20150717_情報漏洩, マイナンバー,...

情報漏洩、マイナンバー、ビッグデータ/IoTセキュリティ対応を見据えた

これからのセキュリティ対策のポイント

2015年7月17日博士（医薬学）笹原英司

米国クラウドセキュリティアライアンスビッグデータワーキンググループ／モバイルワーキンググループ

特定非営利活動法人ヘルスケアクラウド研究会理事在日米国商工会議所ヘルスケア IT小委員会委員長

講師略歴：笹原英司[email protected]

・米国クラウドセキュリティアライアンス（NPO、本部：ワシントン州シアトル）ビッグデータワーキンググループ／モバイルワーキンググループ・メンバー

・特定非営利活動法人ヘルスケアクラウド研究会・理事

・在日米国商工会議所ヘルスケアIT小委員会委員長・ISO認証機関公平性委員会委員（主にISO 9001、14001、27001、FS22000）

旧労働省（現厚生労働省）、日米のメディア関連企業を経て、B2C／B2Bのデジタルマーケティング実務と、健康医療／介護福祉／医薬品／ライフサイエンス分野のITガバナンス関連調査研究を行った実績を有する。

・慶應義塾大学文学部人間科学専攻（産業関係論）卒業・Boston University Graduate School of Management修了（MBA）、・千葉大学大学院医学薬学府博士課程先進医療科学専攻修了（博士・医薬学）

（研究実績）厚生科学研究補助金医薬安全総合研究事業「添付文書等による医療用医薬品に関する情報の提供の在り方に関する研究」平成13年度分担研究「特殊な集団に関する情報提供の在り方」（研究協力者）、「Case study of pharmacist activities in the multidisciplinary practice of outpatient chemotherapy in Japan」（聖路加国際病院との共同研究）など。

2

AGENDA

1. 海外の情報漏洩事案に学ぶサイバーセキュリティと個人情報保護の課題

2. マイナンバー法改正が企業に及ぼすインパクト

3. 個人情報保護法改正が企業に及ぼすインパクト

4. ビッグデータ／IoTセキュリティ対策のポイント

5. まとめ／Q&A

3

1. 海外の情報漏洩事案に学ぶサイバーセキュリティと個人情報保護の課題

4

1-1. サイバーセキュリティとは何か1-2. 米国の情報漏洩事例に見る

サイバーセキュリティと個人情報保護の課題1-2-1. 米国の病院チェーン（NYSE上場企業）

Community Health Systemsのケース（2014年8月）1-2-2. 米国の医療保険者（NYSE上場企業）

Anthemのケース（2015年2月）

1-1. サイバーセキュリティとは何か (1)

�米国国立標準技術研究所（NIST）「重要インフラのサイバーセキュリティを向上させるためのフレームワーク 1.0版（原題：Framework for Improving Critical Infrastructure Cybersecurity Version 1.0）」（2014年2月）より（https://www.ipa.go.jp/files/000038957.pdf）

�「サイバーセキュリティ」＝攻撃を防止、検知し、攻撃に対応することに

より情報を保護するプロセス

5


�米国のサイバーセキュリティフレームワークの捉え方�フレームワークコア

6

出典：NIST 「Framework for Improving Critical Infrastructure Cybersecurity Version 1.0」（2014年2月）


�サイバーセキュリティフレームワークの仕組みと運用�フレームワークインプレメンテーション

7

出典：NIST 「Framework for Improving Critical Infrastructure Cybersecurity Version 1.0」（2014年2月）

仕組み

運用


�サイバーセキュリティフレームワークに組み込まれたプライバシー／個人情報保護対策

�サイバーセキュリティインシデントに関連する個人情報を含む資料を収集、開示、保持する際には、データを最小限に抑える

�サイバーセキュリティ対策のために収集された情報の、サイバーセキュリティ対策以外の目的での使用を制限する

�特定のサイバーセキュリティ対策の透明性を確保する

�個人情報をサイバーセキュリティ対策に使用することに関して、個人の同意を得て、悪影響が及んだ場合の救済措置を用意する

�データの質、完全性、セキュリティを確保する

�説明責任と監査が行われるようにする

8


�米国NIST セキュリティ設定共通化手順（SCAP：Security Content Automation Protocol）（http://scap.nist.gov/）

�複雑化するリアルタイム・セキュリティ監視／分析向けのフレームワーク

�「9・11事件」の教訓を基に、2002年に施行された政府省庁の情報システムのセキュリティ強化を義務付ける「連邦情報セキュリティマネジメント法（FISMA）」を契機として、各省庁の様々な法令・標準規格・ガイドライン類から共通のセキュリティ要求事項を洗い出して整理

