情報セキュリティにおけるリスクと情報漏洩事故事例の分析と対策 ·...

―0― Copyright©2015 Nihon Unisys, Ltd. All Rights reserved.

日本ユニシス株式会社総合技術研究所八津川直伸

情報セキュリティにおけるリスクと情報漏洩事故事例の分析と対策

BITSin静岡セッション資料

2015年2月12日


企業に求められる包括的なセキュリティ対策個人情報漏洩事件の分析と対策個人情報保護法の改正動向と事業者が対処すべきこと

まとめ

本日の内容


八津川直伸，CISSP (Certified Information Systems Security Professional）1980年日本電信電話公社入社1985年日本ユニシス株式会社入社（当時、日本ユニバック株式会社）メインフレームの通信SW（DCP/TELCONシリーズ）の開発、セキュリティ製品

開発等を経て、現在、スマートデバイスのセキュリティ、およびパーソナルデータ利活⽤に係るプライバシー保護に関する研究に従事。現所属：同社総合技術研究所上席研究員（社）日本スマートフォンセキュリティ協会（JSSEC）・技術部会デバイスWG、MDMグループリーダ（h23.5⽉〜）・同 MAM/MCM検討会リーダ（h25.8⽉〜）

内閣官房情報セキュリティセンター（NISC）「BYOD要件検討SWG」構成メンバー（h24.10⽉〜h25.3月）

（社）フィッシング対策協議会ガイドライン策定WGメンバー（h24.11⽉〜）

（社）日本情報経済社会推進協議会（JIPDEC）「ID連携トラストフレームワーク研究会」メンバー（h26.5⽉〜）

著書：共著「Androidセキュリティバイブル2013」（日経BP、⽇経コミュニケーション発⾏）ほか

自己紹介


企業に求められる包括的なセキュリティ対策


情報システムにおける脅威とリスク概観

公衆無線LAN家庭内無線LAN

携帯電話回線

外出先・自宅など

専用線接続

InternetVPN

ISPプロバイダ網

移動体通信

キャリア網

（マルウェア配信）業務外利用

盗難・紛失

悪性Webサイト

不正アクセス

マルウェア感染不正サイトへの誘導

なりすまし

不正プログラム

不十分なアクセス制御

不正規アプリ配信サイト

盗聴

・大量の個人情報漏洩による企業の信用失墜・秘密情報漏洩による競争力低下・不正アクセス・データ破壊攻撃による業務継続不能・行政命令としての業務停止など

最終的なリスク（企業の場合）最終的なリスク（企業の場合）

内部DB

・マルウェアの不正課金等による金銭被害・プライバシー侵害（パーソナルデータのネット拡散による精神的被害）

・端末の紛失・盗難による私的情報の喪失など

最終的なリスク（個人の場合）最終的なリスク（個人の場合）

社内基幹ネットワーク

インターネット

自然災害

・標的型メール・水飲み場攻撃

個人情報漏洩

機密情報漏洩

不十分な端末管理

改ざん・破壊

不正操作

昨今、内閣官房情報セキュリティセンターが特に重視している攻撃http://www.nisc.go.jp/active/general/pdf/riskguide-appendix.pdf

http://www.nisc.go.jp/active/general/pdf/riskguide-appendix.pdf


セキュリティ対策における課題

１．多様性（対策範囲の広範さ）攻撃手法は日々、高度化、多様化、複雑化の一途である。

２．運用の負荷（業務効率の低下）対策の実施により、業務やシステム運用効率が低下し、現場の不満が増大することがある。

３．投資効率の不透明さ（リスク分析の困難性）実施すべき対策の効果を可視化し、経営者・従業員の理解を得ることが難しい。

４．人材の不足対策検討・実施には広範な知識と経験が必要であるが、企業の現場では、なかなかそのような人材が確保できない。

結果、対症療法的セキュリティ対策となりがちで、どうしても対応策に「すき間」ができる。

最終的に、非効率、高価、不完全という中途半端な状態に陥る。（セキュリティ事故があちらこちらで引き続き発生する。）


脅威対策

1 Webサーバ／アプリケーションへの攻撃

1-1 クロスサイト・スクリプティング（XSS）対策1-2 SQLインジェクション対策1-3 フィッシング詐欺対策

2 情報漏えい（データベース、ファイルサーバへの攻撃）

2-1 ネットワークのセキュリティ対策2-2 ファイルの暗号化2-3 アクセス制御2-4 アカウント管理2-5 メールフィルタリング2-6 各種ログの監査

3 標的型（スピア型）攻撃 3-1 メールフィルタリングの実施3-2 ファイアウォールによる不要な通信の遮断3-3 ウイルス対策・マルウェア対策

4 誘導型攻撃 4-1 基本的に企業の従業員が使用するソフトウェアを最新の状態に保つ4-2 ウイルス定義ファイルを最新に保つ4-3 ボット・コンピュータウイルス対策の実施4-4 利用者の啓蒙

5 ボット，マルウェア、コンピュータウイルス

5-1 ファイアウォールによる不要な通信の遮断5-2 ネットワークの監視5-3 セキュリティパッチの適用5-4 ウイルス対策ソフトウェアの定義ファイルを最新の状態に保つ

