個人データを置く場所と自前運用の限界
おはようございます。オサナイ和志です。 青森で中小企業診断士として経営コンサルをしたり、
「オサナイだけど、背中は押します」を合言葉に、全国の中小企業社長さんや社員さんを応援しています。
ということで今日はですね、次はうちかも、漏えい続出の今、個人データをどう持つの後編をお送りいたします。
昨日の前編の方では、個人情報の漏えいが続いているよということ、そして個人情報保護法が会社に何を求めているのかというようなお話をさせていただきました。
いらなくなったデータを消すのはですね、今はまだ努力義務だよと。 だからこそ会社の側から持たないというふうに決めることが大事だというふうなお話をしていきましたけれども、
今日はその続きでございます。それでも持たなければいけないデータをじゃあどこに置くのかということですね。
自前のサーバーなのか、それともクラウドなのか、実はこれですね。
僕が情報システムの現場にいた頃ですね、本当に頭を悩ませてたテーマなんですけれども、
今日は経営コンサルタントとしてだけではなくて、情報システムにいた人間としての見方もお話しさせていただければなと思っております。
本題に入る前に少しお知らせをさせてください。
ノートメンバーシップを募集中です。無料配信では聞けない僕の葛藤や具体的な数字や事例などを公開しております。
ノートでの図やグラフを交えたテキスト配信に加え、音声配信もノートでお聞きいただくことができます。
目で見て耳で聞く、一度で二度おいしいためになる有料コンテンツを配信中ですので、概要欄にリンクを貼っておきます。
ぜひそちらからご参加ください。
それからもう一つお知らせです。
10月29日木曜日ですが、西脇広公園会員青森県弘前市が開催されます。
場所は弘前市民文化交流館ホールとなっています。
JR弘前駅から徳山区のところにあります商業施設ヒロロの4階で開催されます。
会場は17時から、開園は18時からとなっております。
チケットの方ですが事務地権の方で販売しております。
概要欄にリンクを貼っておきますので、ぜひそちらからご参加ください。
よろしくお願いいたします。
ということで今日はですね、
次はうちかも、
漏洩属質の今、個人データをもうどう持つの後編をお送りいたします。
今日も最初にお断りしておきますけれども、
公表されている事実とそれからそれを基にした僕のお話を今日もさせていただきたいと思っておりますので、
法律の細かい判断であったりとか、
弁護士さんとかの専門家の方にご相談いただければなというふうに思っています。
でですね、
情報が漏れるというのは、
外から誰かがサーバーに入り込んできて、
中のデータを持っていくということでしたね。
昨日も言いましたけれども。
じゃあそのサーバーをどこに置くのかということを、
これ大きく分けて二つあると思うんですね。
一つは会社の中に自前のサーバーを置くというやり方です。
もう一つはGoogleであったりとかAmazonのAWSのような大きな会社のクラウドに預けるというやり方ですね。
どちらかかなと。
もう一つは委託先のデータセンターがあればそこに預けるという方法もありますけれども、
今回はそれをちょっと割愛させていただきますけれども、
極端な話、どっちかと。
いずれにしても自分で持つか外に出すかどっちかということなんですけれども、
自前のサーバーがインターネットにつながっているということは、
守りも全部自分でやっているということになりますよね。
じゃあその守りというのはGoogleであったりとかAmazonであったりとかと比べて上だと言えるでしょうか、皆さん。
僕は正直言えないと思うんですね。
実は国も行政のシステムを動かすガバメントクラウドというのがあるんですけど、
これAWSであったりとかGoogleクラウドであったりとか、
あとはMicrosoft AzureとかOracleとかですね、
そういった国内の桜のクラウドを選んだりとかもしてますけれども、
要するにこういっためちゃくちゃメガ企業、巨人の型に乗ると僕はいつも言いますけれども、
巨人の型に乗るほうが中小企業の場合は自前で守るよりも、
これ守りは固いんじゃないかなという、これが僕の考え方ですね。
外国企業へのデータ移転と導入にかかった2年
ただここにはいろいろ法律の壁もあるんですよ。
ちょっとその実体験というか、僕が実際大変だと思いしたことをお話ししたいんですけれども、
僕は信用保証協会というところで情報システムの仕事も長々と携わってきたんですね。
情報システム課長ということで情報システム責任者もやってました。
課長していた頃の話なんですけれども、職員のやりとりを便利にしようと、
とあるクラウドのサービスを入れようとしたんですよ。
かなりそれもめちゃくちゃ調べまして、現場の仕事をかなりグッと楽になるなということだったんで、
本当に便利なサービスだなと僕は思ったんですね。
でも結局、使えるようになるまで2年近くかかったんですよ。2年です。
なぜかといったら、まず運営しているところがそもそもどこなのかというところ、
クラウドに置かれるデータがどこに置かれるのかということを調べなければいけなかったんです。
これは個人情報保護法の関係であったりとか、この後お話ししますけれども、
外国にサーバーがあると金融庁のガイドラインというのがあります。
こちらのほうで引っかかってしまうんですね。ですからまずそもそもそこが一つあったと。
今回このお話をするにあたって、当時見ていた個人情報保護委員会と金融庁のガイドラインを改めて見てみたんですけれども、
細かいルールは当時から少しずつ変わっていますが、今のルールでちょっと説明しますね。
個人情報保護法では外国の会社に個人データを渡すには大きく3つの道しかないんです。
一つ目はお客さん本人から同意をもらうことですね。
二つ目は日本と同じくらいの水準の制度があると個人情報保護委員会が認めた国であること。
具体的に言いますとこの国というのは今EUとイギリスだけなんですよ。
