セキュリティ強化塾

どちらが大事？　パーソナルデータ活用とプライバシー（1/6 ページ）

年金情報漏えい事件を受け「パーソナルデータ」の保護体制に疑問の声。データ活用とプライバシー保護の折り合いをどうつけるべきか。

　2015年6月1日、日本年金機構がサイバー攻撃により約125万件の年金情報が流出したと公表した。マイナンバー法改正と個人情報保護法改正の国会審議が行われているさなかの出来事により、どちらの改正案も審議が先送りとなってしまった。

　年金機構の情報漏えい経緯は一部が明らかになったが、あまりにもずさんな情報管理とセキュリティ意識の低さにあぜんとしてしまうばかりだ。最も厳格な情報保護が求められる公共機関にしてこのありさまでは、パーソナルデータをどこかに預けて本当にプライバシーは守られるのか、不安を感じない方がおかしい。

　一方でパーソナルデータを活用したサービスが社会インフラの低コスト化や個人や組織の利便性や生産性向上に大きく貢献しているのも事実だ。プライバシーを守りながらパーソナルデータを活用するという、背反する目的にどう折り合いをつければよいかに単純な答えはないが、個人レベルでも、企業の運用管理担当者としても、真剣に考えるべき時期に来ている。今回は、この問題を整理してみたい。

パーソナルデータ利活用でプライバシーは守られるか？

　年金情報漏えい事件については、機構からの発表よりも詳細な事情が報道によって徐々に明らかになってきている。簡単に言えば、基幹システムから権限のある人が情報をコピーして共用ファイルサーバに保存、それが標的型メール攻撃で内部に仕込まれたウイルスによって外部送信されたという事件だ。

　情報利用や暗号化に関するルールがあっても順守されずにこの結果に至った。詳細経緯はいずれ本コーナーでも紹介する機会があるだろうが、それほど高度でも複雑でもない攻撃にしてやられたという印象だ。

　この事件の他にも2014年は国内最大規模の個人情報漏えい事件が発覚しており、オンラインバンキングを狙った不正送金は過去最悪の規模になり、またパスワードリスト攻撃による大規模な成りすましアクセスが多発してもいる。

　一方で、政府の方針は明確にパーソナルデータの企業による利活用を促進する方向を指しており、個人情報保護法改正案もそのよりどころとなるように策定され、国会で審議されて衆議院を通過した（参議院の審議見送りにより今国会で成立しない可能性がある）。

　企業人であると同時に消費者でもある私たちは、ビジネス発展のためになるパーソナルデータ利活用（マーケティング分析・施策、ターゲティング広告、O2Oなどはもちろん、位置情報も加味した交通量分析、医療サービスの合理化、災害対応など）は歓迎だが、それがプライバシー侵害や個人の不利益につながるようでは納得できない。

　図1に掲げるのは野村総合研究所（以下NRI）の2013年の意識調査の結果の一部だ。「インターネットを利用する際に」という限定つきではあるが、個人情報やプライバシーの保護が心配になることが「ある」人が9割弱を占めるという状況だった。その後に起きているさまざまな事件を鑑みると、さらに多くの人が何がしかの不安を感じているのではないだろうか。

　なお、IPAは「eIDに対するセキュリティプライバシに関するリスク認知と需要の調査報告」（2010）でEU4カ国の15～25歳の人へのオンライン調査と、同様の方法による国内調査の比較を示している。

　「個人情報がきちんと保護されていると感じる」人の割合はEU 38％に対して日本はわずか4％だ。しかし「私の個人情報が、私の知らないところで使われている」と思う人はEU 82％に対して日本は65％、「私の個人情報が私の合意なしで第三者間で共有されている」と思う人はEU 81％、日本64％と、個人情報管理に懐疑的な一方で、悪用されるリスクについの認識においては、EUと比較するとかなり低いといえる。

　個人情報利用に漠然と懸念しているが、具体的な利用実態についての認知度はEUに比較するとかなり低いと言えそうだ。

　以下では、改正個人情報保護法を念頭に、パーソナルデータの利活用の可能性と制限、プライバシー保護のための配慮について概略を紹介する。