Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
情報漏洩、マイナンバー、
ビッグデータ/IoTセキュリティ対応を見据えた
これからのセキュリティ対策のポイント
2015年7月17日
博士(医薬学) 笹原英司
米国クラウドセキュリティアライアンス
ビッグデータワーキンググループ/モバイルワーキ...
AGENDA
1. 海外の情報漏洩事案に学ぶ
サイバーセキュリティと個人情報保護の課題
2. マイナンバー法改正が企業に及ぼす
インパクト
3. 個人情報保護法改正が企業に及ぼす
インパクト
4. ビッグデータ/IoTセキュリティ対策のポイント...
1. 海外の情報漏洩事案に学ぶ
サイバーセキュリティと個人情報保護の課題
3
1-1. サイバーセキュリティとは何か
1-2. 米国の情報漏洩事例に見る
サイバーセキュリティと個人情報保護の課題
1-2-1. 米国の病院チェーン(NYSE上場企...
1-1. サイバーセキュリティとは何か (1)
米国国立標準技術研究所(NIST)
「重要インフラのサイバーセキュリティを向上させるた
めのフレームワーク 1.0版(原題:Framework for
Improving Critical Inf...
1-1. サイバーセキュリティとは何か (2)
米国のサイバーセキュリティフレームワークの捉え方
フレームワークコア
5
出典:NIST 「Framework for Improving Critical Infrastructure Cybe...
1-1. サイバーセキュリティとは何か (3)
サイバーセキュリティフレームワークの仕組みと運用
フレームワークインプレメンテーション
6
出典:NIST 「Framework for Improving Critical Infrastruc...
1-1. サイバーセキュリティとは何か (4)
サイバーセキュリティフレームワークに組み込まれた
プライバシー/個人情報保護対策
サイバーセキュリティインシデントに関連する個人情報を含む資
料を収集、開示、保持する際には、データを最小限に抑える...
1-1. サイバーセキュリティとは何か (5)
米国NIST セキュリティ設定共通化手順
(SCAP:Security Content Automation Protocol)
(http://scap.nist.gov/)
複雑化するリアルタ...
1-1. サイバーセキュリティとは何か (6)
SCAPの標準仕様
共通脆弱性識別子(CVE):脆弱性の識別
共通セキュリティ設定一覧(CCE):セキュリティ設定の識別
共通プラットフォーム一覧(CPE):製品の識別
共通脆弱性評価システム(C...
1-2. 米国の情報漏洩事例に見る
サイバーセキュリティと個人情報保護の課題
「Update: Top 5 Health Data Breaches」
Healthcare Info Security(2015年2月5日)より
10
企業・団体...
1-2-1. 米国の病院チェーン(NYSE上場企業)
Community Health Systemsのケース(2014年8月)(1)
2014年8月、不正アクセスにより、患者約450万人の個人情
報が流出した可能性があることを公表
オープンソ...
1-2-1. 米国の病院チェーン(NYSE上場企業)
Community Health Systemsのケース(2014年8月)(2)
海外からのサイバー攻撃が発端となった
テロ対策を所管する国土安全保障省(DHS)の調査
サイバー犯罪を所管す...
1-2-1. 米国の病院チェーン(NYSE上場企業)
Community Health Systemsのケース(2014年8月)(3)
(参考)情報セキュリティ/コンプライアンス責任者の経歴
Director, Security and Com...
1-2-2. 米国の医療保険者(NYSE上場企業)
Anthemのケース(2015年2月)(1)
ITシステムが海外からのサイバー攻撃を受け、顧客約8千万件
の情報流出被害が発生したことを公表
ニューヨーク証券取引所(NYSE)の上場企業である...
1-2-2. 米国の医療保険者(NYSE上場企業)
Anthemのケース(2015年2月)(2)
顧客の保護対象保健情報(PHI)が流出
HIPAAを所管する保健福祉省(HHS)への報告義務
過去にHIPAA違反で170万ドルの民事制裁金を科せ...
1-2-2. 米国の医療保険者(NYSE上場企業)
Anthemのケース(2015年2月)(3)
顧客らが損害賠償請求の集団訴訟を提起
連邦民事訴訟規則(FRCP)に基づく電子証拠開示(eディスカ
バリー)への対応
漏洩後、顧客を標的にしたフィ...
1-2-2. 米国の医療保険者(NYSE上場企業)
Anthemのケース(2015年2月)(4)
(参考)情報セキュリティ/コンプライアンス責任者の経歴
Vice President, IT Security & Chief Informati...
2. マイナンバー法改正が
企業経営に及ぼすインパクト
18
2-1. マイナンバー制度の概要
2-2. マイナンバー法改正案の概要
2-3. 海外事例から考える
マイナンバーとサイバーセキュリティ対策
~共通番号導入で先行するスウェーデン~
...
2-1. マイナンバー制度の概要(1)
*本資料は、2015年7月10日時点の情報を元に作成しています。
最新情報の関連リソース
内閣官房社会保障改革担当室・
内閣府大臣官房番号制度担当室
「マイナンバー 社会保障・税番号制度について」
(ht...
