情報処理安全確保支援士
先日「情報処理安全確保支援士」の第一回が行われました。出題形式は「セキュリティスペシャリスト」と変わりませんが、その内容はかなり技術よりにシフトしたようです。問題を解いていると、攻撃者の視点での想像力をためされているようにも思えました。
組織内におけるセキュリティ諸問題は「情報セキュリティマネジメント」試験に寄せる、そういうことなのでしょうか。出題が技術よりに振れたことで、過去問を解くだけで攻撃手法をより具体的にイメージできるようになりました。いわゆる技術者にとっては合格しやすくなったと言っていいかもしれません。
「ネットワークスペシャリスト」の問題と似た内容となった今回の午後１の問１。セキュリティ技術は、その性格上包括的な知識を求められるはずで、そういった意味でも益々今後が楽しみになってきました。
ご無沙汰しています
ずいぶんと長いこと ほったらかし にしていました。その間仕事の内容も色々と変わり落ち着かない時期が続いていたもので。「落ち着かない」と言ったのは社会的なことで、個人的にはとても落ち着いて好きなことをやっていた時間でした。
改めて社会的に情報セキュリティ関係の役割を得ることになったので、このブログも少しは更新していきたいと考えています。
OECD以降の前に 不信の功罪？
OECDの勧告以降をまとめる作業をしていますが、進行が亀状態でなかなか大変です。調査分析や背景を調べる作業は進めていますので、遠くないうちにまとめていきたいと思っています。
現状で気になっている事などもメモがてら書いていきたいなという事で、多少なりとも更新していきたいと思います。
個人のプライバシーを、組織管理や利便性、効率の面から軽視していると思われるサービスはまだまだ多く見られるし、堂々と「軽視してるわけではない」、と言い切る人もいます。
たとえばぼくは facebook のアプリ使用を現在全てやめているし、当面その考えを変えるつもりはありません。これは使用した事で面倒な経験をしたからです。
プライバシーへの配慮が見えないサービスは、その事を不愉快に思うユーザーを、IT 、ICTサービスそのものから遠ざけていきます。機会を損失する土台を積極的に固めているように見えます。
その社会的損失の責任を考えることもなく、逆にプライバシーを適切に、と訴える人達に社会的損失を叫んでいるという奇妙な現在です。
サービス提供者を、既にプライバシーの面からまったく信用していない、そんなユーザーが沢山いて日々増えている事を実感してほしいものです。プライバシー情報を商売の種と思うならば、最大限にプライバシーを尊重したシステム作りをしてほしいものですが。。
プライバシー情報は個々人にとってインテリジェンスです。だからちょっとでも違和感を感じたり、嫌な思いをすると、人々は、とくにコミュニケーションサービスから離れてしまう。ぼくの周りでは男女問わず、SNSに積極的ではない人のほうが多いです。その理由はネット上のコミュニケーションが煩わしかったり、それ以上にプライバシーを問題にしています。
そういう人を出来うる限り増やさないでいただきたいと思うのです。そのサービスを享受する分母の減少は、結局自分の首を締めるし、自分のみならず丁寧なサービスを行っているほうにまで及んでいきます。新たなサービスを生むこれ以上の弊害はないのではないかと思うのです。
自治体や国の政策などもネットサービス化する難しさは日に日に増しているのではないでしょうか。IT、ICTサービスを使えない人ではなくて、使わない人を増やしている。
人との信頼関係では「建設は死闘、破壊は一瞬」などと昔からいわれます。既にIT、ICTサービス全般、そしてネットの信頼はかなり失われています。ここまでに気持ちが離れてしまった人達が戻ることは、そうないように思えるし、もうそういう人をこれ以上増やさないようにしていきましょうよ。
プライバシー その他の考慮点
OECDの勧告から英米法、大陸法とそれぞれそれぞれネット社会を形作る立法化を進めていくこととなります。そして日本も。この先を確認する前に「プライバシー」を考えていく上でそこに関わる法律を確認していきたいと思います。
・肖像権