�日本語訳～IPA「セキュリティ設定共通化手順SCAP概説」（http://www.ipa.go.jp/security/vuln/SCAP.html）

9


�SCAPの標準仕様�共通脆弱性識別子（CVE）：脆弱性の識別

�共通セキュリティ設定一覧（CCE）：セキュリティ設定の識別

�共通プラットフォーム一覧（CPE）：製品の識別

�共通脆弱性評価システム（CVSS）：脆弱性の深刻度の評価

�セキュリティ設定チェックリスト記述形式（XCCDF）：チェックリストを記述するための形式

�セキュリティ検査言語（OVAL）：脆弱性やセキュリティ設定をチェックするための言語リアルタイムなセキュリティ監視／分析向けのフレームワーク

10

1-2. 米国の情報漏洩事例に見るサイバーセキュリティと個人情報保護の課題

�「Update: Top 5 Health Data Breaches」Healthcare Info Security（2015年2月5日）より

11

企業・団体名漏洩件数漏洩の原因漏洩した情報外部委託先関与

Anthem

（医療保険者）8,000万件外部からのサイバー

攻撃名前、誕生日、医療ID、社会保障番号、住所、メールアドレス、雇用情報、収入データ

なし

TRICARE

（政府機関）490万件外部委託先のバック

アップテープ盗難社会保障番号、名前、住所、電話番号、臨床ノート、臨床検査、処方箋

あり

Community

Health Systems

（医療機関）

450万件外部からのサイバー攻撃

名前、住所、誕生日、電話番号、社会保障番号

なし

Advocate

Medical Group

（医療機関）

403万件暗号化していないPC

の盗難名前、住所、生年月日、社会保障番号、診断、電子カルテ番号、医療サービスコード、医療保険情報

なし

Texas HHS

（政府機関）200万件政府と元外部委託先

との訴訟中に漏洩名前、誕生日、メディケイド番号・電子カルテ・レセプト、診断コード、レポート、写真

あり

1-2-1. 米国の病院チェーン（NYSE上場企業）Community Health Systemsのケース（2014年8月）(1)

�2014年8月、不正アクセスにより、患者約450万人の個人情報が流出した可能性があることを公表

�オープンソースのSSL／TLS実装ライブラリ「OpenSSL」の脆弱性を突いた海外からのサイバー攻撃が発端となったことが判明

�ニューヨーク証券取引所（NYSE）の上場企業である

�証券取引委員会（SEC）：米国企業改革法（SOX）に基づき、財務報告に係る情報開示や内部統制を義務付ける

12


�海外からのサイバー攻撃が発端となった

�テロ対策を所管する国土安全保障省（DHS）の調査

�サイバー犯罪を所管する連邦捜査局（FBI）の調査

�患者の保護対象保健情報（PHI）が流出

�HIPAAを所管する保健福祉省（HHS）への報告義務

�顧客らが損害賠償請求の集団訴訟を提起

�連邦民事訴訟規則（FRCP）に基づく電子証拠開示（eディスカバリー）への対応

13


�（参考）情報セキュリティ／コンプライアンス責任者の経歴

�Director, Security and Compliance（事案発覚当時）

�Manager of Security Strategy and Compliance / Threat and Vulnerability Management

�Threat and Vulnerability Management team lead, and lead for the Computer Security Incident Response Team (CSIRT)

�U.S. Army Reserves

�IT Manager, Music Record Distributors

（保有資格） CCNP、CCNA、MCSE NT 4.0、CWNA

14

1-2-2. 米国の医療保険者（NYSE上場企業）Anthemのケース（2015年2月）(1)

�ITシステムが海外からのサイバー攻撃を受け、顧客約8千万件の情報流出被害が発生したことを公表

�ニューヨーク証券取引所（NYSE）の上場企業である

�米証券取引委員会（SEC）：米国企業改革法（SOX）に基づき、財務報告に係る情報開示や内部統制を義務付ける

�海外からのサイバー攻撃が発端となった

�テロ対策を所管する国土安全保障省（DHS）の調査

�サイバー犯罪を所管する連邦捜査局（FBI）の調査

�保険会社から顧客情報が流出した

�金融機関を所管するニューヨーク州金融サービス局が州内の全保険会社に対するサイバーセキュリティ検査を開始

15


�顧客の保護対象保健情報（PHI）が流出

�HIPAAを所管する保健福祉省（HHS）への報告義務

�過去にHIPAA違反で170万ドルの民事制裁金を科せられたことがある（当時の社名はWellPoint）

�暗号化していなかった保存データがサイバー攻撃を受けて外部流出

�HIPAAは、保存データの暗号化を規定しているが、完全な強制ではない（暗号化の有無で制裁金の金額が変わる）

�2015年より、ニュージャージー州が、保存データの暗号化を義務化（Anthemは州内で事業を行っていない）

＊ニュージャージー州には、グローバル製薬・医療機器企業の本社機能が集中している

16


�顧客らが損害賠償請求の集団訴訟を提起

�連邦民事訴訟規則（FRCP）に基づく電子証拠開示（eディスカバリー）への対応

�漏洩後、顧客を標的にしたフィッシング攻撃が発生

�消費者保護を所管する連邦取引委員会（FTC）が注意喚起

＊インシデントレスポンスで真相が分かるにつれて、コンプライアンスのバリューチェーン全体に火が付く（ICTサプライチェーン管理の不備が拍車をかける）

17

財務コンプライアンス・US-SOX

サイバーテロ対策

・パトリオット法

医療コンプライアンス

・HIPAA

法務コンプライアンス・eディスカバリー


�（参考）情報セキュリティ／コンプライアンス責任者の経歴

�Vice President, IT Security & Chief Information Security Officer （事案発覚当時）

�Board of Directors, The Health Information Trust Alliance (HITRUST)（事案発覚当時）

�Oversees IT risk management, cyber-investigations and ensures corporate compliance with federal and industry regulatory mandates that protect sensitive information.