6 スパムメール 6-1 スパムメール・フィルタリング6-2 送信ドメイン認証6-3 フロー制御6-4 第三者中継の無効化

7 国内製品の脆弱性への攻撃

7-1 使用しているソフトウェアの脆弱性対策およびゼロデイ攻撃対策の実施

7-2 セキュリティパッチの適用

8 組み込み製品の脆弱性への攻撃

8-1 組み込みアプリケーションのアップデート

8-2 組み込み機器への接続制限

9 脆弱なパスワードの利用

9-1 安全なパスワード認証機能を備える9-2 パスワード文字列の複雑性実現機能を備える9-3 パスワード認証の強化機能を備える

10DNSサーバへの攻撃 10-1 サービス妨害攻撃対策10-2 DNSキャッシュ汚染対策

（ご参考）情報システムへの攻撃と技術的な対策例

「重大な脅威に対するセキュリティ設計手法の考察」（日本ユニシス技報98号，2008年11月，八津川／石野共著）より抜粋


（ご参考）日常運用として求められる対策

１．インシデント／障害／災害対策・インシデント発生時の初期対応、緊急対応、原因調査、復旧、フィードバック・バックアップ／リカバリ・冗長化

２．構成管理（H/W、S/W）・資産管理、変更管理、開発管理・モバイル端末（エンドポイント）管理、BYOD（私有端末の業務利用）対策、

シャドーIT対策

３．システム、ネットワークの監視・パフォーマンス監視・不正アクセス監視

４．ログ管理・収集、分析、監査、保全（安全な保管）

５．定期的な脆弱性診断・インターネットに接続するWebシステムは必須。

（自社の損害のみならず、踏み台となり他社へ迷惑をかけることを防止）

昨今、スマートデバイスの多様化に伴い、エンドポイントの管理がすごく煩雑に！

【対策のご参考】日本スマートフォンセキュリティ協会発行・「MDM導入・運用検討ガイド（第1版）」公開中https://www.jssec.org/dl/MDMGuideV1.pdf・「MAM／MCM利用ガイド（β版）」公開中https://www.jssec.org/report/20140410.html

https://www.jssec.org/dl/MDMGuideV1.pdf

https://www.jssec.org/report/20140410.html


統制の視点から

セキュリティ統制プロセス

ビジネスプロセス

会社法、金融商品取引法、個人情報保護法等の各種法令

各省庁のシステム監査指針、安全対策基準等、各種ガイドライン

JISQ27002（ISMS），JISQ15001（個人情報保護）、

COBIT（組織におけるITガバナンス評価に用いる基準）（Control Objectives for Information and related Technology）

CMMI（Capability Maturity Model Integration）（ソフトウェア開発の組織能力を評価するための基準）

ITIL（IT Infrastructure Library）（ITサービス管理・運用規則に係るベストプラクティス）

企画開発／構築運用／保守監査／評価設計

セキュリティに関する機能要件および運用要件を抽出する。

網羅的な対策要件

ビジネス継続マネジメント、ビジネスリスク・マネジメントに寄与し、最終的に企業経営そのものを保護する。

セキュリティ・バイ・デザインによる包括的な対策とは

エンタープライズ・セキュリティエンタープライズ・セキュリティ

►経営者の責任►取締役の義務

セキュリティ・バイ・デザイン

・機密性・完全性・可用性・正当性・準拠性・立証性

セキュリティ・ベースライン

具現化


セキュリティ統制の視点

内容

機密性情報が正当な権限を有する者以外に利用されないように保護されていること

完全性記録した情報に漏れ、重複がなく、改ざんされないよう保護されていること

可用性情報が必要とされるときに利用可能であること

内部統制

の視点内容

正当性情報処理が、適切な権限者によって承認され、実施されていること（例）開発時における承認、変更時における承認、日常的な運用時における承認及び監視

準拠性情報が関連する法令や基準、社内規則等に合致して処理されていること (例）コンプライアンス、運用管理ルールの遵守

立証性システムの法定監査、フォレンジック対応のために情報処理過程の追跡が可能なこと（例）見読可能性、追跡可能性（参照可能性、再現可能性、運用記録保全）

コーポレートガバナンスのための統制の視点


（ご参考）セキュリティ・ベースラインの例

機密性

完全性

可用性

正当性

準拠性

立証性

2．3．2．　アクセス制御

2．3．2．1　アカウント管理

運用 ①特権的アクセス権限を管理すること。

(1)ユーザID の権限付与承認者と登録実施者を分離する。(2)特権的アクセス権限の設定は、責任者の承認に基づき行い、付与の理由及び権限者は適切か確認する。(3)特権的アクセス権限の必要性の見直しを定期的及び人事異動や組織改編時に行う。(4)特権的アクセス権限の使用状況は厳格に管理する。