この権利は、まだまだ議論はあるけれど人格権の上にのっていると考えられる権利。被写体が対象となることから画像、映像コンテンツではもっとも大事な「プライバシー権」だとも考えられます。
「写真や絵画、動画についてみだりに写し取られたり、公表されたりされない権利」
肖像権利はもう一つ肖像が生む財産的権利があります。「パブリシティ権」などと呼ばれ、有名人の肖像が生む財産的な価値に対してのものです。
二つの性格はあるものの、ネット上では「写真」「映像」「似顔絵」などが対象となることを考えると、プライバシーの権利を考える時に、同時に考えるべきものであることは間違いないでしょう。
・著作権
著作権は著作物に対して与えられる権利で、財産権の一種であると考えられます。必要以上にプライバシー権として考慮する必要はないかもしれないけれど、無視する事は出来ません。
その理由としては「情報は誰のものか？」というのがネット上で著作権を考えると行きつく先になるからです。「情報は誰のものか？」の「情報」の中には個人の情報が含まれるので、プライバシーの立場では「自分の情報は誰のものか？」という事になります。さらに「どこまでが守るべき自分の情報なのか？」という話にもなります。
著作権にももう一つの性格があり、著作者人格権と呼ばれ、財産権のほうは譲渡可能なものであり、こちらは譲渡不可能なものを指しています。
「言論」「創作」「広告」「宣伝」「報道」など個人の人格形成及び、民主制の基本となる権利です。プライバシーの立場からは特に「個人の人格形成」を考慮する際に、表現の自由は切り離す事が出来ない権利となります。よく自己実現とか言われたりするのは、人は「アイデンティティを形成していく」ものであるということを表しています。
表現の自由を考える時に派生する権利として「知る権利」もあげられます。「消極的自由」などとも呼ばれる権利で、自分が所属する国家、企業、団体の情報を個人は知る権利を持っている、という考えです。
これらの権利がプライバシーと無関係でないこと。そして星社会化によって新たな局面を向かえていることが見えてきます。情報セキュリティが「情報を守る」のであれば、「情報が誰のもの」か分からなければ、誰にはオープンにして、誰にはクローズするという判断などつくはずがありません。情報流出時の多くの混乱はこの辺りの不明瞭性が原因であることが少なくないはずです。
「誰の何を何から守るのか」「何故まもらなければいけないのか」こんな事が一般認知されていかないと、日夜汗をかいているセキュリティ技術者も浮かばれない、と考えております。
プライバシー ＯＥＣＤの勧告６
簡単にここまでをまとめると、50年以降各国でプライバシー権（個人の権利）に対する議論が深まってきた中で、デジタル情報としての個人情報がHDやFDに保存されるようになり、さらには国境をこえてネットワーク上に流通するようになりました。特に欧州の状況を石井先生は以下のように書いています。
特にヨーロッパの法律には、個人データの国外処理を制限する条項を設けているものが多く存在した。そのような制限事項は、自国民のプライバシー保護には役立つが、諸国間の情報の自由な流れを妨げるという効果を持っていた。
このことは全地球的規模の通信ネットワークを保持し、ヨーロッパの市場を圧巻してきたアメリカにとって、経済的に大きな脅威となった。その結果、アメリカとヨーロッパで、利害が対立するようになった。
1980年、OECD（経済協力開発機構）が「プライバシ保護と個人データの流通についてのガイドライン（OECDプライバシーガイドライン）」が採択されました。その中には８つの原則が示されていて、その後の各国の「個人情報保護法」に影響を与えていくことになります。以下が8原則となります。
以下は石井先生の「個人情報保護法の理念と現代的課題」より引用させていただきます。
１．収集制限の原則
個人データの収集には制限を設けるべきであり、いかなる個人データも適法かつ公正な手段によって、かつ適当な場合には、データ主体に知らしめ又は同意を得たうえで、収集されるべきである。
２．データ内容の原則
個人データは、その利用目的に沿ったものであるべきであり、かつ利用目的に必要な範囲内で正確、完全であり最新なものに保たれなければならない。
３．目的明確化の原則