2-1. マイナンバー制度の概要(2)
マイナンバーとは?(内閣官房資料より)
20
「民」の業務
「民」「官」の連携
「官」の業務
マイナンバー
2-1. マイナンバー制度の概要(3)
マイナンバーの個人情報保護措置(内閣官房資料より)
21
仕組み
運用
2-1. マイナンバー制度の概要(4)
マイナンバー導入チェックリスト(内閣官房資料より)
22
対策 チェック項目
担当者の明確
化と番号の取得
・マイナンバーを扱う人を、あらかじめ決めておきましょう(給料や社会保険料を扱っ
ている人など)。...
2-1. マイナンバー制度の概要(5)
特定個人情報保護委員会
「特定個人情報の適正な取扱いに関するガイドライン」
(2014年12月)(http://www.ppc.go.jp/legal/policy/)
23
用語 定義
個人情報 生存す...
2-1. マイナンバー制度の概要(6)
(続き)
24
用語 定義
個人情報
データベース
等
個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用い
て検索することができるように体系的に構成したもののほか、特定の個人情報を...
2-2. マイナンバー法改正案の概要(1)
マイナンバー法改正案のポイント
<マイナンバーの利用範囲の拡大等について>
25
ポイント 内容
預貯金口座へ
のマイナンバー
の付番
・預金保険機構等によるペイオフのための預貯金額の合算において、マ...
2-2. マイナンバー法改正案の概要(2)
マイナンバー法改正案のポイント
<特定個人情報保護委員会の改組について>
26
所管事務 内容
マイナン
バーについ
て(現状)
・適正な取扱いの確保のための監視・監督
・特定個人情報保護評価
・保護...
2-3. 海外事例から考える
マイナンバーとサイバーセキュリティ対策
共通番号導入で先行するスウェーデン(1)
スウェーデンの「フォルクヘメット(Folkhemmet)」
国民の家(1930年代に打ち出された理念)
国家は家族のように組織化され...
2-3. 海外事例から考える
マイナンバーとサイバーセキュリティ対策
共通番号導入で先行するスウェーデン(2)
共通番号のメリットを生かした
スウェーデンのオープンガバメント施策
28
・Opengov.se
スウェーデン政府統一の
オープンデ...
2-3. 海外事例から考える
マイナンバーとサイバーセキュリティ対策
共通番号導入で先行するスウェーデン(3)
スウェーデンの個人認証番号保護対策
データ検査委員会(The Data Inspection Board)
1973年に創設された独...
2-3. 海外事例から考える
マイナンバーとサイバーセキュリティ対策
共通番号導入で先行するスウェーデン(4)
スウェーデンのサイバーセキュリティ対策
サイバーセキュリティに特化した法律は未制定
*EUレベルでは、欧州ネットワーク情報セキュリテ...
2-4. マイナンバー制度が情報セキュリティの仕組みと
運用に及ぼすインパクト
情報セキュリティマネジメントシステム規格
「ISO/IEC 27001:2013」の観点から
【仕組み】リスクマネジメントシステム規格「ISO 31000/JIS ...
3. 個人情報保護法改正が企業経営に及ぼす
インパクト
32
3-1. 個人情報保護法の特別法としての
マイナンバー法に基づく個人情報管理
3-2. 個人情報保護法改正案の概要
3-3. 海外事例から考える個人情報保護と
サイバーセキュリティ対...
3-1. 個人情報保護法の特別法としての
マイナンバー法に基づく個人情報管理(1)
「特定個人情報の適正な取扱いに関するガイドライン」
(2014年12月)(http://www.ppc.go.jp/legal/policy/)
特定個人情報に...
3-1. 個人情報保護法の特別法としての
マイナンバー法に基づく個人情報管理(2)
特定個人情報に関する安全管理措置(続き2)
34
措置 内容
基本方針の策
定
・特定個人情報等の適正な取扱いの確保について組織として取り組むために、基
本方針...
3-1. 個人情報保護法の特別法としての
マイナンバー法に基づく個人情報管理(3)
特定個人情報に関する安全管理措置(続き3)
35
措置 内容
組織的安全管理措置 ・組織体制の整備
・取扱規程等に基づく運用
・取扱状況を確認する手段の整備
・...
3-2. 個人情報保護法改正案の概要(1)
個人情報保護法改正案のポイント
36
ポイント 内容
個人情報の定義の明確
化
・個人情報の定義の明確化(身体的特徴等が該当)
・要配慮個人情報(いわゆる機微情報)に関する規定の整備
適切な規律の下で...
3-2. 個人情報保護法改正案の概要(2)
個人情報の定義の明確化
37
用語 定義
個人情報 ・生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
①生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日そ...