�More than 30 years experience in developing and managing best-in-class physical, logical and information security programs for domestic and international business operation.

（保有資格） CISSP-ISSAP, ISSMP, CIM

18

2. マイナンバー法改正が企業経営に及ぼすインパクト

19

2-1. マイナンバー制度の概要2-2. マイナンバー法改正案の概要2-3. 海外事例から考える

マイナンバーとサイバーセキュリティ対策～共通番号導入で先行するスウェーデン～

2-4. マイナンバー制度が情報セキュリティの仕組みと運用に及ぼすインパクト

2-1. マイナンバー制度の概要（1）

＊本資料は、2015年7月10日時点の情報を元に作成しています。

最新情報の関連リソース

�内閣官房社会保障改革担当室・内閣府大臣官房番号制度担当室

「マイナンバー社会保障・税番号制度について」（http://www.cas.go.jp/jp/seisaku/bangoseido/）

�総務省「行政機関等が保有するパーソナルデータに関する研究会」（http://www.soumu.go.jp/main_sosiki/kenkyu/gyousei_personal/index.html）

�情報法制研究会（事務局：一般財団法人日本データ通信協会）（http://www.dekyo.or.jp/kenkyukai/）

20


�マイナンバーとは？（内閣官房資料より）

21

「民」の業務

「民」「官」の連携

「官」の業務

マイナンバー


�マイナンバーの個人情報保護措置（内閣官房資料より）

22

仕組み

運用


�マイナンバー導入チェックリスト（内閣官房資料より）

23

対策チェック項目

担当者の明確化と番号の取得

・マイナンバーを扱う人を、あらかじめ決めておきましょう（給料や社会保険料を扱っている人など）。・マイナンバーを従業員から取得する際には、利用目的（「源泉徴収票作成」「健康保険・厚生年金保険届出」「雇用保険届出」）を伝えましょう。・マイナンバーを従業員から取得する際には、番号が間違っていないかの確認と身元の確認が必要です。①顔写真の付いている「個人番号カード」か、②10月から届くマイナンバーが書いてある「通知カード」と「運転免許証」などで確認を行いましょう。

マイナンバーの管理・保管

・マイナンバーが記載された書類は、カギがかかる棚や引き出しに大切に保管するようにしましょう。無理にパソコンを購入する必要はありません。・パソコンがインターネットに接続されている場合は、ウィルス対策ソフトを最新版に更新するなどセキュリティ対策を行いましょう。・従業員の退職や契約の終了などでマイナンバーが必要なくなったら、細かく裁断するなどマイナンバーの書いてある書類を廃棄しましょう。パソコンに入っているマイナンバーも削除しましょう。


�特定個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン」（2014年12月）（http://www.ppc.go.jp/legal/policy/）

24

用語定義

個人情報生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

個人番号番号法第７条第１項又は第２項の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。

特定個人情報個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。番号法第７条第１項及び第２項、第８条並びに第67条並びに附則第３条第１項から第３項まで及び第５項を除く。）をその内容に含む個人情報をいう。


�（続き）

25

用語定義

個人情報データベース等

個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして「個人情報の保護に関する法律施行令」（平成15年政令第507号。以下「個人情報保護法施行令」という。）で定めるものをいう。

個人情報ファイル

個人情報データベース等であって、行政機関及び独立行政法人等以外の者が保有するものをいう。

特定個人情報ファイル

個人番号をその内容に含む個人情報ファイルをいう。

個人データ個人情報データベース等を構成する個人情報をいう。

保有個人データ

個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして個人情報保護法施行令で定めるもの又は６か月以内に消去することとなるもの以外のものをいう。

