情報の使用目的制限という観点

警察の捜査資料などが、捜査の勉強のために複製され、結果的にそれが情報セキュリティの脆弱性により流出した事案についてを考えてみると、これまでの「情報の格付け」に追加すべき観点について考察することができる。

この事案では、もとより、捜査資料を完全に複製禁止として格付けすることができたかと考えれば、それは現実的ではない。
捜査業務のために、必要な複製は妨げられるべきではない。
それらが適切に管理されるかどうかは、もとの捜査資料の格付けによる。

しかし、この事案のように、それが、「捜査の勉強のため」という目的で複製されたことについて考えてみる。

それは、業務目的外の複製ではないと考えることができる。
なぜなら、「捜査の勉強」は、業務目的の範囲内と位置づけられるからである。
そのように考えると、この事案の原因となっている、捜査資料の複製は、これまでの情報の格付けに基づく対策では防げないことになる。

ただし、この事案では、業務目的の範囲内ではあったが、もとの捜査資料は、その捜査業務を遂行することが目的であり、捜査の勉強が目的のための資料ではないという点に着目することができる。
つまり、業務目的の範囲内であっても、「使用目的の変更」を不用意に行なって、情報を取り扱ったことに問題がある。「使用目的の変更」を「転用」というならば、「転用禁止」という格付け（取扱制限）を指定していれば、捜査資料を勉強のために複製することは、禁止事項であったとすることができる。

そこで、「転用禁止」という取扱制限をひとつの考え方として取り上げることができる。

しかし、情報個別に指定するための取扱制限を、ここで使うということを考えてみると、それが個別に判断するべきことであるかに疑問が生じる。
たとえば、「業務外目的の使用禁止」は、情報個別の取扱制限ではなく、すべての情報にかかっており、情報の取扱いとしての遵守事項として存在する。
それを考えると、同様にすべての情報について「転用禁止」を遵守事項に設けることが考えられる。
しかし、以下のことにより、「すべて転用禁止」という遵守事項を設けることでは、適切な運用と管理が実はできないことが予想される。

結論から言えば、転用は「禁止」されるかというと、実際は禁止されるべきものではない。

なぜなら、その転用により、新たな使用目的が、業務外目的になることは、「業務外目的の使用禁止」により、そもそも禁止されているので、それについては改めて遵守事項を設ける必要はないことになる。
したがって、「転用」が生じてしまうのは、「業務範囲内での転用」であって、それならば転用はすべて一律に禁止されるべきものではない。
一律に禁止されるのではなく、転用によって必要となる措置がないかを検討し、必要な措置を講ずるということが情報の取扱いとしては適切であると考えられる。

一定の措置を講じればよいことを「禁止」ではなく「制限」と呼ぶならば、「転用禁止」ではなく「転用制限」とするのがよい。

このとき、「転用制限」を運用するためには、その情報の本来の使用目的が明示されていなければ、使用目的に沿っているのか転用なのかを、情報の利用者が判断できず適切に運用できない。
そのため、「転用制限」という遵守事項を設けるに際しては、その「使用目的」を明示するという遵守事項を併せて設けることが、適切な運用に不可欠となる。

場合によっては、すべての情報に対して「転用制限」を適用するのではなく、情報個別に取扱制限を指定するということもあるかもしれない。ただし、その場合においても、「転用制限」を指定するにあたっては、「使用目的の明示」が必要となることは変わりない。

このとき、「使用目的の明示」における、「明示」は、「格付けの明示」と同様に運用するのでよいものと思われるが、「格付け」については、予め決めた「機密性２」などのような特定の用語による格付けでよいのに対し、「使用目的」については、自由書式となるため、「格付け」における暗黙の指定を認めるかについては注意が必要になると思われる。

いずれにせよ、業務手順の自由度が増した職場では、情報セキュリティ対策において、情報の格付けに加えて、情報の使用目的についても明示するということについて考察することは、おもしろそうである。

個人情報を取り扱う事業者において、その利用目的が制限されているが、そのような目的の制御はいまのところITのアクセス制御で直接管理することができないが、情報セキュリティ対策において、使用目的の管理をする解決策が見出されると、それは、個人情報保護対策にも貢献するかもしれない。