3-2. 個人情報保護法改正案の概要(3)
匿名加工情報の取扱
38
出典:内閣官房「パーソナルデータの利活用に関する制度改正に係る法律案の骨子(案)」(2014年12月)
3-2. 個人情報保護法改正案の概要(4)
個人情報の取扱のグローバル化
39
出典:内閣官房「パーソナルデータの利活用に関する制度改正に係る法律案の骨子(案)」(2014年12月)
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-1. 米国の最新動向(1)
米国の個人データの捉え方
出典:米国プライバシー権利章典(2012年)
プライバシー権利章典は、個人データの商業利用に適
用される。この用...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-1. 米国の最新動向(2)
米国の個人データ保護/ビッグデータ/IoT動向(1)
41
年月 機関名 内容
2012年2月 大統領行政府
「ネットワーク世界における消...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-1. 米国の最新動向(3)
米国の個人データ保護/ビッグデータ/IoT動向(2)
42
年月 機関名 内容
2014年8月 NIST
IoTに関連してNISTサイバー...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-1. 米国の最新動向(4)
FTCの非個人識別情報(Non-PII)3要件
(個人情報保護法改正案の「匿名加工情報」との対比)
事業者はそのデータの非識別化を確保する...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-2. EUの最新動向(1)
EUの個人データの捉え方
(出典:EUデータ保護規則提案、2015年6月)
「個人データ」とは、あるデータ主体に関する全ての情
報を意味す...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-2. EUの最新動向(2)
EUの個人データ保護/ビッグデータ/IoT動向(1)
45
年月 機関名 内容
2009年6月 欧州委員会 RFIDから医療、環境・エネル...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-2. EUの最新動向(3)
EUの個人データ保護/ビッグデータ/IoT動向(2)
46
年月 機関名 内容
2015年1月 欧州委員会 2015年欧州データ保護デーを...
3-3. 海外事例から考える
個人情報保護とサイバーセキュリティ対策
3-3-2. EUの最新動向(4)
EUデータ保護規則提案(2015年6月)のポイント
(個人情報保護法改正案の個人情報の取扱のグローバル化)
EU全域に適用される単一の法規...
3-4. 海外事例に見るCIO/IT部門の変化と
チーフデータオフィサーの役割の方向性(1)
IT組織の「I」は「Innovation」(米国行政機関の例)
Department of Innovation and Technology (Do...
3-4. 海外事例に見るCIO/IT部門の変化と
チーフデータオフィサーの役割の方向性(2)
データアドミニストレータの役割(米国行政機関の例)
49
データベースアドミニストレータ データアドミニストレータ
・データベース標準規格、ガイドライ...
3-4. 海外事例に見るCIO/IT部門の変化と
チーフデータオフィサーの役割の方向性(3)
チーフデータオフィサーの役割(米国行政機関の例)
エンタープライズデータ・分析室(OEDA)
2014年11月、新設された組織横断的部署
目的:高品質...
3-5. 個人情報保護法改正が情報セキュリティの
仕組みと運用に及ぼすインパクト
持続可能なリスクベースのコンプライアンス基盤が必要
51
リスクベースアプローチのコンプラアンス管理を
効率化するための共通基盤
データ
アドミニス
トレータ
セ...
4. ビッグデータ/IoTセキュリティ対策のポイント
52
4-1. NISTビッグデータ相互運用性フレームワーク
V1草案とセキュリティ/プライバシー対策
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキ...
4-1. NISTビッグデータ相互運用性フレームワーク
V1草案とセキュリティ/プライバシー対策(1)
ビッグデータの定義:
Big Data refers to the inability of traditional data
archit...
4-1. NISTビッグデータ相互運用性フレームワーク
V1草案とセキュリティ/プライバシー対策(2)
V1草案の構成
54
表題 内容
M0392: Draft SP 15001 Volume 1: Definitions 定義
M0393:...
4-1. NISTビッグデータ相互運用性フレームワーク
V1草案とセキュリティ/プライバシー対策(3)
NISTビッグデータ・リファレンス・アーキテクチャの全体像
55
出典:NIST Big Data interoperability Fra...
4-1. NISTビッグデータ相互運用性フレームワーク
V1草案とセキュリティ/プライバシー対策(4)
ビッグデータのセキュリティ/プライバシーにおける十大脅威
56
出典:Cloud Security Alliance Big Data Wo...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(1)
企業におけるHadoop利用の拡大とビッグデータのリスク
57
出典:Cloud Security Alliance Big Dat...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(2)
(参考)Hadoop 1.0 Stack
*Hadoop自体は、バッチ処理が基本
58
出典:Cloud Security Alli...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(3)
ビッグデータ+IoTで複雑化するデータの種類と速度が
企業にもたらすリスクとは?
59
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(4)
クラウド環境で稼働するHadoopクラスタのセキュリティ監視/
分析をリアルタイムで行う際の留意点
60
留意項目 具体的な例 NI...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(5)
HadoopクラスタにおけるMapperのセキュリティ脅威
61
ケース 脅威(例)
Workerノードの誤
作動による計算処
理
...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(6)
HadoopクラスタにおけるMapperのセキュリティ対策
並列分散処理のプロセス全体におけるMapperの信頼性を
保証する
強制...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(7)
Hadoop向けのリアルタイムセキュリティ監視/分析ツール
Hadoop自体にはツールが組み込まれていない
各ベンダー/プロバイダー...
4-2. ビッグデータを保護する階層型セキュリティ事例
Hadoopのリアルタイムセキュリティ監視/分析(8)
今後の課題:「Hadoop 2.0」、「Apache Spark」への対応
インフラ/プラットフォーム寄りからの標準化された
セキュ...