2-2. マイナンバー法改正案の概要（1）

�マイナンバー法改正案のポイント＜マイナンバーの利用範囲の拡大等について＞

26

ポイント内容

預貯金口座へのマイナンバーの付番

・預金保険機構等によるペイオフのための預貯金額の合算において、マイナンバーの利用を可能とする。

・金融機関に対する社会保障制度における資力調査や税務調査でマイナンバーが付された預金情報を効率的に利用できるようにする。

医療等分野における利用範囲の拡充等

・健康保険組合等が行う被保険者の特定健康診査情報の管理等に、マイナンバーの利用を可能とする。

・予防接種履歴について、地方公共団体間での情報提供ネットワークシステムを利用した情報連携を可能とする。

地方公共団体の要望を踏まえた利用範囲の拡充等

・すでにマイナンバー利用事務とされている公営住宅（低所得者向け）の管理に加えて、特定優良賃貸住宅（中所得者向け）の管理において、マイナンバーの利用を可能とする。

・地方公共団体が条例により独自にマイナンバーを利用する場合においても、情報提供ネットワークシステムを利用した情報連携を可能とする。

・地方公共団体の要望等を踏まえ、雇用、障害者福祉等の分野において利用事務、情報連携の追加を行う。

2-2. マイナンバー法改正案の概要（2）

�マイナンバー法改正案のポイント＜特定個人情報保護委員会の改組について＞

27

所管事務内容

マイナンバーについて（現状）

・適正な取扱いの確保のための監視・監督・特定個人情報保護評価・保護に関する広報・啓発・海外機関との連携・国際協力等

個人情報全般について（改正案で追加）

・適正な取扱いの確保のための監督・認定個人情報保護団体の監督・個人情報全般に関する広報・啓発・個人情報の取扱いに関するグローバル化への対応等

2-3. 海外事例から考えるマイナンバーとサイバーセキュリティ対策

共通番号導入で先行するスウェーデン（1）�スウェーデンの「フォルクヘメット（Folkhemmet）」

�国民の家（1930年代に打ち出された理念）国家は家族のように組織化されなければならない。家族の構成員はどんな傷害を負っていようとも、家族のために献身しようと思っている。

�スウェーデンの共通番号とe -IDカード

�1947年、本格的な個人認証番号を導入

�住民登録番号として、全国民が出生時に付番される（国税庁が個人に10桁の番号を割り振る）

�国税庁がe-IDカードを発行（写真、サイン、個人番号、氏名、有効期間を表示）�一般行政サービスや民間サービスでも活用している

28


共通番号導入で先行するスウェーデン（2）�共通番号のメリットを生かした

スウェーデンのオープンガバメント施策

29

・Opengov.seスウェーデン政府統一のオープンデータポータルで、データセット、API、アプリ等を提供

・Medicinera.se現在地のGPS情報に基づいて、OTC医薬品が買える薬局・ドラッグストアの情報を提供するモバイルアプリケーション


共通番号導入で先行するスウェーデン（3）�スウェーデンの個人認証番号保護対策

�データ検査委員会（The Data Inspection Board）

�1973年に創設された独立性の強い第三者委員会

�主な所管業務・個人情報の管理・活用状況に関する監査・不服申請への対応・国民啓発のための情報発信活動・相談窓口であるコールセンターの運営・EUでの活動への参加等

�個人データ保護法（Personal Data Act）

�1973年、前身のデータ法を制定

�1998年、EUデータ保護指令に準拠して改正

30


共通番号導入で先行するスウェーデン（4）�スウェーデンのサイバーセキュリティ対策

�サイバーセキュリティに特化した法律は未制定＊EUレベルでは、欧州ネットワーク情報セキュリティ庁（ENISA）

がサイバーセキュリティ戦略を策定済

�民間危機管理庁（MSB）・・・国防省の下部組織

�「スウェーデン情報セキュリティ戦略 2010-2015」• 企業の情報セキュリティ

• スキルの供給

• 情報共有、協力、対応

• 通信セキュリティ

• 製品／システムのセキュリティ

�CERT-SE

・国家レベルのコンピューター緊急対応チーム31

2-4. マイナンバー制度が情報セキュリティの仕組みと運用に及ぼすインパクト

�情報セキュリティマネジメントシステム規格「ISO/IEC 27001:2013」の観点から

�【仕組み】リスクマネジメントシステム規格「ISO 31000/JIS Q 31000」に準拠したリスクベース・アプローチの適用・リスク＝期待されている結果に対する不確かさの影響

（「好ましい方向」と「好ましくない方向」）・マイナンバー導入のリスクをどう評価するか?

（例.サイバー攻撃の標的となった場合）

� 【運用】ICTサプライチェーンに関する管理策・マイナンバー関連プロセスに関わるパートナー／サプライヤーの管理監督は? 運用における責任の分解点は?

・マイナンバーの利用範囲拡大に伴う、「民」と「官」の連携プロセスにおいて、ICTサプライチェーンをどう管理するか?

32

3. 個人情報保護法改正が企業経営に及ぼすインパクト

33

3-1. 個人情報保護法の特別法としてのマイナンバー法に基づく個人情報管理

3-2. 個人情報保護法改正案の概要3-3. 海外事例から考える個人情報保護と

サイバーセキュリティ対策（米国とEUの動向）3-4. 海外事例に見るCIO／IT部門の変化と

チーフデータオフィサーの役割の方向性3-5. 個人情報保護法改正が情報セキュリティの

仕組みと運用に及ぼすインパクト

3-1. 個人情報保護法の特別法としてのマイナンバー法に基づく個人情報管理（1）

�「特定個人情報の適正な取扱いに関するガイドライン」（2014年12月）（http://www.ppc.go.jp/legal/policy/）

�特定個人情報に関する安全管理措置

34

措置内容

番号法における安全管理措置の考え方

・事業者は、個人番号及び特定個人情報の漏えい、滅失又は毀損の防止等のための安全管理措置の検討に当たり、次に掲げる事項を明確にする。Ａ個人番号を取り扱う事務の範囲Ｂ特定個人情報等の範囲Ｃ特定個人情報等を取り扱う事務に従事する従業者（事務取扱担当者）