2019年に日本とEUがお互いの制度を同じ水準だというふうに認め合ったのに合わせて決まったということ。
ですからこの中にはアメリカとか中国は入ってないということなんですね。
三つ目、これは相手の会社が日本の法律と同じ水準で守る体制を整えていることなんです。
ただしこの場合は相手がきちんと守っているかということを年に1回程度は確かめなければいけないんですね。
いわゆる監査ということなんですけれども。
そして金融分野ではその確かめ方をデータを扱っている場所に出向くか、もしくは書面で報告を受けるかというふうにしているんですね。
国内の業者さんに預けるだけであればお客さんの同意はいりません。
ここでいう同意というのは皆さんがよく見ている個人情報同意書とまた別ですよ。
このクラウドを使うための同意が必要だということなんですよ。
でも相手が外国の会社だとその同意いらないよという例外が使えなくなるんですよ。
そうなると既に扱っているお客さん全員から外国の会社に預けてもいいですかっていう
相手の国の制度まで説明した上で同意を取り直さなければいけないという
これは現実的じゃないですよね。
2つ目の国に入っていない国ならこの道も使えないですし
3つ目にしても毎年海外まで確かめにいくのは難しいわけですよ現実的に。
ですから運営している会社はどこなのかサーバーはどこにあるのかということを
一個一個確かめていかなければいけなかったということなんですね。
ですから便利だってわかっているのにすぐには使えないって現場としては
本当に歯が良かったのを覚えているんですね。
こういう経験をしてたんですよ。
国内データセンターの海外クラウドと利用責任
じゃあ今皆さんよく使ってます?
例えばGAFA、GoogleとかAppleとかいろいろあるじゃないですか。
ああいったところのクラウドがAmazonもそうですけども
なんで使えるのっていう話なんですよね。
これガイドラインには実は外国の会社でも日本に事務所を置いて
日本国内でデータを管理している事業をしているなら
外国にある第三者に当たらないっていうふうに書いているんですね。
ですから今はAmazonの例えばAWSであったりとか
MicrosoftのAzureとかそういった大きなクラウドの会社が
次々日本国内にデータセンターを置くようになってきました。
日本にデータセンターがあって日本国内で管理されているっていう
この整理でGAFAのクラウドも使えるようになったということなんですね。
金融の現場で言われていた国内にデータセンターがあればOKという話は
実はここから来ているということなんですけども
ただ今回ガイドラインのQ&Aを読んでいって
もう一つ大事なことに気づいたんですけども
それは何かというとサーバーが日本にあっても
運営している外国の会社であれば
そのクイーンの精度を把握した上で守りなさいよと
そしてどこのクイーンの会社に預けているのかを
お客さんが知ることができるようにしておきなさい
というふうにされているんですね。
それからクラウドの会社が
中のデータに触れない契約になっているということなんであれば
法律上は預けたことにはならないです。
これならないですね。
その代わり守る責任は全部こちら側に残るということなんです。
誰に見せるかどう鍵かけるかっていう設定は
使う側の責任です。
もしデータが漏れてしまった場合は
個人情報保護委員会に報告する義務を負うのは
クラウドを使っている側の会社の方だということなんです。
つまり我々の方に義務があるということなんですね。
ここまでを理解しなければいけないんです。
ですから巨人の肩に乗るということはできます。
でもどこの巨人にどんな約束で乗っているのか
そして自分の扉の鍵っていうのは閉まっているのか
そこは自分で説明できないといけないということなんです。
ここが大事なんですね。
不要なデータを持たず、保有状況を点検する
ということで前編と後編で2日間お話ししたことを
ちょっとまとめてみますと
僕の答えはここです。
いらないデータは持たない。
それでも持つデータは自前で抱え込まずに
巨人の肩に乗ると。
ただしどこの巨人に預けているのかを
ちゃんと説明できるようにして
鍵の設定は自分で責任を持つということ。
ここが大事だということなんですね。
これは今いろんな大企業で情報漏洩の話が出てますけれども
これ大企業に限った話ではなくて
個人情報保護委員会はネットショップであったりとか
会員サイトへの不正アクセスによる漏洩が
多く報告されていて
ホームページを業者さんに任せっきりしないように
というふうに呼びかけているんですね。
ですので社長の皆さん
自分の会社のお客さんのデータを
どこに何をいつまで持っているか
っていうのをすぐ答えられるでしょうか。
ここ大事なんで
どこに何をいつまで持っているのかって
必ずここを確認して点検してください。
個人情報保護委員会のホームページには
中小企業向けの自己点検チェックリストであったりとか
社内ルールのひな形っていうのも用意されてますので
もし答えに詰まった場合は
まずそのチェックリストから始めてみるのはいかんかな
というふうに思っております。
ということで今日もお聞きいただきましてありがとうございました。
情報システムの現場で便利なのにすぐには使えない
っていうふうな壁にぶつかった
あの頃から随分時代は変わったなというふうに思ってますけれども
今は巨人の肩に乗れる時代です。
でもどれだけ守りが固くても一番確実なのは
いらないデータを持たないことこれが大事です。
2日間お話ししてきて守ることと同じぐらい
手放すことが大事なんだなというふうに改めて感じた
というところでございました。
ということで今日は次はうちかも
漏洩属質の今個人データをどう持つの後編をお送りいたしました。
挑戦が人生だ。Don't worry, be happy
それではまた明日この時間にお会いしましょう。
今日も元気にいってらっしゃい。