4-3. ビッグデータとIoTの融合とセキュリティ対策(1)
ビッグデータとIoTの融合に向けた仕組みづくり
米国もEUも、個人データ保護/サイバーセキュリティ強
化政策と同時並行で、ビッグデータやIoTによるイノベーシ
ョン創出・事業化の促進...
4-3. ビッグデータとIoTの融合とセキュリティ対策(2)
IoT保護アーキテクチャの構成要素
66
出典:Cloud Security Alliance Mobile Working Group「New Security Guidance ...
4. まとめ/Q&A
67
マイナンバー法/個人情報保護改正の次には、喫
緊の経営課題として、サイバーセキュリティ対策が控
えている
リスクベースアプローチとICTサプライチェーンに基
づくセキュリティ管理の時代に入った
プライバシー/個人情報...
Upcoming SlideShare
Loading in …5
×

情報漏洩、マイナンバー、 ビッグデータ/IoTセキュリティ対応を見据えた これからのセキュリティ対策のポイント

1. 海外の情報漏洩事案に学ぶ サイバーセキュリティと個人情報保護の課題
2. マイナンバー法改正が企業に及ぼす インパクト
3. 個人情報保護法改正が企業に及ぼす インパクト
4. ビッグデータ/IoTセキュリティ対策のポイント
5. まとめ/Q&A

  • Be the first to comment

情報漏洩、マイナンバー、 ビッグデータ/IoTセキュリティ対応を見据えた これからのセキュリティ対策のポイント

  1. 1. 情報漏洩、マイナンバー、 ビッグデータ/IoTセキュリティ対応を見据えた これからのセキュリティ対策のポイント 2015年7月17日 博士(医薬学) 笹原英司 米国クラウドセキュリティアライアンス ビッグデータワーキンググループ/モバイルワーキンググループ 特定非営利活動法人ヘルスケアクラウド研究会 理事 在日米国商工会議所 ヘルスケアIT小委員会 委員長
  2. 2. AGENDA 1. 海外の情報漏洩事案に学ぶ サイバーセキュリティと個人情報保護の課題 2. マイナンバー法改正が企業に及ぼす インパクト 3. 個人情報保護法改正が企業に及ぼす インパクト 4. ビッグデータ/IoTセキュリティ対策のポイント 5. まとめ/Q&A 2
  3. 3. 1. 海外の情報漏洩事案に学ぶ サイバーセキュリティと個人情報保護の課題 3 1-1. サイバーセキュリティとは何か 1-2. 米国の情報漏洩事例に見る サイバーセキュリティと個人情報保護の課題 1-2-1. 米国の病院チェーン(NYSE上場企業) Community Health Systemsのケース(2014年8月) 1-2-2. 米国の医療保険者(NYSE上場企業) Anthemのケース(2015年2月)
  4. 4. 1-1. サイバーセキュリティとは何か (1) 米国国立標準技術研究所(NIST) 「重要インフラのサイバーセキュリティを向上させるた めのフレームワーク 1.0版(原題:Framework for Improving Critical Infrastructure Cybersecurity Version 1.0)」(2014年2月)より (https://www.ipa.go.jp/files/000038957.pdf) 「サイバーセキュリティ」 =攻撃を防止、検知し、攻撃に対応することに より情報を保護するプロセス 4
  5. 5. 1-1. サイバーセキュリティとは何か (2) 米国のサイバーセキュリティフレームワークの捉え方 フレームワークコア 5 出典:NIST 「Framework for Improving Critical Infrastructure Cybersecurity Version 1.0」(2014年2月)
  6. 6. 1-1. サイバーセキュリティとは何か (3) サイバーセキュリティフレームワークの仕組みと運用 フレームワークインプレメンテーション 6 出典:NIST 「Framework for Improving Critical Infrastructure Cybersecurity Version 1.0」(2014年2月) 仕組み 運用
  7. 7. 1-1. サイバーセキュリティとは何か (4) サイバーセキュリティフレームワークに組み込まれた プライバシー/個人情報保護対策 サイバーセキュリティインシデントに関連する個人情報を含む資 料を収集、開示、保持する際には、データを最小限に抑える サイバーセキュリティ対策のために収集された情報の、サイバー セキュリティ対策以外の目的での使用を制限する 特定のサイバーセキュリティ対策の透明性を確保する 個人情報をサイバーセキュリティ対策に使用することに関して、 個人の同意を得て、悪影響が及んだ場合の救済措置を用意する データの質、完全性、セキュリティを確保する 説明責任と監査が行われるようにする 7
  8. 8. 1-1. サイバーセキュリティとは何か (5) 米国NIST セキュリティ設定共通化手順 (SCAP:Security Content Automation Protocol) (http://scap.nist.gov/) 複雑化するリアルタイム・セキュリティ監視/分析向けのフレ ームワーク 「9・11事件」の教訓を基に、2002年に施行された政府省庁の 情報システムのセキュリティ強化を義務付ける「連邦情報セキ ュリティマネジメント法(FISMA)」を契機として、各省庁の様々 な法令・標準規格・ガイドライン類から共通のセキュリティ要求 事項を洗い出して整理 日本語訳~IPA「セキュリティ設定共通化手順SCAP概説」 (http://www.ipa.go.jp/security/vuln/SCAP.html) 8