安全管理措置の検討手順

・事業者は、特定個人情報等の適正な取扱いに関する安全管理措置について、次のような手順で検討を行う。Ａ個人番号を取り扱う事務の範囲の明確化Ｂ特定個人情報等の範囲の明確化Ｃ事務取扱担当者の明確化Ｄ特定個人情報等の安全管理措置に関する基本方針（基本方針）の策定Ｅ取扱規程等の策定


�特定個人情報に関する安全管理措置（続き2）

35

措置内容

基本方針の策定

・特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定する。―事業者の名称―関係法令・ガイドライン等の遵守―安全管理措置に関する事項―質問及び苦情処理の窓口等

取扱規程等の策定

・明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定する。① 取得する段階② 利用を行う段階③ 保存する段階④ 提供を行う段階⑤ 削除・廃棄を行う段階


�特定個人情報に関する安全管理措置（続き3）

36

措置内容

組織的安全管理措置・組織体制の整備・取扱規程等に基づく運用・取扱状況を確認する手段の整備・情報漏えい等事案に対応する体制の整備・取扱状況の把握及び安全管理措置の見直し

人的安全管理措置・事務取扱担当者の監督・事務取扱担当者の教育

物理的安全管理措置・特定個人情報等を取り扱う区域の管理・機器及び電子媒体等の盗難等の防止・電子媒体等を持ち出す場合の漏えい等の防止・個人番号の削除、機器及び電子媒体等の廃棄

技術的安全管理措置・アクセス制御・アクセス者の識別と認証・外部からの不正アクセス等の防止・情報漏えい等の防止

3-2. 個人情報保護法改正案の概要（1）

�個人情報保護法改正案のポイント

37

ポイント内容

個人情報の定義の明確化

・個人情報の定義の明確化（身体的特徴等が該当）・要配慮個人情報（いわゆる機微情報）に関する規定の整備

適切な規律の下で個人情報等の有用性を確保

・匿名加工情報に関する加工方法や取扱等の規定の整備・個人情報保護指針の作成や届け出、公表等の規定の整備

個人情報の保護を強化・トレーサビリティの確保（第三者提供に係る確認および記録の作成義務）・不正な利益を図る目的による個人情報データベース等提供罪の新設

個人情報保護委員会の新設およびその権限

・個人情報保護委員会を新設し、現行の主務大臣の権限を一元化

個人情報の取扱のグローバル化

・国境を越えた適用と外国執行当局への情報提供に関する規定の整備・外国にある第三者への個人データの提供に関する規定の整備

その他改正事項・本人同意を得ない第三者提供（オプトアウト規定）の届出、公表等厳格化・利用目的の変更を可能とする規定の整備・取り扱う個人情報が5,000人以下の小規模取扱事業者への滞欧


�個人情報の定義の明確化

38

用語定義

個人情報・生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。①生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの②個人識別符号が含まれるもの

個人識別符号

次の各号のいずれかに該当する文字、番号、記号その他の符号。①特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字，番号、記号その他の符号であって、当該特定の個人を識別することができるもの②個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され，若しくは電磁的方式により記録された文字，番号，記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され，若しくは記録されることにより，特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

要配慮個人情報

本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。


�匿名加工情報の取扱

39

出典：内閣官房「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）」（2014年12月）


�個人情報の取扱のグローバル化

40

出典：内閣官房「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）」（2014年12月）

3-3. 海外事例から考える個人情報保護とサイバーセキュリティ対策

3-3-1. 米国の最新動向（1）

�米国の個人データの捉え方出典：米国プライバシー権利章典（2012年）

�プライバシー権利章典は、個人データの商業利用に適用される。この用語（個人データ）は、特定の個人に連結可能な全てのデータをいい、集約されたデータを含む。個人データは、特定のコンピュータその他のデバイスに連結するデータも含みうる。例えば、利用記録を作成するために使われるスマートフォンや家庭のコンピュータの識別子は個人データである。

41



�米国の個人データ保護／ビッグデータ／IoT動向（1）

42

年月機関名内容

2012年2月大統領行政府「ネットワーク世界における消費者情報プライバシー：国際的デジタル経済におけるプライバシー保護と技術革新の促進」を公表

2012年3月連邦取引委員会(FTC)

「急速に変化する時代における消費者プライバシーの保護」を公表

2012年3月大統領行政府「ビッグデータ研究開発イニシアティブ」を公表

2013年6月国立標準技術研究所（NIST）

NISTビッグデータワーキンググループ（NBD-WG）のキックオフミーティングを開催

2013年7月 FTC 13歳未満の子どもを対象とした児童オンラインプライバシー保護法（COPPA）の改正規則を施行

2013年11月 FTC ワークショップ「Internet of Things：接続された世界におけるプライバシーとセキュリティ」を開催

2014年5月大統領行政府「ビッグデータ: 機会を捉え、価値を保護する」を公表

2014年5月 FTC 「データブローカー：透明性と説明責任を求める」を公表



�米国の個人データ保護／ビッグデータ／IoT動向（2）

43


2014年8月 NIST IoTに関連してNISTサイバーフィジカルシステム公開ワーキンググループ（CPS-PWG）の第1回会議を開催

2014年9月 FTC ワークショップ「ビッグデータ：包含、排除いずれの手段か?」を開催

2014年10月 NIST IEEEビッグデータカンファレンスにて、NISTビッグデータパブリックワーキンググループ（NBD-PWG）のワークショップを開催

2015年1月 FTC 「Internet of Things：接続された世界におけるプライバシーとセキュリティ」を公表

2015年3月 NIST IoTに関連して「時間認識アプリケーション、コンピューター、通信システム（TAACCS）」を公表

2015年3月 FTC プライバシー、データセキュリティ、スマートホーム、ビッグデータ、IoTなど次世代の消費者保護を目的とした技術研究・調査室（OTRI）を新設