個人データの収集目的は、収集時よりも遅くない時点において明確化されなければならず、その後のデータの利用は、当該収集目的の達成、または、当該州目的に矛盾せず、かつ、目的の変更毎に明確化された他の目的の達成に限定されるべきである。
４．利用制限の原則
個人データは、「目的明確化の原則」により明確化された目的以外のために、提供、利用、その他の使用に供されるべきではないが、次の場合はこの限りではない。
A）データ主体の同意がある場合
B）法律の規定による場合
５．安全保護の原則
個人データは、その紛失または無制限のアクセス・破壊・使用・修正・提供等の危険に対し、適切な安全保護措置により保護されなければならない。
６．公開の原則
個人データに係わる発展、運用及び政策については、一般的な公開の政策が取られなければならない。個人データの存在、性質、及びその主要な利用目的とともにデータ管理者の識別、通常の住所をはっきりさせるための手段が容易に利用できなければならない。
７．個人参加の原則
個人は次の権利を有する
A）データ管理者が自己に関するデータを有しているか否かについて、データ管理者またはその他の者から確認を得ること。
B）自己に関するデータを「適切な期間内に」、「もし必要なら角にならない費用で」、「適切な方法で」、かつ「自己に分かりやすい形で」、自己にしらしめられること。
C）上記A）項及びB）項に基づく要求が拒否された場合には、その理由が与えられること、及び、そのような拒否に対して異議を申し立てることができること、かつ、
D）自己に関するdケー田に対して異議を申し立てること、及び、その意義が認められた場合には、そのデータを消去、修正、完全化、補正させること。８．責任の原則
データ管理者は、上記の諸原則を実施するための措置に従う責任を有する。
情報システム上で、「プライバシー情報」はこのように管理され、流通されるべきである、というこの勧告は、確認しても違和感がないどころか、大変によく練られている内容と感じます。さらにOECDは加盟国に対して以下の要請を行いました。
１．ガイドラインにおいて示された原則を、濃くないようにおいて考慮すること
２．プライバシー保護の名目で個人データの国際的流通を不当に阻害しないこと
３．ガイドラインの履行について橋梁すること
引き続き具体的に確認していきたいと思うんですが、プライバシー保護のソリューションということで、21世紀に入る手前あたりから、データマイニングのグループが活動を活発にしていて、「プライバシー保護データマイニング」というテーマを扱っています。
現在大手のベンダーでも個人情報の扱いに関して、データベース上でこのように扱います、というテーブル設計のガイドラインを自社で持っているところもあります。さらにはそのデータをどう自動処理するのかという、アルゴリズムに関しても議論は既に10年以上続けられ成果としてまとめられはじめています。
情報システムにおける「プライバシー保護」のほとんどの部分は、その基盤技術となるのが「情報セキュリティ技術」です。ゆくゆくの監査は、テーブル構造を含むデータの持ちかた、と、自動処理をどう実装しているのか、というアルゴリズムに踏み込んでいく必要があるのだろうな、と今は漠然と思っています。
※参考==============================
個人情報保護法の理念と現代的課題―プライバシー権の歴史と国際的視点 石井 夏生利 (著) 勁草書房 (2008/5/26)
プライバシー保護データマイニング J. ヴァイダヤ (著), Y.M. ズー (著), C.W. クリフトン (著), シュプリンガージャパン (2010/12)
プライバシー ＯＥＣＤの勧告５
ここまでほとんど触れていない話で、とても重要だと考えていることがあります。それは「秘密結社」について、ともう一つが「諜報活動」についてです。両者とも「プライバシー」という言葉が登場する１４世紀、１５世紀に登場しているキーワードです。今のところはまだ、一般消費者からすると非日常感があるので、これらの内容はとても面白いのですが、今の話の流れに取り込まず、他でまとめていきます。ただキーワードとしては出しておきたいと思います。