  9. 9. 1-1. サイバーセキュリティとは何か (6) SCAPの標準仕様 共通脆弱性識別子(CVE):脆弱性の識別 共通セキュリティ設定一覧(CCE):セキュリティ設定の識別 共通プラットフォーム一覧(CPE):製品の識別 共通脆弱性評価システム(CVSS):脆弱性の深刻度の評価 セキュリティ設定チェックリスト記述形式(XCCDF):チェックリ ストを記述するための形式 セキュリティ検査言語(OVAL):脆弱性やセキュリティ設定を チェックするための言語リアルタイムなセキュリティ監視/分 析向けのフレームワーク 9
  10. 10. 1-2. 米国の情報漏洩事例に見る サイバーセキュリティと個人情報保護の課題 「Update: Top 5 Health Data Breaches」 Healthcare Info Security(2015年2月5日)より 10 企業・団体名 漏洩件数 漏洩の原因 漏洩した情報 外部委託 先関与 Anthem (医療保険者) 8,000万件 外部からのサイバー 攻撃 名前、誕生日、医療ID、社会保障番号、住 所、メールアドレス、雇用情報、収入データ なし TRICARE (政府機関) 490万件 外部委託先のバック アップテープ盗難 社会保障番号、名前、住所、電話番号、臨 床ノート、臨床検査、処方箋 あり Community Health Systems (医療機関) 450万件 外部からのサイバー 攻撃 名前、住所、誕生日、電話番号、社会保障 番号 なし Advocate Medical Group (医療機関) 403万件 暗号化していないPC の盗難 名前、住所、生年月日、社会保障番号、診 断、電子カルテ番号、医療サービスコード、 医療保険情報 なし Texas HHS (政府機関) 200万件 政府と元外部委託先 との訴訟中に漏洩 名前、誕生日、メディケイド番号・電子カル テ・レセプト、診断コード、レポート、写真 あり
  11. 11. 1-2-1. 米国の病院チェーン(NYSE上場企業) Community Health Systemsのケース(2014年8月)(1) 2014年8月、不正アクセスにより、患者約450万人の個人情 報が流出した可能性があることを公表 オープンソースのSSL/TLS実装ライブラリ「OpenSSL」の脆弱 性を突いた海外からのサイバー攻撃が発端となったことが 判明 ニューヨーク証券取引所(NYSE)の上場企業である 証券取引委員会(SEC):米国企業改革法(SOX)に基づき、 財務報告に係る情報開示や内部統制を義務付ける 11
  12. 12. 1-2-1. 米国の病院チェーン(NYSE上場企業) Community Health Systemsのケース(2014年8月)(2) 海外からのサイバー攻撃が発端となった テロ対策を所管する国土安全保障省(DHS)の調査 サイバー犯罪を所管する連邦捜査局(FBI) の調査 患者の保護対象保健情報(PHI)が流出 HIPAAを所管する保健福祉省(HHS)への報告義務 顧客らが損害賠償請求の集団訴訟を提起 連邦民事訴訟規則(FRCP)に基づく電子証拠開示(eディス カバリー)への対応 12
  13. 13. 1-2-1. 米国の病院チェーン(NYSE上場企業) Community Health Systemsのケース(2014年8月)(3) (参考)情報セキュリティ/コンプライアンス責任者の経歴 Director, Security and Compliance(事案発覚当時) Manager of Security Strategy and Compliance / Threat and Vulnerability Management Threat and Vulnerability Management team lead, and lead for the Computer Security Incident Response Team (CSIRT) U.S. Army Reserves IT Manager, Music Record Distributors (保有資格) CCNP、CCNA、MCSE NT 4.0、CWNA 13
  14. 14. 1-2-2. 米国の医療保険者(NYSE上場企業) Anthemのケース(2015年2月)(1) ITシステムが海外からのサイバー攻撃を受け、顧客約8千万件 の情報流出被害が発生したことを公表 ニューヨーク証券取引所(NYSE)の上場企業である 米証券取引委員会(SEC):米国企業改革法(SOX)に基づき、 財務報告に係る情報開示や内部統制を義務付ける 海外からのサイバー攻撃が発端となった テロ対策を所管する国土安全保障省(DHS)の調査 サイバー犯罪を所管する連邦捜査局(FBI)の調査 保険会社から顧客情報が流出した 金融機関を所管するニューヨーク州金融サービス局が州内 の全保険会社に対するサイバーセキュリティ検査を開始 14
  15. 15. 1-2-2. 米国の医療保険者(NYSE上場企業) Anthemのケース(2015年2月)(2) 顧客の保護対象保健情報(PHI)が流出 HIPAAを所管する保健福祉省(HHS)への報告義務 過去にHIPAA違反で170万ドルの民事制裁金を科せられたこ とがある(当時の社名はWellPoint) 暗号化していなかった保存データがサイバー攻撃を受けて 外部流出 HIPAAは、保存データの暗号化を規定しているが、完全な 強制ではない(暗号化の有無で制裁金の金額が変わる) 2015年より、ニュージャージー州が、保存データの暗号化 を義務化(Anthemは州内で事業を行っていない) *ニュージャージー州には、グローバル製薬・医療機器企業 の本社機能が集中している 15