2015年4月 NIST NISTビッグデータパブリックワーキンググループ（NBD-PWG）が、ビッグデータ相互運用性フレームワーク・バージョン1.0草案を公表



�FTCの非個人識別情報（Non-PII）3要件（個人情報保護法改正案の「匿名加工情報」との対比）

�事業者はそのデータの非識別化を確保するために合理的な措置を講ずるべきである。

�事業者はそのデータを非識別化された形態で保有及び利用し、そのデータの再識別化を試みないことを、公に約束すべきである。

�事業者がかかる非識別化されたデータを他の事業者に提供する場合には、それがサービス提供事業者であろうとその他の第三者であろうと、その事業者がデータの再識別化を試みることを契約で禁止すべきである。この際、非識別化されたデータと元の識別可能なデータの双方を保持・使用する場合は、これらのデータは別々に保管することとすべきである。

44


3-3-2. EUの最新動向（1）

�EUの個人データの捉え方（出典：EUデータ保護規則提案、2015年6月）

�「個人データ」とは、あるデータ主体に関する全ての情報を意味する。「データ主体」とは、管理者その他の自然人又は法人によって合理的な範囲で使用される手段、特に、識別番号、位置データ、オンライン識別子又は当該者の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的な識別性に関連する一つ若しくはそれ以上の固有の要素により、直接的又は間接的に識別された自然人を意味する。

45

指令：条文の中で命じられた結果のみ加盟国を拘束し、達成のための手段と方法は加盟国に任される規則：採択されると加盟国内の批准手続を経ずに、そのまま国内法体系の一部となる



�EUの個人データ保護／ビッグデータ／IoT動向（1）

46


2009年6月欧州委員会 RFIDから医療、環境・エネルギーなど様々な分野に対象を拡張した「Internet of Things行動計画」を公表

2010年4月欧州ネットワーク情報セキュリティ庁（ENISA）

飛行機の旅行をシナリオに用いたIoTおよびRFIDのリスクに関

する評価結果を公表

2012年1月欧州委員会プライバシーに関わるEUデータ保護指令改正案を公表2013年10月欧州議会市民的自由・司法・内務（LIBE）委員会が、EUデータ保護指令

改正案の修正案を可決2014年3月欧州議会 LIBE委員会の修正案を反映させたEUデータ保護指令改正案

およびEU決議案を可決2014年9月データ保護指令

第29条作業部会「ビッグデータの発展の個人データ保護への影響に関する声明」を採択

2014年9月データ保護指令第29条作業部会

「近年のIoTの発展に関する意見書」を採択



�EUの個人データ保護／ビッグデータ／IoT動向（2）

47


2015年1月欧州委員会 2015年欧州データ保護デーを開催2015年3月データ保護指令第

29条作業部会欧州委員会の要請を受けて「アプリケーションとデバイスにおけるヘルスデータ」を公表

2015年4月欧州委員会ファクトシート「EUデータ保護改革とビッグデータ」を公表2015年5月欧州委員会 EU域内デジタルマーケットの障壁撤廃を目指す「欧州デジ

タル単一市場戦略」を公表2015年5月欧州データ保護監

視官局（EDPS）「モバイルヘルスに関する意見書」を公表

2015年6月閣僚理事会司法理事会がEUデータ保護指令改正案を承認し、EUデータ保護規則提案に暫定合意

2015年6月欧州委員会、欧州議会、閣僚理事会

EUデータ保護規則提案に係る三者対話を開始



�EUデータ保護規則提案（2015年6月）のポイント（個人情報保護法改正案の個人情報の取扱のグローバル化）

�EU全域に適用される単一の法規制の設定による効率化

�「忘れ去られる権利」を始めとする個人データ保護の権利の強化・追加

�ヨーロッパの土壌にはヨーロッパ法を適用

�独立したデータ保護機関による監督権限の強化

�企業や個人が一国の監督機関に対応すれば済む「ワンストップショップ」の導入

48

3-4. 海外事例に見るCIO／IT部門の変化とチーフデータオフィサーの役割の方向性（1）

�IT組織の「I」は「Innovation」（米国行政機関の例）�Department of Innovation and Technology （DoIT）

�Office of the Chief Information Officer （CIO）

�Enterprise Systems

�Software Development & Application Support

�Enterprise Architecture （Chief Technology Officer）

�Technical Operations

�Information Security（Chief Information Security Officer）

�Planning, Policy & Management

�Data Science（Chief Data Officer）

�Finance and Administration

49

3-4. 海外事例に見るCIO／IT部門の変化とチーフデータオフィサーの役割の方向性（2）

�データアドミニストレータの役割（米国行政機関の例）

50

データベースアドミニストレータデータアドミニストレータ

・データベース標準規格、ガイドライン、業務ポリシー・手順の開発・執行・物理的ストラクチャのレビュー

・各ストラクチャに関連するパフォーマンス、メンテナンス、ユーティリティのレビュー・必要なストレージメディアのレビュー・SQLパフォーマンスおよびチューニングのレビュー

