« 2005年1月 | トップページ | 2005年5月 »

2005年4月29日 (金)

自分で解を考えずに正解を教わるべきではない

経済産業省 個人情報保護法ガイドラインのQ&Aを強化するための検討会が発足しました。
委員としてお声がけをいただいたので、会合に参加しました。

経済産業省 個人情報保護法ガイドラインのQ&A
http://www.meti.go.jp/policy/it_policy/privacy/privacy_qa.pdf
がありますが、このQ&Aを強化するための検討会が発足しました。

委員としてお声がけをいただいたので、会合に参加しました。

個人情報保護法については解釈が異なると、第三者提供の同意の必要性の有無などで、企業間のトラブルが発生しています。
このような Q&A で、解釈の不一致を軽減できるのならとても有益だと思います。

ただ、解釈の不一致は、法の条文やガイドラインが不明確なためだけに起きているかというとそうではなく、企業側の対策工数を減らそうという思惑で、恣意的に自分に都合のよいような解釈をしているようなことも見受けられます。
法の基本理念を理解し、それに基づいて、法の条文やガイドラインの解釈を正確に行なうということは、本来、企業の担当者の責務であって、Q&A などで「正解」を示されずとも、自身で正解を導き出す能力の向上に努めなければならないとも思います。

Q&A などをあまりやりすぎると、自身で理解し考える能力を鈍化させてしまい、「マニュアル人間」ばかりを作ってしまうことを助長してしまいかねません。

最初から Q&A を見て勉強するのではなく、まず、Q について自身で考えて自分なりの解を導いた後に、Q&A を見てそこにある A と自分の解とをつき合わせて「答え合わせ」をするという使い方をしてもらえるとよいのだろうと思います。
そうしないと、Q&A に書いてないことはしなくてもいい。とか、してもよい。とかということになって、 Q&A のための Q&A を期待され、さらにその Q&A が必要になって・・・。ということにもなりかねません。


すべきでないこと:
 Q を見て→すぐに A を読む
すべきこと:
 Q を見たら→自分で解を考えてから→答え合わせのために A を読む
 その結果、自分の解と A が;
  一致していたら、自分の判断能力・思考能力の自信の糧にする
  一致していなければ、自分の解のどこに問題があったのかを考え、A の理解を深める

そんなことを考えながら、第1回目の検討会会合を終えました。

連休明けには、当社内で用意している FAQ を全面放出する予定です。

4月 29, 2005 | | コメント (0) | トラックバック (1)

2005年4月21日 (木)

ディスク修理時の機密保護

機密データの入ったディスクを修理する際のセキュリティ対策について、まちがった慣行が日本にはある。
それは、交換パーツとして持ち帰るデータの消去について、修理するベンダーにだけ頼ろうとすることだ。

そもそも、多くのベンダーは、保守契約のサービスメニューの中で、交換修理と買取修理を設けている。
交換修理は、壊れた部品や装置を、正常なものに交換して、もともと使われていたものは、ベンダーが持ち帰るものだ。通常は再利用することで、修理のコストの軽減に利用する。
買取修理とは、部品交換などは、行なわず、もともと使われていたものは、ベンダーは引き取らずに使用者のもとに置き去る。
一般的に、交換修理よりも買取修理の方が価格が高いことが多い。

日本では、この交換修理において、持ち帰ったディスク内の機密データを完全消去することの徹底を、保守契約の発注者がベンダーに対して求めようとする。

そもそも、保守契約の発注者は、機密データの格納されているディスク装置については、交換修理の保守契約を禁止するような、システム・セキュリティポリシーを制定していなければおかしい。
もしも、費用の軽減が目的で、交換修理を選択したいのであれば、システムのアプリケーションなどの設計において、ディスク内のデータが暗号化されるようにするなどして、ディスクが交換修理で持ち出されても、情報にはアクセスできないようにすべきである。
多くのコンピューターベンダーにおいては、そのようなディスク内の暗号化に CPU の負荷がかからないようにするための、ディスク・バスに直結する暗号化アクセラレータカードなども提供している。

保守契約の発注者が;

・買取修理の費用を惜しむ
・アプリケーションレベルでの暗号化開発費用を惜しむ
・暗号化カードの購入費用を惜しむ

という身勝手な状況において、ディスク内に機密情報を保護されない状態で蓄積し、そのディスクを修理するときの、セキュリティ対策をすべてベンダーに、交換修理という安易な契約のもとで要求するのは、無責任としかいいようがない。

このとき、日本では不思議なことが起こっている。

・無償で消去に責任を持ちます。という無責任なことをベンダーが約束する。
・ベンダーに責任を押し付けたから、自分に責任はなくなったと、保守契約の発注者が思っている。

ベンダーとしては、データ消去に「努める」ことを無償で実施するのは、ビジネスの差別化として前向きなことだろう。ただし、そのことが、ディスク修理時の機密情報の漏えい防止に責任を持っていることでないのは確かだ。
あくまでも、「データの消去」という作業の実施に責任を持っただけだ。
ディスク修理時の漏えいは、「データの消去」が徹底されれば完全に防げるものではないことは、考えればすぐにわかることだ。
ベンダーが何を約束したとしても、事故が起きたときには、一次的な責任は、保守契約の発注者になるのは当然である。
もちろん、「無責任に約束するベンダー」と付き合っていれば、その損害を補償してもらえるかもしれない。

保守契約の発注者が、「自社の機密情報」をそのように無責任に管理するのは、その企業の自由だ。

しかし、それと同じポリシーによって、お客様の個人情報を管理するとしたら、大きな間違えだ。
データを暗号化などせず交換修理にして、ベンダーにだけ契約条件として、データ消去を義務付けて損害リスクを転嫁するだけのような企業に、個人情報を預かる資格はない。
そのことの認識が、多くの日本の企業において不足している。

個人情報は、企業における機密情報のうち、「預かり機密情報」なのだから。

4月 21, 2005 | | コメント (0) | トラックバック (0)

2005年4月 1日 (金)

このブログの作成方針変更

この「深情報セキュリティ美学」については、当初方針として、まとまった文章を掲載しようとしていましたが、なかなかとそういう時間は取れそうにないのと、そもそもそういう内容をブログとして掲載するという方針に問題があることに今さらながら気づきました。

ということではありますが、せっかくなので、この「深情報セキュリティ美学」はそのまま残すことにして。

いわゆる、ブログ的な、お気軽なものを「砂糖の甘い付箋」として開設しました。

今後は、そちらには、今までよりは頻度を上げてアップしていこうと思います。

個人情報保護法全面施行 元旦

4月 1, 2005 | | コメント (0) | トラックバック (0)