○ ○ ○

運用②アクセス権限付与に係る手続きに基づき、ユーザごとにアクセス権限を付与又は削除すること。

(1)アクセスコントロール方針に基づき、保護資産ごとにアクセスレベルを定める。(2)アクセス権限の付与申請・承認・発行・削除等に係る手続きを定める。(3)ユーザID の登録・変更・削除の管理者を定め、ユーザーID の一元管理を行う。(4)職務、職位に照らして必要最小限のアクセス権限を付与し、不要になった際は速やかに削除する。(5)ユーザID 及びアクセス権限の設定状況について、定期的な自主点検（監査）を行なう。　・利用者のアクセス権を定期的及び人事異動や組織改編時にレビューする。(6)退職者・転出者のユーザID は速やかに削除する。(7)長期間使用されていないユーザID は削除する。

○ ○ ○ ○

実装 ③アクセス権限管理機能を備える。

(1)アクセス権限管理のための各種照会機能　(a)ユーザID一覧の照会／出力　(b)ユーザ権限の照会／出力　(c)ファイルごとのアクセス権限照会／出力　(d)ユーザID設定オプション内容照会／出力（保有権限、最終使用時刻等）　(e)パスワードオプション設定内容照会／出力（桁数、変更期間、連続誤入力許容回数等）　等(2)アクセス権限の変更履歴を記録する機能

○ ○ ○ ○


統制項目内容詳細・実装・運用・物理

章大項目

中項目

小項目

セキュリティ統制の視点

内部統制の視点


●リスクの低減脆弱性に対して情報セキュリティ対策を講じることにより、脅威発生の可能性を下げること。（例）情報の暗号化、高度な認証、アクセス制御、社員教育、など

●リスクの保有リスクを低減するための対策を行わず、許容範囲内として受容すること。

●リスクの回避脅威発生の要因を停止あるいは全く別の方法に変更すること。（例）外部との接続を断つ、事業を停止する、など。

●リスクの移転自社リスクを他社に移すこと。（例）保険による損失補償、他社へ運用委託する、など

リスク対応の種別

小大

低

高

情報資産の重要度（価値）

脅威の発生頻度×脆弱性

（リスクの発生可能性）

リスク低減

リスク回避

リスク保有

リスク移転


セキュリティ事故による損害額（直接損害＋間接損害）は予め想定するのが困難なため、リスク分析においては以下のような「リスク値」が用いられる。

リスク値＝「情報資産の重要度（価値）」×脅威の発生頻度×脆弱性

重要度評価基準内容

極高：10 損失損害は深刻で破壊的あらゆる生産の停止の恐れがある深刻な影響が出る

高：5 損失損害は非常に大きい営業への重大な支障及びビジネスプロセスが中断する

中：3 損失損害は小さい生産性及び作業効率に大きな影響が出る

低：1 損失損害は小さい生産性及び作業効率に小さな影響が出る

◆情報資産の重要度

◆脅威の発生頻度n回／年、m回／月など

◆脆弱性の度合い

脆弱度評価基準内容

高：5 対策がほとんど施されておらず、いつでも脅威を顕在化させる事象を誘引する可能性がある

技術的・物理的・管理的対策のいずれもほとんど施されていない脆弱性

中：3 一部対策が施されているが、脅威が顕在化する可能性がある

技術的・物理的・管理的対策の一部が施されているが、対策の追加、未対策の情報資産への対策適用が必要である脆弱性

低：1 適切な管理策が施されていて、脅威がほとんど顕在化しない

技術的・物理的・管理的対策が適切に施されている脆弱性

一般的なリスク分析（例）


①前提情報の確認（準拠が必要な基準を確認）②システムが扱う保護すべきデータの洗い出し③システム構成要素の洗い出し④システム利用者の洗い出し⑤システムの物理的設置場所の洗い出し

⑥脅威の洗い出し⑦リスク分析実施⑧セキュリティ要件の決定

⑨セキュリティ対策の設計、開発・実装、テスト⑩セキュリティ対策の運用⑪セキュリティ対策の維持継続

1．調査・状況認識ステップ

2．脅威分析検討ステップ

3．対策実施／運用ステップ

リスク低減効果と対策コストを比較考量

どういう目的を達成したいかを明確にする。

ベースライン活用による包括的な情報セキュリティ対策の実現

技術的、人的、物理的、組織的対策

業種・業界に依存する



セキュリティサービスのカテゴリ

情報セキュリティコンサルテーション

【情報セキュリティポリシー／情報セキュリティ管理全般コンサルテーション】

・情報セキュリティコンサルティングサービス（ポリシー策定）

【情報セキュリティ診断・監査サービス】・情報セキュリティコンサルティングサービス（監査・診断）

【情報セキュリティ関連規格認証取得等支援サービス】・PCI DSS準拠支援サービス・情報セキュリティコンサルティングサービス(認証取得支援）

セキュリティ運用・管理サービス

【セキュリティ監視・運用支援サービス】・セキュリティ運用監視サービス（Palo alto）・セキュリティ運用監視サービス（Proventia）・セキュリティ運用監視サービス（McAfee NSP）・セキュリティ運用監視サービス（FireEye）

・UTM運用代行サービス（Fortigate）・Firewall運用代行サービス（JunperSSG）・SSP-VPN運用代行サービス（Juniper SA/MAG）

・U-Cloud IaaSセキュアオプション（SOCサービス）

【脆弱性検査サービス】・セキュリティ診断サービス

【その他の運用・管理サービス】・SecurID認証代行サービス・メールトータルサービス（セキュリティー・ASP）・U-Cloud IaaSセキュアオプション（ウイルス対策サービス）