  16. 16. 1-2-2. 米国の医療保険者(NYSE上場企業) Anthemのケース(2015年2月)(3) 顧客らが損害賠償請求の集団訴訟を提起 連邦民事訴訟規則(FRCP)に基づく電子証拠開示(eディスカ バリー)への対応 漏洩後、顧客を標的にしたフィッシング攻撃が発生 消費者保護を所管する連邦取引委員会(FTC)が注意喚起 *インシデントレスポンスで真相が分かるにつれて、コンプライ アンスのバリューチェーン全体に火が付く(ICTサプライチェーン 管理の不備が拍車をかける) 16 財務コンプラ イアンス ・US-SOX サイバーテロ 対策 ・パトリオット 法 医療コンプラ イアンス ・HIPAA 法務コンプラ イアンス ・eディスカバ リー
  17. 17. 1-2-2. 米国の医療保険者(NYSE上場企業) Anthemのケース(2015年2月)(4) (参考)情報セキュリティ/コンプライアンス責任者の経歴 Vice President, IT Security & Chief Information Security Officer (事案発覚当時) Board of Directors, The Health Information Trust Alliance (HITRUST)(事案発覚当時) Oversees IT risk management, cyber-investigations and ensures corporate compliance with federal and industry regulatory mandates that protect sensitive information. More than 30 years experience in developing and managing best-in-class physical, logical and information security programs for domestic and international business operation. (保有資格) CISSP-ISSAP, ISSMP, CIM 17
  18. 18. 2. マイナンバー法改正が 企業経営に及ぼすインパクト 18 2-1. マイナンバー制度の概要 2-2. マイナンバー法改正案の概要 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 ~共通番号導入で先行するスウェーデン~ 2-4. マイナンバー制度が情報セキュリティの 仕組みと運用に及ぼすインパクト
  19. 19. 2-1. マイナンバー制度の概要(1) *本資料は、2015年7月10日時点の情報を元に作成しています。 最新情報の関連リソース 内閣官房社会保障改革担当室・ 内閣府大臣官房番号制度担当室 「マイナンバー 社会保障・税番号制度について」 (http://www.cas.go.jp/jp/seisaku/bangoseido/) 総務省 「行政機関等が保有するパーソナルデータに関する研究会」 (http://www.soumu.go.jp/main_sosiki/kenkyu/gyousei_personal/index.html) 情報法制研究会 (事務局:一般財団法人 日本データ通信協会) (http://www.dekyo.or.jp/kenkyukai/) 19
  20. 20. 2-1. マイナンバー制度の概要(2) マイナンバーとは?(内閣官房資料より) 20 「民」の業務 「民」「官」の連携 「官」の業務 マイナンバー
  21. 21. 2-1. マイナンバー制度の概要(3) マイナンバーの個人情報保護措置(内閣官房資料より) 21 仕組み 運用
  22. 22. 2-1. マイナンバー制度の概要(4) マイナンバー導入チェックリスト(内閣官房資料より) 22 対策 チェック項目 担当者の明確 化と番号の取得 ・マイナンバーを扱う人を、あらかじめ決めておきましょう(給料や社会保険料を扱っ ている人など)。 ・マイナンバーを従業員から取得する際には、利用目的(「源泉徴収票作成」「健康 保険・厚生年金保険届出」「雇用保険届出」)を伝えましょう。 ・マイナンバーを従業員から取得する際には、番号が間違っていないかの確認と身 元の確認が必要です。 ①顔写真の付いている「個人番号カード」か、②10月から届くマイナンバーが書いて ある「通知カード」と「運転免許証」などで確認を行いましょう。 マイナンバーの 管理・保管 ・マイナンバーが記載された書類は、カギがかかる棚や引き出しに大切に保管する ようにしましょう。無理にパソコンを購入する必要はありません。 ・パソコンがインターネットに接続されている場合は、ウィルス対策ソフトを最新版に 更新するなどセキュリティ対策を行いましょう。 ・従業員の退職や契約の終了などでマイナンバーが必要なくなったら、細かく裁断 するなどマイナンバーの書いてある書類を廃棄しましょう。パソコンに入っているマ イナンバーも削除しましょう。
  23. 23. 2-1. マイナンバー制度の概要(5) 特定個人情報保護委員会 「特定個人情報の適正な取扱いに関するガイドライン」 (2014年12月)(http://www.ppc.go.jp/legal/policy/) 23 用語 定義 個人情報 生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他 の記述等により特定の個人を識別することができるもの(他の情報と容易に照合す ることができ、それにより特定の個人を識別することができることとなるものを含 む。)をいう。 個人番号 番号法第7条第1項又は第2項の規定により、住民票コードを変換して得られる番 号であって、当該住民票コードが記載された住民票に係る者を識別するために指 定されるものをいう。 特定個人情報 個人番号(個人番号に対応し、当該個人番号に代わって用いられる番号、記号そ の他の符号であって、住民票コード以外のものを含む。番号法第7条第1項及び第 2項、第8条並びに第67条並びに附則第3条第1項から第3項まで及び第5項を除 く。)をその内容に含む個人情報をいう。