・アプリケーションのデータベースストラクチャへのアクセスのレビュー・バックアップ／リカバリー戦略のレビュー

・場所に応じた消去／アーカイブの判定基準のレビュー

・データベース／サブシステムのパフォーマンス問題のモニタリング・移行計画のレビュー

・庁内プロジェクト（要件定義～開発フェーズ）の支援

・データガバナンスのプロセス／手順の開発への参画

・標準／手順改善のためのプロジェクトとマネジメント層からのフィードバックの依頼とフォローアップ

・命名基準執行のための標準化されたデータ命名規則自動化ツールの発行

・新規／再構築プロジェクトを迅速に立ち上げるための、エンタープライズ論理データモデル（ELDM）のとりまとめ

・エンタープライズメタデータレポジトリの管理とメンテナンス

・新規／継続アプリケーション開発業務と連携したデータ／影響度分析サービス

・システムとオブジェクト間のデータ連携に向けたソースの実演

3-4. 海外事例に見るCIO／IT部門の変化とチーフデータオフィサーの役割の方向性（3)

�チーフデータオフィサーの役割（米国行政機関の例）�エンタープライズデータ・分析室（OEDA）

�2014年11月、新設された組織横断的部署

�目的：高品質で患者中心のケアを低コストで行うために、膨大なデータリソースを有効利用して、意思決定を導くと共に、適切な外部へのアクセスとデータ利用を促進するフレームワークを開発する

�チーフ・データ・オフィサー（CDO）

�新設されたOEDAの統括責任者

�役割：組織として、より透明性を高める努力の一環として、データの収集および配布における改善を監督する

51

3-5. 個人情報保護法改正が情報セキュリティの仕組みと運用に及ぼすインパクト

�持続可能なリスクベースのコンプライアンス基盤が必要

52

リスクベースアプローチのコンプラアンス管理を効率化するための共通基盤

データ

アドミニストレータ

セキュリティ

管理者

対象データ

業務プロセス

対象データ

業務プロセス

対象データ

業務プロセス

対象データ

業務プロセス

対象データ

業務プロセス

仕組み

運用

仕組み

運用

仕組み

運用

仕組み

運用

仕組み

運用

個人情報保護法

(２００５年）

金融商品取引法

（J-SOX）

マイナンバー法

個人情報保護法改正

サイバーセキュリティ

法制

法令の新設・改廃

新技術の導入

4. ビッグデータ／IoTセキュリティ対策のポイント

53

4-1. NISTビッグデータ相互運用性フレームワークV1草案とセキュリティ／プライバシー対策

4-2. ビッグデータを保護する階層型セキュリティ事例Hadoopのリアルタイムセキュリティ監視／分析

4-3. ビッグデータとIoTの融合とセキュリティ対策

4-1. NISTビッグデータ相互運用性フレームワークV1草案とセキュリティ／プライバシー対策（1）

�ビッグデータの定義：

Big Data refers to the inability of traditional data architectures to efficiently handle the new datasets. Characteristics of Big Data that force new architectures are volume (i.e., the size of the dataset) and variety (i.e., data from multiple repositories, domains, or types), and the data in motion characteristics of velocity (i.e., rate of flow) and variability (i.e., the change in other characteristics).

54

出典：NIST Big Data interoperability Framework Version 1.0 Working Drafts. (2015年4月)


�V1草案の構成

55

表題内容

M0392: Draft SP 15001 Volume 1: Definitions 定義

M0393: Draft SP 15002 Volume 2: Taxonomies 分類

M0394: Draft SP 15003 Volume 3: Use Case & Requirements ユースケースと要求事項

M0395: Draft SP 15004 Volume 4: Security and Privacy セキュリティとプライバシー

M0396: Draft SP 15005 Volume 5: Architectures White

Paper Surveyアーキテクチャ白書調査

M0397: Draft SP 15006 Volume 6: Reference Architecture レファレンスアーキテクチャ

M0398: Draft SP 15007 Volume 7: Standards Roadmap 標準規格ロードマップ


�NISTビッグデータ・リファレンス・アーキテクチャの全体像

56

出典：NIST Big Data interoperability Framework Version 1.0 Working Drafts. (2015年4月)

IoT IoT


�ビッグデータのセキュリティ／プライバシーにおける十大脅威

57

出典：Cloud Security Alliance Big Data Working Group「Expanded Top 10 Big Data Security and Privacy Challenges」（2013年4月）を基に、日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成（2014年5月）

4-2. ビッグデータを保護する階層型セキュリティ事例Hadoopのリアルタイムセキュリティ監視／分析（1）

�企業におけるHadoop利用の拡大とビッグデータのリスク

58

出典：Cloud Security Alliance Big Data Working Group「Big Data Analytics for Security Intelligence」（2013年9月）