情報セキュリティ教育

【その他の情報セキュリティ教育サービス】・ポップアップセキュリティ啓発サービス SECUPOP®

・標的型攻撃メール訓練サービス

【情報セキュリティ教育eラーニングサービス】・eラーニングセキュリティ教育サービス

注）JNSA情報セキュリティ市場調査報告に沿った分類

（ご参考）日本ユニシスグループの商材ご紹介（1/2）


統合アプライアンス

【統合アプライアンス】・FORTINET FortiGate（次世代UTMアプライアンス）・Palo alto PAシリーズ（次世代FW)・JuniperSSG/SRXシリーズ（UTMアプライアンス）・BlueCoat Xシリーズ（ハイエンドUTM)(旧CrossBeamX-Series）

・ CISCO ASA-X（ゲートウェイセキュリティ）

ネットワーク脅威対策製品【IDS/IPS製品】・IBM ProventiaNetwork IPS（不正侵入検知・防御）・McAfee Network Security Platform(次世代IPS)

【アプリケーションファイアウォール】・ImpervaSecureSphere(Webサーバ・DBサーバの防御）

【その他のネットワーク脅威対策製品】・ArubaAruba(セキュア無線LAN構築）・SOFTCREATE L2Blocker（不正機器接続検知・防御）

コンテンツセキュリティ対策製品

【ウイルス・不正プログラム対策製品】・Trend Microウイルスバスターコーポレートエディション（ウイルス対策）

・ Trend MicroDeep Security（総合セキュリティ対策）

・ユニアデックストレンドマイクロウイルス対策ソフトウェアサービス

【WEBセキュリティ製品】・DigitalArtsi-FILTER（WEBセキュリティ）・Blue Coat SG（WEBセキュリティ）

【メールフィルタリング製品】・キャノンITソリューションズGUARDIANWALL（メールフィルタリング）

・TransWARE Active！Gate（メール誤送信対策）

【その他のコンテンツセキュリティ対策製品】・ｱﾙﾌﾟｽｼｽﾃﾑｲﾝﾃｸﾞﾚｰｼｮﾝ Document Security（社内ファイル暗号化、アクセス制御）・SECUMARKマイクロドット（護送防止・抑止）

アイデンティティアクセス管理製品【個人認証デバイス／認証システム】・ユニアデックス SecureSuiteV（ユーザ認証基盤）・CSESECUREMATRIX（ワンタイムパスワード）・EMCRSA SecurID（ワンタイムパスワード）

【生体認証用デバイス／認証システム】・ユニアデックス SecureSuiteV（ユーザ認証基盤）・ DigitalPersona DigitalPersonaPRO（指紋認証）

【アイデンティティ管理製品】・ExgenLDAP Manager （統合認証基盤）・MicrosoftActiveDirectory（統合認証基盤）・SolitonNet’AttestEPS（統合認証基盤）・CISCO Identity Services Engine (統合認証基盤)

【その他のアイデンティティ管理製品】・サーバートラストデバイスIDサービス（デバイス証明書）

・サーバートラスト SureServer/SureServerEV（SSLサーバ証明書/EVSSLサーバ証明書）・PingIdentityPingFederate（ID連携）

【ログオン管理／アクセス許可製品】・HP IceWallSSO（WEBシングルサインオン）

システムセキュリティ管理製品

【セキュリティ情報管理システム／製品】・エンカレッジ・テクノロジ ESS REC(端末操作ログ管理）・エンカレッジ・テクノロジ Remote Access Auditor（リモート操作証跡）・InforscienceLogStorage（統合ログ管理）・SkySKYSEA Client View（情報セキュリティ対策）・アイベックス IVEXLogger（シンクライアント操作ログ管理）

【ポリシー管理・設定管理・動作監視制御製品】・日本ユニシス mobiGate（モバイルアクセスゲートウェイ）・MobileIronMobileIron（エンタープライズモバイル管理）

暗号製品

【暗号製品】・WinMagicSecureDoc（HDD暗号化）・DigitalArtsFinal Code（配布ファイル暗号化）

セキュリティ製品のカテゴリ注）JNSA情報セキュリティ市場調査報告に沿った分類

【メールセキュリティ製品】・CISCO ESA（メールセキュリティ）

（ご参考）日本ユニシスグループの商材ご紹介（2/2）


個人情報漏洩事件の分析と対策


個人情報漏洩事故の推移（2012～2013年）

近年の個人情報漏洩事故動向（2012～2013年）

2013年 2012年

漏洩人数 931万2543人 972万65人

漏洩件数 1333件 2357件

想定損害賠償総額 2020億6575万円 2132億6405万円

一件あたりの漏洩人数 7385人 4245人

一件あたり平均想定損害賠償額 1億6024万円 9313万円

一人あたり平均想定損害賠償額 2万7675円 4万4628円

原因別事故数（2013年）

漏洩規模の上位10件（2013年）

「2013年情報セキュリティインシデントに関する調査報告～個人情報漏えい編～」，日本ネットワークセキュリティ協会（JNSA）調査研究部会資料（2014年6月10日）より抜粋