  24. 24. 2-1. マイナンバー制度の概要(6) (続き) 24 用語 定義 個人情報 データベース 等 個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用い て検索することができるように体系的に構成したもののほか、特定の個人情報を容易 に検索することができるように体系的に構成したものとして「個人情報の保護に関する 法律施行令」(平成15年政令第507号。以下「個人情報保護法施行令」という。)で定め るものをいう。 個人情報ファ イル 個人情報データベース等であって、行政機関及び独立行政法人等以外の者が保有す るものをいう。 特定個人情 報ファイル 個人番号をその内容に含む個人情報ファイルをいう。 個人データ 個人情報データベース等を構成する個人情報をいう。 保有個人 データ 個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び 第三者への提供の停止を行うことのできる権限を有する個人データであって、その存 否が明らかになることにより公益その他の利益が害されるものとして個人情報保護法 施行令で定めるもの又は6か月以内に消去することとなるもの以外のものをいう。
  25. 25. 2-2. マイナンバー法改正案の概要(1) マイナンバー法改正案のポイント <マイナンバーの利用範囲の拡大等について> 25 ポイント 内容 預貯金口座へ のマイナンバー の付番 ・預金保険機構等によるペイオフのための預貯金額の合算において、マイナンバー の利用を可能とする。 ・金融機関に対する社会保障制度における資力調査や税務調査でマイナンバーが 付された預金情報を効率的に利用できるようにする。 医療等分野に おける利用範 囲の拡充等 ・健康保険組合等が行う被保険者の特定健康診査情報の管理等に、マイナンバー の利用を可能とする。 ・予防接種履歴について、地方公共団体間での情報提供ネットワークシステムを利 用した情報連携を可能とする。 地方公共団体 の要望を踏ま えた利用範囲 の拡充等 ・すでにマイナンバー利用事務とされている公営住宅(低所得者向け)の管理に加え て、特定優良賃貸住宅(中所得者向け)の管理において、マイナンバーの利用を可 能とする。 ・地方公共団体が条例により独自にマイナンバーを利用する場合においても、情報 提供ネットワークシステムを利用した情報連携を可能とする。 ・地方公共団体の要望等を踏まえ、雇用、障害者福祉等の分野において利用事務、 情報連携の追加を行う。
  26. 26. 2-2. マイナンバー法改正案の概要(2) マイナンバー法改正案のポイント <特定個人情報保護委員会の改組について> 26 所管事務 内容 マイナン バーについ て(現状) ・適正な取扱いの確保のための監視・監督 ・特定個人情報保護評価 ・保護に関する広報・啓発 ・海外機関との連携・国際協力 等 個人情報 全般につい て(改正案 で追加) ・適正な取扱いの確保のための監督 ・認定個人情報保護団体の監督 ・個人情報全般に関する広報・啓発 ・個人情報の取扱いに関するグローバル化への対応 等
  27. 27. 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 共通番号導入で先行するスウェーデン(1) スウェーデンの「フォルクヘメット(Folkhemmet)」 国民の家(1930年代に打ち出された理念) 国家は家族のように組織化されなければならない。家族 の構成員はどんな傷害を負っていようとも、家族のために 献身しようと思っている。 スウェーデンの共通番号とe -IDカード 1947年、本格的な個人認証番号を導入 住民登録番号として、全国民が出生時に付番される (国税庁が個人に10桁の番号を割り振る) 国税庁がe-IDカードを発行 (写真、サイン、個人番号、氏名、有効期間を表示) 一般行政サービスや民間サービスでも活用している 27
  28. 28. 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 共通番号導入で先行するスウェーデン(2) 共通番号のメリットを生かした スウェーデンのオープンガバメント施策 28 ・Opengov.se スウェーデン政府統一の オープンデータポータルで、 データセット、API、アプリ等を提供 ・Medicinera.se 現在地のGPS情報に基づいて 、OTC医薬品が買える薬局・ド ラッグストアの情報を提供する モバイルアプリケーション
  29. 29. 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 共通番号導入で先行するスウェーデン(3) スウェーデンの個人認証番号保護対策 データ検査委員会(The Data Inspection Board) 1973年に創設された独立性の強い第三者委員会 主な所管業務 ・個人情報の管理・活用状況に関する監査 ・不服申請への対応 ・国民啓発のための情報発信活動 ・相談窓口であるコールセンターの運営 ・EUでの活動への参加 等 個人データ保護法(Personal Data Act) 1973年、前身のデータ法を制定 1998年、EUデータ保護指令に準拠して改正 29