80年までの各国の法制状況を確認してみると、「イギリス」と「日本」がまだ出てきてないことに気がつきます。英は19世紀よりプライバシー判例を生み、W&Bの論文の論拠とされていた事は確認しました。1984年に「データ保護法」が制定されていますが、英は市民社会全体にプライバシー意識が早くから育っていたようです。法制化の遅れは、意識の遅れではないということです。
一方日本ですが、堀部先生が著書「現代のプライバシー」で、80年までの日本におけるプライバシー研究をまとめています。非常に時代性があり魅力のある内容となっているので、興味のある人はぜひ手に入れてください。ここでは堀部先生が紹介している流れを簡単に追わせていただきます。今読むと臨場感があり、時代の流れの中に著者が身を置いているのがよく分かります。僕の言葉で語るのは憚られるので、紹介されているものを並べます。
1935年：末延三次「英米法における秘密の保護（法学協会雑誌）」
1954年：河原蔲一郎「言論及び出版の自由（７章 プライバシーの権利）」
○戎能通孝
1955年：「人格権と権利侵害の類型化（法律時報）」
1956年：「新聞と人権（新聞の責任ー名誉棄損を中心として」
1959年：「プライバシー権とその保障」「プライバシーの法理ー官憲とマス・メディアの侵害を中心に」
→ 「宴のあと」裁判
1963年：伊藤正巳「プライバシーの権利」
1969年：産業構造審議会「情報処理及び情報産業の発展のための施策に関する答申」
1972年；坂本昌成「憲法とプライバシー」
1976年：奥平康弘「憲法上のプライバシーの権利についての一考察」
1976年：小林直樹「現代基本権の展開」
1978年：橋本公亘「プライバシーの権利」
70年代になると、憲法的なプライバシーの権利に関する議論は、アメリカのそれに影響されて活況を呈するが、不法行為法的なプライバシー権についても、60年代に続いて論議が細々とながら交わされていた。しかし、我が国では、プライバシーに関する意識が高まったわりには、起訴でその侵害を争う事案が少なく、不法行為法上の救済をどのようにするかについては、必ずしも論議は深まらなかったように思われる。
「情報化三原則」と「国民総背番号制」の話などが次に続いていくのですが、一旦上記の文章が書かれて締められます。結局、日本はOECDの勧告を受けて1988年に「行政機関の保有する電子計算機処理に関わる個人情報の保護に関する法律」として成立、90年に全面施行されるのが最初の法制化となります。
こう見てくると日本の特徴は、50年、60年代にプライバシー論議ははじまっていたし、一定の盛り上がりがあったけれど、「起訴でその侵害を争う事案が少なかった」ことが法制度の遅れの理由と考えていいようです。プライバシーは個人の権利なので、個人が企業や国を訴える文化がなかったというか、必要なかったのかもしれません。
その「のんびり感」と言うか、「お人よし感」はまったく今の状況も同じじゃね？という感じがしてきます。国内に閉じた話であればそれもよいのかもしれないけれど、閉じてないですからね。
※参考==============================
電子ネットワークと個人情報保護―オンラインプライバシー法入門 岡村久道 新保史生 （共著） 経済産業調査会 (2002/10)
現代のプライバシー 堀部 政男 (著) 岩波新書 (1980年)
プライバシー ＯＥＣＤの勧告４
50年代から80年OECD8原則までの、時代的な背景を出来ごとで追う作業をしてみました。幾つか象徴的なことがあると思います。
・人類が宇宙に飛び出したこと
・植民地から独立する国が増えた
・東西冷戦
・南米、アジア、アフリカなどが歴史的にスポットを浴び始める
・文化、芸術、スポーツの星化
・交通網の発達（特に飛行機）
・電話、そしてデータ通信
・HDやフロッピーなど情報を保存するようになる
・CPUの進化
・OS、そしてプログラム言語の進化
・パーソナルコンピュータの登場
・OECDの星社会推進
・個人情報の流通
20世紀中盤以降、欧米そして日本では劇的に時代が動いていたことをあらためて実感します。その中にあって国境をこえた「星化」と個人に焦点があたっていく、マクロ化とミクロ化が同時に進行していく流れは、経済をはじめ、あらゆる業界でみられることです。マクロを見ることがミクロに焦点をあて、ミクロを見ることでマクロが浮かび上がってくる。