�（参考）Hadoop 1.0 Stack＊Hadoop自体は、バッチ処理が基本

59

出典：Cloud Security Alliance Big Data Working Group「Big Data Taxonomy」（2014年9月）


�ビッグデータ＋IoTで複雑化するデータの種類と速度が企業にもたらすリスクとは？

60


�クラウド環境で稼働するHadoopクラスタのセキュリティ監視／分析をリアルタイムで行う際の留意点

61

留意項目具体的な例 NISTフレームワーク

での役割／ロール

パブリッククラウドのセキュリティ

クラウドのエコシステムを構成するサーバー、ストレージ、ネットワークのセキュリティ

ビッグデータ・フレームワーク・プロバイダー

Hadoop クラ

スタのセキュリティ

ノードのセキュリティ、ノードの相互接続、ノードの保存データのセキュリティ

ビッグデータ・フレームワーク・プロバイダー

モニタリングアプリケーションのセキュリティ

モニタリングする相互関係のルール、セキュアコーディング

ビッグデータ・アプリケーション・プロバイダー

データの入力ソースのセキュリティ

ソース（デバイス、センサーなど）からのデータ収集のセキュア化、アクセスログ／メタデータの生成／管理、アクセス権限のルール

データ・プロバイダー


�HadoopクラスタにおけるMapperのセキュリティ脅威

62

ケース脅威（例）

Workerノードの誤

作動による計算処理

分散処理でMapperに割り当てられたWorkerノードが不正

確な構成や障害ノードにより、誤作動を起こす可能性がある。また、Workerが修正されて、ユーザーの機密データが漏えいする可能性がある。

インフラストラクチャ攻撃

危険にさらされたWorkerノードは、他のWorkerと再生を目的とするMasterや中間者、MapReduceの処理に対するDoS攻撃との間の通信を傍受する可能性がある。

偽のデータノード偽のデータノードがクラスタに追加されて、その後、複製されたデータを受信したり、変更されたMapReduceコードを配布したりする可能性がある。


�HadoopクラスタにおけるMapperのセキュリティ対策

�並列分散処理のプロセス全体におけるMapperの信頼性を保証する

�強制アクセス制御（MAC：Mandatory access control）を利用し、セキュリティポリシーに基づき認証されたファイルへのアクセスを保証する

�Mapper出力からの情報漏えいによるプライバシー／個人情報保護違反を防止するために、データ匿名化技術の機能を強化する

63

MACやデータ匿名化技術の負荷が、処理のパフォーマンスに影響を及ぼす可能性がある


�Hadoop向けのリアルタイムセキュリティ監視／分析ツール

�Hadoop自体にはツールが組み込まれていない

�各ベンダー／プロバイダーが提供するツールの導入

�Hadoopの要求をモニタリングする機能を持ったフロントエンドシステムの導入

�Hadoopは元々バッチ処理をベースとして開発された技術⇒リアルタイム化のための対応手段が必要

�米国NIST「セキュリティ設定共通化手順（SCAP）」（前述）

�リアルタイム分散処理システム「Apache Storm」

�メッセージングシステム「Apache Kafka」など

64


�今後の課題：「Hadoop 2.0」、「Apache Spark」への対応

�インフラ／プラットフォーム寄りからの標準化されたセキュリティ対策への期待

65

出典：Cloud Security Alliance Big Data Working Group「Big Data Taxonomy」（2014年9月）

4-3. ビッグデータとIoTの融合とセキュリティ対策（1）

�ビッグデータとIoTの融合に向けた仕組みづくり

�米国もEUも、個人データ保護／サイバーセキュリティ強化政策と同時並行で、ビッグデータやIoTによるイノベーション創出・事業化の促進政策を実施している

�欧米の企業、官公庁・自治体とも、CIO／IT部門のミッションに、IT利活用によるイノベーション創出・事業化支援を加えており、ビッグデータやIoTはそのドライバーとして期待されている

�ビッグデータ／IoTを取り巻くセキュリティ課題の理解を促進するともに、新技術を導入する先進的な企業向けに、セキュリティコントロールの推奨事項やユースケース例を提供することを目的として、標準化／ガイドライン策定への取組が行われている

66

4-3. ビッグデータとIoTの融合とセキュリティ対策（2）

�IoT保護アーキテクチャの構成要素

67

出典：Cloud Security Alliance Mobile Working Group「New Security Guidance for Early Adopters of the IoT」（2015年4月）

4. まとめ／Q&A

68

�マイナンバー法／個人情報保護改正の次には、喫緊の経営課題として、サイバーセキュリティ対策が控えている

�リスクベースアプローチとICTサプライチェーンに基づくセキュリティ管理の時代に入った

�プライバシー／個人情報の捉え方に関して、米国やEUは日本よりも範囲が広いので、注意が必要

�CIO／IT部門のミッションにイノベーションが加わり、攻めのセキュリティ対策が求められる

�ビッグデータ／IoTを睨んだインフラセキュリティが鍵

20150717_情報漏洩, マイナンバー,...

Technology

Transcript of 20150717_情報漏洩, マイナンバー,...