さんよく最近インターネットで個人情報の同意書みたいなのが出てきますが、バーッと長いやつで最後に同意するというのがあるでしょう。
あれは何でやっているかというと、個人情報保護法に書かれているからやっているんですね。
最後の4つ目が、いらなくなったデータは消すように努めることなんですね。
ここは後でもうちょっと深掘りしていきたいと思います。
あともう一つ付け加えるとすると、漏れてしまったときのルールもあるんですね。
人数が1000人を超える場合であったりとか、不正アクセスとか悪意のある攻撃で漏れた場合は、
個人情報保護委員会というのがありまして、そこに報告しなければいけないと。
本人にも知らせなければいけないということです。
不正アクセスの場合は、たとえ1人分でも報告しなければいけないという法律になっているということなんですね。
退回した人のデータがなぜ漏れたのかというのが、鍵はさっきの4つ目なんですよ。
個人情報保護法の第22条にはこう書いてあるんですよ。
利用する必要がなくなったときは当該個人データを地帯なく消去するよう努めなければならない、
という書いてあるんですね。
努めなければならないんですよ。
つまり努力義務なんですね。
いつ消すかは会社の判断に任されているということなんですよ。
個人情報保護法の中には個人情報保護委員会というのがありまして、
この委員会が作成してガイドラインがあるんですけども、ここにはもうちょっと具体的に書いてあるんです。
保存期間を決めておくことということであったりとか、また法令で保存期間が決まっているものはその期間は残して構わないということ。
消去には削除するだけではなくて、誰のデータかわからないようにすることも含まれているということなんですね。
タイムスカーの運営会社によりますと、退会した後も7年間データを保管していたということですね。
氏名、住所、生年月日は法律で保存の義務があると。
でも運転免許証の画像、ここには決まりがなくて、
タイムスカーの中ではナリスマス対策であったりとか問い合わせ対応のために独自に保存していたというふうな説明だったんですよ。
一方で同じカーシェアのオリックスカーシェアは、本人確認が終わったら画像をすぐ消しているということだったんです。
つまり同じ仕事でも持ち方は会社の判断でこれだけ違うということなんですよ。
10月14日には個人情報保護委員会の事務局長が記者会見しまして、
いらなくなったデータの削除を徹底するように呼びかけたんですね。
これは研究者の方からも、もっと強制力のある義務にすべきなんじゃないのかというふうな声も出ているということなんです。
09:02
実は個人情報保護法は今年7月に改正されたばかりなんですよ。
この改正の目玉が何かというと、課長金、つまりお金のペナルティができたということだったんですね。
ただ対象になるのは不正な手段で個人情報を集めたりとか、違法に他の会社に渡したりして儲けを得たというそういう悪質なケースなんですね。
それも1000人を基準に指定した大きな事案に限られるということなので、
サイバーコンキュニティに住まれたというケースは課長金の対象には入っていないんです。
いらなくなったデータを消すルールというのを義務にするという話も今回の改正の中には入っていないんです、残念ながら。
改正された中身というのはこれから順番に施行されていきますけれども、
だからこそ僕は法律の方も一歩進める時期に来てるんじゃないかなというふうに思っているんです。
ただ法律が変わるのを待っている必要はないなというふうに僕は思うんですね。
AIがこれだけ進化して攻撃する側もどんどん賢くなっている。
今どこにおいても盗まれる可能性というのは僕はゼロにはならないと思うんです。
だったら盗まれることを前提にしていらないデータは持たないというこれが一番確実な守りだという僕は思います。
データがたくさんあればいろんな分析がもちろんできます。
ビッグデータは宝の山だと言われてもきました。
でも今は持っていること自体がリスクになる時代です。
持つ理由を説明できないデータは宝ではなく重荷だというふうに僕は思います。
それからお客さんの立場からも一つですね。
個人情報保護法では会社が使う必要がなくなってデータや漏えいが起きたデータについては
本人が利用停止であったりとか消去を求めることができるんです。
これ知らなかった方も多いかと思うんですけどそういうことできるんですよ。
ですから退回したサービスに自分のデータが残ってないか気になる方は一度確かめてみてもいいかなというふうに思います。
ということで今日も聞いていただきましてありがとうございました。
個人情報保護法は大きな会社だけではなくて中小企業も個人事業主さんも対象のルールなんですよ。
そしていらなくなったデータを消すのは今はまだ努力義務なんですね。
だからこそ会社の側から持たないというふうに決めることが大事なんだなというふうに改めて感じました。
実は明日はこの話の続きでそのデータをどこに置くべきかという自前のサーバーなのかそれともクラウドなのかというふうなお話をしていきたいと思います。
僕が情報システムの現場にいた頃の経験も踏まえてお話しさせていただきたいなというふうに思いますので、
今日の話とセットで聞いていただくとより分かるかなというふうに思いますのでぜひ明日もお聞きください。
ということで今日は次はうちかも。
漏洩属質の今個人データをどう持つの全編をお送りいたしました。
挑戦が人生だ。
Don't worry. Be happy.
それではまた明日この時間にお会いしましょう。
今日も元気にいってらっしゃい。