件数としては、「誤操作」、「管理ミス」、「紛失・置忘れ」が多い。

不正アクセスが多い。漏洩規模別では不正アクセスが多い。

件数減少、被害が大規模化。


国内で発生した大規模な個人情報漏洩事件（～2014年末）企業業種漏洩件数発覚時期漏洩原因事件発覚後の対応

A教育業3504万件（4858万人）

2014年6月

内部犯罪（当該企業は平均的

な対策は行っていた

が、技術的、運用的

対策に不備が存在

した）

１．技術的対策の是正

　・サーバーの警告機能、外部メディア書出し制御機能是正

２．運用的対策の是正

　・アクセス権限管理、データベース情報の管理

　・外部委託先の管理強化

　・アクセス・通信ログのモニタリング強化

３．内部統制上の対策強化

　・DBの保守・運用を外部のセキュリティ専門会社との合弁会社に委託

　・第三者機関を設置し、定期的・客観的な監視・監査を実施。

B印刷業863万件

2007年3月

内部犯罪（悪意ある内部犯罪

を想定していなかっ

た）

１．データ記憶媒体取扱者の極少化と社員限定

　データ書き出し作業員を当社および子会社社員に限定。また書き出し

ログのチェック頻度を高め管理強化。

２．記憶媒体への書き出し専用場所の設置

　他の場所での書き出しは一切できない環境を構築。

３．再発防止策の徹底、教育

　再発防止策を教育プログラムに加え全社に徹底。

C

音響機器製造業

743万件（全世界合計

1億260万件）

2011年4月

外部から不正侵入（委託先の必要かつ

適切な監督の未実

施）

１．委託先管理強化

　委託先における技術的、組織的安全管理体制の整備

２．サービスの再開にあたり、消費者の安心及び安心確保のために必

要とされる措置を実施。

３．当該企業グループ内他社との情報共有及び連携強化を図る

D自動車製造業

538万件2006年12月

漏洩原因の特定に至らず（流出情報の内容に

は、当該企業しか持

ち得ない情報が含ま

れていたので、内部

犯罪の可能性大）

１．物理的対策

　顧客情報取り扱い専用エリアの入退室管理の厳格化、監視カメラ設

置、入退室ログの永年保存

２．システム対策

　DBシステムに対するアクセス監視ソフト導入、ログの永年保存

３．.組織的対応

　情報取扱専任部署設置と管理強化。全従業員への教育の再強化


内部不正の動機

不正のトライアングル（米国の犯罪学者Donald R.Cressyが提唱した理論）

不正な行動は、「動機・プレッシャー」、「機会」、「正当化」という３つの不正の要素が全て揃った場合に起こり得る、と言われている。

動機・プレッシャー

正当化機会

自己の欲求の達成や問題を解決するためには不正を行うしかないという考えに至った状況。

(例）・借金で金に困っている・失敗を穴埋めしたい

不正を行おうと思えばできるような職場・作業環境

(例）・単独で業務している・操作ログを自らの権限で消去できる。

自分に都合の良い理由をこじつけて「良心の呵責」を乗り越えること

(例）・自分のせいではない・組織・制度が悪い・仕事が評価されない、給料が安い

不正のトライアングル

不正行為

対策としては、・抑止（その気にさせない）・防止（できなくする）・発見（不正を見つけ出す）の視点が肝要！


内部不正対策のあり方

内部犯罪は、正規の利用者権限（特権など）を持つ社内利用者による犯行であるため、システム的対策だけでは防御できない。

情報システム運用管理責任者情報セキュリティ管理責任者

情報セキュリティ管理者情報システム運用管理者

職務分離（作業と監査）

職務分離（作業と承認）

特権IDを使った運用作業実施

特権IDの管理を実施

運用作業申請・実施・報告

特権IDの利用申請

・特権ID管理作業の申請と承認後の実行（ID追加、パスワード変更、削除など）

承認承認承認作業申請及び作業結果の承認

・作業報告・監査報告

特権ID操作ログ

内部不正防止のための体制と管理プロセス

役割牽制のための仕組みが必要

特権ID操作ログ、作業記録等の定期監査実施

必要最小限の権限付与

特権ID付与

発見

防止

抑止抑止

発見


（ご参考）経営者の責任

・取締役はその善管注意義務および忠実義務に従い、会社の内部統制システムを整備し、その履⾏を監視する義務を負う。・上記義務違反により当時の役員12名らに対し829億円の損害賠償支払いを命じる。

■経営者の法定責任

■大和銀行事件代表訴訟判決（平成12年9月20日大阪地裁）の要旨D銀⾏ニューヨーク⽀店の社員が変動⾦利債で⽣じた損失を取り戻そうと、12年間に亘り⽶国債の不正取引を⾏い、会社に11億ドルの損失を与えた案件。