OECDは76年に「多国籍企業と国家政策のガイドライン」を発表し、80年には「国境を超えたデータフローに関するガイドライン」を出しています。70年中盤から着実に星化に向けての歩みを進めているのが確認出来ます。ではOECDの8原則が勧告される以前に「個人情報保護」に関わる法律の制定が各国でどのような状況であったかをまとめておきます。
【ドイツ】
先に見たようにドイツではヘッセン州が69年に世界初の個人情報保護法の制定を行っています。その後連邦政府として、1978年に制定されることとなります。
【スウェーデン】
1973年、世界初の国家法として「データ法」が制定。
【デンマーク】
1978年、民間と公部門、それぞれ二つの法律が制定、施行。「データ処理登録法」
【フランス】
1977年「データ処理、データファイルおよび個人の自由に関する法律」
【オーストリア】
1978年「個人データ保護法」
【ニュージーランド】
1976年。
【カナダ】
1977年。
【ノルウェー】
1978年。
【アメリカ】
アメリカに関しては先にあげた岡村先生と新保先生の著書から引用させていただきます。
米国における個人情報保護制度は、1966年の情報自由法の制定によって連邦政府に対する規制を行い、民間部門については自由な情報流通の確保を前提として上で、個別分野毎にプライバシー保護を目的とした法律を制定するセクトラル方式による保護法制が整備されている。
これは74年の「プライバシー法」とその前の「情報自由法」との関係を立法方式と合わせて解説されている部分です。
1974年、アメリカの「プライバシー法」をもう少し見ておきます。プライバシーの権利を調べ始めて日本における論文や著作を調査してますが、1980年の堀部政男先生が書いた「現代のプライバシー」は、後追いしている立場で見ると感動的なタイミングと内容になっています。この著書がなければただでも遅れている日本のプライバシー意識は、どこまで遅れることになったんだろうか、と大げさでなく感じます。
アメリカのプライバシー法はこの著書を参考に流れを追ってみます。
１．個人情報のコンピュータ構想
65年に「ラッグルズ報告書」という、それまで個々の連邦機関に分散していた個人記録を全国データセンターを設立して、単一の統計センターを作る構想を出す。
２．市民社会の反対
68年、下院の政府活動委員会が以下の勧告を出す。
プライバシーの保護が十分に探究され、またその者の個人情報がその情報の起訴を形成するような市民に対し、最大限可能な保障が与えられるまでは、全国データ・バンクを設立作業は行われてはいけない
そして「データバンク構想」は中断することとなります。
３．連邦保険教育福祉省長官の諮問委員会の報告書
73年に出された報告書「記録、コンピュータおよび市民の権利」
→ 「構成情報業務コード」の制定
４．自動個人データシステムに対する「保護措置要件」５つの基本原則（法的効力有）の発表
・個人情報記録保管システムであり、その存在が秘密であってはならない
・個人は自己の情報がどのような記録の中にあり、それがどのように使用されているか知る権利をもつ
・個人は自己の情報がその承諾なしに他の目的のために使用されたり提供されないよう阻止する方法を与えられている必要がある。
・個人は自己に関する識別可能な情報の記録を訂正し、または修正する方法を与えられていなければいけない。
・識別可能な個人データの記録を、設置し、保有し、利用し、または提供する組織はその本来の目的のためにデータの信頼性を確保し、また、そのデータの誤用を防止するために相当な予防措置を講じなければならない
５．1974年 プライバシー法
制定。
OECD勧告以前の状況を確認してきました。後一つ日本の状況を少しまとめてから状況確認は終わりにして、8原則の内容を見ていくつもりです。
※参考==============================
電子ネットワークと個人情報保護―オンラインプライバシー法入門 岡村久道 新保史生 （共著） 経済産業調査会 (2002/10)
現代のプライバシー 堀部 政男 (著) 岩波新書 (1980年)