刑事上の責任

✧会社に対する責任・一般的責任（善管注意義務、忠実義務に対する任務懈怠）・特に会社法に定めのある責任（違法配当、利益供与、協業避止、利益相反取引など）

✧第三者に対する責任（決算書、目論見書などへの虚偽の記載、その公告、登記など）

✧会社法上の犯罪（特別背任、不実文書行使、預け合い、汚職などの各罪）

✧刑法上の犯罪（文書偽造、贈収賄、窃盗、背任などの各罪）

✧特別法上の犯罪（不正競争防止法、独占禁止法、労働基準法、税法などの各法違反）

民事上の責任（会社法に定めのある責任）

内部犯罪を12年間も見過ごした


（ご参考）経営判断の原則

経営判断の原則とは、「取締役の行った経営上の判断が合理的で適正なものである場合は、結果的に会社が損害を被ったとしても、裁判所は、取締役の経営事項については干渉せず、当該取締役も責任を負わない」

というルールのこと。

但し、この原則が認められる（即ち、経営者の義務を果たしたと言う）ためには、例えばセキュリティ対策を実施するにつき、その業界における通常の経営者が有すべき知見及び経験を基準として、

・その目的に社会的な非難可能性がなかった。・その前提としての事実調査に遺漏がなかった。・調査された事実の認識に不注意な誤りがなかった。・その事実に基づく行為の選択決定に不合理がなかった。

と評価されなければならない。


各社の事故事例にみる再発防止策

■組織的対応の強化・セキュリティ対策や個人情報管理にかかる責任者／部署を設置し、組織上の責任を明確化。

■アカウント管理／ID管理の強化・業務毎に必要最小時間有効なパスワードを発行する。・業務上不要なアクセス権限を削除、定期的に棚卸しを実施する。・個人情報を細分化し、１つのアクセス権限でアクセスできる情報の範囲を限定。

■モニタリング／監査の強化・アクセスログ、通信ログ等のログ管理（収集、解析、保存）強化とそれらの定期監査。✔重点監査項目例：失敗アクセス、長時間使用されていない利用者IDの再使用、特権IDの割当及び使用状況、外部からの不正なネットワークアクセス状況等。

✔専用作業場所の設置、入退管理の厳格化、監視カメラ設置等。

■外部委託先管理の強化・個人情報を扱うシステムの保守・運用業務の関連会社外への業務委託を禁止。・委託先作業員の不正行為を想定した行動監視体制を構築し、定期監査を行う。委託内容・責任者を明確化し、SLA（サービスレベルアグリーメント）を締結し、

✔委託先から定期的な業務報告を受ける。✔外部の専門機関による委託先監査を行いサービスレベルが維持されていることを定期的に確認する。✔必要に応じ委託先へ立ち入り検査を行う。など。


事故事例にみる優れた再発防止策（A社の例）

■職権分離による牽制体制の確立外部のセキュリティ専門会社との合弁により設立した新会社にデータベースの保守・運用を外部委託し、情報セキュリティを維持・向上。

データベースの管理

データのセキュリティの管理監督、運用状況の監視・監査、データベースの使用承認等

A社A社

データベースの保守・運用

新会社新会社

データベースの利用

A社関連会社A社関連会社

外部監視機関外部監視機関

■外部の有識者による第三者機関の設置A社グループ全体の情報セキュリティを確認するための第三者機関を設置し、定期的かつ客観的な監視・監査を実施。

監査実施（3ヶ月に1度）

下記は、A社から公開されている事故調査報告に基づく。


（ご参考）個人情報漏洩事件をきっかけとしたガイドライン等の改訂

■2014年8月18日経産省が経済団体に対し個人情報保護法等の遵守に関する周知徹底http://www.meti.go.jp/press/2014/08/20140818001/20140818001-A.pdf

■2014年9月26日 IPA「組織における内部不正防止ガイドライン」改訂版公開http://www.ipa.go.jp/files/000041054.pdf(1)経営層によるリーダーシップの強化(2)情報システム管理運用の委託における監督強化(3)高度化する情報通信技術への対応・スマートデバイス等による情報の持ち出しを抑制する対策・適切なアクセス権限の設定・管理、およびアクセスの監視・ログ活用による監視

■2014年12月12日経産分野の「個人情報保護ガイドライン」改訂版公開http://www.meti.go.jp/policy/it_policy/privacy/downloadfiles/1212guideline.pdf(1）第三者からの適正な取得の徹底第三者から情報取得する際、適法に入手されていること等を確認

(2)社内の安全管理措置の強化内部不正対策の組織的、物理的、技術的安全管理措置の項目の追加

(3)委託先等の監督の強化委託先の安全管理措置の確認、定期的な監査等の追加

(4)共同利用制度の趣旨の明確化共同利用範囲の明確化と共同利用者における責任等を追加

(5)消費者等本人に対する分かりやすい説明のための参考事項の追記個人情報保護を推進する上での考え方や方針等についての説明の基準を追記

http://www.meti.go.jp/press/2014/08/20140818001/20140818001-A.pdf

http://www.ipa.go.jp/files/000041054.pdf

http://www.meti.go.jp/policy/it_policy/privacy/downloadfiles/1212guideline.pdf


個人情報保護法の改正動向と事業者が対処すべきこと

パーソナルデータの利活用とプライバシー保護の両立

改正個人情報保護法（2015年1月国会審議予定）の主旨


ビッグデータに含まれるパーソナル情報は３０％を占める（IDC，2011年調査）

既に大量のパーソナルデータが、利用者指向サービスやターゲッティング広告のために収集されている。

パーソナルデータ収集の実態

動画配信サイトの音声や映像

ソーシャルメディアのプロフやコメント

ポイントカードの会員情報、利用履歴

オフィスの文書やメール

インターネットのアクセス記録

販売時点情報等の売上記録

電車等の乗降履歴

ネット通販の購買履歴

位置情報

ゲーム利用情報

通話履歴

端末ＩＤ

あらゆる情報を収集・分析し、個々の需要に応じたサービス提供や業務効率向上につなげる

ビッグデータビッグデータ

本人の識別情報端末ID、MACアドレス、クッキーなど

行動履歴や状態位置情報、通信情報履歴、アプリやWebサイト上

の行動履歴


パーソナルデータの種別

★現行法における「個人情報」等の用語の定義は、技術的観点からは明確であるとは言えず、個人情報に

関するいわゆる個人識別性については、「特定」と「識別」に分けて議論する必要がある。

改正法により新たに保護される個人に係る情報

第5回パーソナルデータに関する検討会配布資料2-1 ”技術検討ワーキンググループ報告書（2013年12月10日）“より一部抜粋して作成。

項番

データの種別

内容法的な位置付け例

1 識別・特定情報

個人が（識別されかつ）特定される状態の情報（それが誰か一人の情報であることがわかり、さらに、その一人が誰であるかがわかる情報）

現行の個人情報保護法に定める個人情報として保護される。

氏名、生年月日その他の記述等により特定の個人を識別することができるもの

2 識別・非特定情報

一人ひとりは識別されるが、個人が特定されない状態の情報

（それが誰か一人の情報であることがわかるが、その一人が誰であるかまではわからない情報）

改正個人情報保護法において、保護されるパーソナルデータ（プライバシーに係る情報）として扱われる予定。いわゆる、

グレーゾーンのデータ。

免許証番号、端末固有ID、メールアドレス、指紋等生体情報、位置情報、Web閲覧履歴など。

3 非識別・非特定情報

一人ひとりが識別されない、かつ個人が特定されない）状態の情報（それが誰の情報であるかがわからず、さらに、それが誰か一人の情報であることが分からない情報）

個人のプライバシーには係わらない情報、即ち、非個人情報として扱われる。

統計情報のような公開情報


氏名

性別

年齢

郵便番号

住所

入会日

メールアドレス

購買履歴

-アクセス日時

-商品

-価格

・・・

端末ID

位置情報

氏名

性別

年齢

郵便番号

住所

登録日


電話番号

ヘルスケア

-病歴

-健康情報

-食事ログ

-持病薬

端末ID

位置情報

登録日

ヘルスケア

-病歴

-健康情報

-食事ログ

-持病薬

氏名、郵便番号、住所、メールアドレス、電話番号等を削除して提供

事業者A（健康情報提供・相談サイトなど）

事業者B（健康食品販売サイトなど）

特定の個人を再識別化

データ収集

データ突合

転売

②Bが共通の属性項目で自社が所有するデータとマッチング

①個人を特定する情報を削除

③受領データの本人を特定

利用者

購買履歴

-アクセス日時

-商品

-価格

・・・

氏名

郵便番号

住所

入会日


性別

年齢

端末ID

位置情報

過去ログから本人の過去の履歴までが第三者に判ってしまうプライバシー侵害の懸念

利用者の懸念（匿名情報から個人の特定）


パーソナルデータの利活用に関する制度改正大綱※の概要

１．グレーゾーンのパーソナルデータ解消を図り、「利活用の壁」を取り払う。

２．保護されるパーソナルデータの範囲は、政省令、規則及びガイドラインにより定め、その範囲への該当性については、第三者機関が解釈の明確化を図る。

３．本人の承諾なしに個人特定性低減データの第三者提供を容認する。ここで、個人特定性低減データとは以下を指す。

-識別特定情報（個人情報）から個人特定性を低減したデータ-識別非特定情報（グレーゾーンのパーソナルデータ）から個人特定性を低減したデータ

４．マルチステークホルダープロセスの考え方を活かし、民間団体が業界の特性に応じた具体的な運用ルールを定める。

５．第三者機関の体制を整備して実効性のある制度執行を確保するとともに、本制度の国際調和を図る。

６．実質的にオプトアウト方式による目的外利用を認める。新たな利用目的を望まない場合に本人が申し出なければならない仕組み。

（注）一般利用者はこれに気付かず継続する可能性大（いわゆる騙し討ちという意見がある）

※高度情報通信ネットワーク社会形成基本法（平成12年法律第144号）第36条の規定に基づき、首相官邸の高度情報通信ネットワーク社会推進戦略本部に設置された「パーソナルデータに関する検討会」において個人情報保護制度の改正が検討され、2014年6月24日に制度改正大綱が決定された。


１．個人情報保護委員会（以下、委員会）の新設第三者機関として「個人情報保護委員会（内閣府の外局）」を新設、これは、マイナンバー制度の特定個人情報保護委員会を改組したもの。

２．個人情報の定義拡充（グレーゾーンのおおよその範囲を定める）生存する個人に関する情報であって、「文字、番号、記号その他の符号のうち政令で定めるものが含まれるもの」を新たに個人情報に加える。

・特定の個人の身体の一部の特徴を電子計算機の用に供するため変換した符号（例）指紋データ、顔認識データなど・個人毎に異なるものとなるように役務の利用、商品の購入または個人に発行される書類に付される符号（例）携帯電話番号、旅券番号、運転免許証番号など

※現行法の定義：「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

３．匿名加工情報（仮称）（大綱における「個人特定性低減データ」のこと）の第三者提供以下の条件を満たせば、委員会で定める基準に従い、個人情報を匿名加工情報に加工することにより、本人の承諾なくそれらを第三者に提供できる。

・委員会で定める基準に従い、個人情報を復元できないような加工をしなければならない。・第三者に提供する場合は、その旨の公表と、提供先に匿名加工情報であることを明示しなければならない。・受領者は、加工した方法に関する情報の取得や、匿名加工情報を他の情報と照合してはならない。・受領者が、さらなる第三者に転売するときも上記（公表と明示）と同様。

個人情報の保護に関する法律の一部を改正する法律案（仮称）の骨子案の概要第１３回パーソナルデータに関する検討会配付資料１（2014年12月19日）より


４．個人情報保護の緩和

・利用目的の制限緩和個人情報のオプトアウト方式による利用目的変更を認める。但し、個人情報取得時に本人に予め通知、または公表することに加え保護委員会に届出を要する。

５．個人情報保護の強化

・オプトアウト方式による個人情報の第三者提供の規制強化。個人情報取得時に本人に予め通知、または公表することに加え、第三者提供に関する事項を個人情報保護委員会に届出なければならない。

・第三者提供に係る確認及び記録の作成の義務付け（名簿屋対応）

・不正な利益を図る目的による個人情報データベース提供罪の新設（大規模情報漏洩事件対応）

６．グローバル化への対応

・国内企業などが外国で個人情報を取り扱う場合、個人情報保護委員会による命令を除いて個人情報保護法を適用する。

・外国にある第三者へ提供する場合は、本人同意を得るか、委員会が日本と同等水準の保護制度と認められると定める国か、委員会規則の基準に適合する体制を整備している企業に限る。

個人情報の保護に関する法律の一部を改正する法律案（仮称）の骨子案の概要第１３回パーソナルデータに関する検討会配付資料１（2014年12月19日）より（続き）


✔新たなデータカテゴリの定義匿名加工情報（個人特定性低減データ）

✔新たに個人情報に加えられるパーソナルデータの候補

従来の個人情報★本人の承諾なしに第三者提供が可能

★この範囲は政令で定める

★加工方法は一律に定めない

個人に係る情報の包含関係（2015年1月国会審議予定の法改正後）

個人情報非個人情報氏名

住所

顔画像

統計データなど

加工

端末ID移動履歴（位置情報、時刻）

MACアドレス

指紋筆跡性別

メールアドレス IPアドレス（V6）

Web閲覧履歴旅券番号

グレーゾーン生年月日

（改正骨子案に記載の例）・指紋データ、顔認識データなど・携帯電話番号、旅券番号、運転免許証番号など


制度改正大綱および改正骨子案から推測される第三者提供スキーム


①利用者に対し適切なプライバシーポリシーを提示する。②パーソナルデータの第三者提供時の適切な措置。③利用者に対し自己情報コントロールの機会を付与する。

アプリケーション／サービスの企画・開発・構築・運用プロ

セスにおいて利用者への配慮、透明性を確保。

懸念を払拭するために事業者が対処すべきこと

取得する情報の項目、内容、目的、同意取得方法（特に端末ID、位置情報等）、第三者提供の有無、問合わせ先、etc.

収集情報の全部または一部停止、変更、削除、収集の停止の仕組み、etc

本人の同意取得の上、第

三者提供、または適切な加工後に本人の同意を取得せず第三者提供。

プライバシー・バイ・デザイン（PbD）の実践プライバシー情報を扱うあらゆる場面において、プライバシー情報が適切に取り扱われる環境を予め作り込むというコンセプトのこと

・事後的ではなく、事前的・救済的でなく予防的・事後的ではなく、事前的・救済的でなく予防的

PbDの原則


✔情報漏洩事故の最終責任者は経営者。

✔経営判断の原則が認められる程度に統制（対策）を施し、それらが適正に運用されていることを確認する必要がある。

✔特に内部犯罪対応は慎重に。

✔個人情報保護法改正は規制緩和と規制強化の両方がある。

✔パーソナルデータの利活用にあたってはプライバシー保護に留意する。

✔これからの事業者サービスは、セキュリティ・バイ・デザインに加えてプライバシー・バイ・デザインが肝要になる。

まとめ（1/2）


まとめ（2/2）情報システムの免疫力を適切に維持･保全しましょう。


日本ユニシス株式会社

http://www.unisys.co.jp/

http://www.unisys.co.jp/

情報セキュリティにおけるリスクと 情報漏洩事故事例の分析と対策 ·...

Documents

情報セキュリティにおけるリスクと情報漏洩事故事例の分析と対策 ·...