  30. 30. 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 共通番号導入で先行するスウェーデン(4) スウェーデンのサイバーセキュリティ対策 サイバーセキュリティに特化した法律は未制定 *EUレベルでは、欧州ネットワーク情報セキュリティ庁(ENISA) がサイバーセキュリティ戦略を策定済 民間危機管理庁(MSB)・・・国防省の下部組織 「スウェーデン情報セキュリティ戦略 2010-2015」 • 企業の情報セキュリティ • スキルの供給 • 情報共有、協力、対応 • 通信セキュリティ • 製品/システムのセキュリティ CERT-SE ・国家レベルのコンピューター緊急対応チーム 30
  31. 31. 2-4. マイナンバー制度が情報セキュリティの仕組みと 運用に及ぼすインパクト 情報セキュリティマネジメントシステム規格 「ISO/IEC 27001:2013」の観点から 【仕組み】リスクマネジメントシステム規格「ISO 31000/JIS Q 31000」に準拠したリスクベース・アプローチの適用 ・リスク=期待されている結果に対する不確かさの影響 (「好ましい方向」と「好ましくない方向」) ・マイナンバー導入のリスクをどう評価するか? (例.サイバー攻撃の標的となった場合) 【運用】ICTサプライチェーンに関する管理策 ・マイナンバー関連プロセスに関わるパートナー/サプライヤ ーの管理監督は? 運用における責任の分解点は? ・マイナンバーの利用範囲拡大に伴う、「民」と「官」の連携プ ロセスにおいて、ICTサプライチェーンをどう管理するか? 31
  32. 32. 3. 個人情報保護法改正が企業経営に及ぼす インパクト 32 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理 3-2. 個人情報保護法改正案の概要 3-3. 海外事例から考える個人情報保護と サイバーセキュリティ対策(米国とEUの動向) 3-4. 海外事例に見るCIO/IT部門の変化と チーフデータオフィサーの役割の方向性 3-5. 個人情報保護法改正が情報セキュリティの 仕組みと運用に及ぼすインパクト
  33. 33. 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理(1) 「特定個人情報の適正な取扱いに関するガイドライン」 (2014年12月)(http://www.ppc.go.jp/legal/policy/) 特定個人情報に関する安全管理措置 33 措置 内容 番号法における 安全管理措置 の考え方 ・事業者は、個人番号及び特定個人情報の漏えい、滅失又は毀損の防止等のため の安全管理措置の検討に当たり、次に掲げる事項を明確にする。 A 個人番号を取り扱う事務の範囲 B 特定個人情報等の範囲 C 特定個人情報等を取り扱う事務に従事する従業者(事務取扱担当者) 安全管理措置 の検討手順 ・事業者は、特定個人情報等の適正な取扱いに関する安全管理措置について、次 のような手順で検討を行う。 A 個人番号を取り扱う事務の範囲の明確化 B 特定個人情報等の範囲の明確化 C 事務取扱担当者の明確化 D 特定個人情報等の安全管理措置に関する基本方針(基本方針)の策定 E 取扱規程等の策定
  34. 34. 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理(2) 特定個人情報に関する安全管理措置(続き2) 34 措置 内容 基本方針の策 定 ・特定個人情報等の適正な取扱いの確保について組織として取り組むために、基 本方針を策定する。 ―事業者の名称 ―関係法令・ガイドライン等の遵守 ―安全管理措置に関する事項 ―質問及び苦情処理の窓口 等 取扱規程等の 策定 ・明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱 いを定める取扱規程等を策定する。 ① 取得する段階 ② 利用を行う段階 ③ 保存する段階 ④ 提供を行う段階 ⑤ 削除・廃棄を行う段階
  35. 35. 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理(3) 特定個人情報に関する安全管理措置(続き3) 35 措置 内容 組織的安全管理措置 ・組織体制の整備 ・取扱規程等に基づく運用 ・取扱状況を確認する手段の整備 ・情報漏えい等事案に対応する体制の整備 ・取扱状況の把握及び安全管理措置の見直し 人的安全管理措置 ・事務取扱担当者の監督 ・事務取扱担当者の教育 物理的安全管理措置 ・特定個人情報等を取り扱う区域の管理 ・機器及び電子媒体等の盗難等の防止 ・電子媒体等を持ち出す場合の漏えい等の防止 ・個人番号の削除、機器及び電子媒体等の廃棄 技術的安全管理措置 ・アクセス制御 ・アクセス者の識別と認証 ・外部からの不正アクセス等の防止 ・情報漏えい等の防止
  36. 36. 3-2. 個人情報保護法改正案の概要(1) 個人情報保護法改正案のポイント 36 ポイント 内容 個人情報の定義の明確 化 ・個人情報の定義の明確化(身体的特徴等が該当) ・要配慮個人情報(いわゆる機微情報)に関する規定の整備 適切な規律の下で個人 情報等の有用性を確保 ・匿名加工情報に関する加工方法や取扱等の規定の整備 ・個人情報保護指針の作成や届け出、公表等の規定の整備 個人情報の保護を強化 ・トレーサビリティの確保(第三者提供に係る確認および記録の作成義務) ・不正な利益を図る目的による個人情報データベース等提供罪の新設 個人情報保護委員会の 新設およびその権限 ・個人情報保護委員会を新設し、現行の主務大臣の権限を一元化 個人情報の取扱のグ ローバル化 ・国境を越えた適用と外国執行当局への情報提供に関する規定の整備 ・外国にある第三者への個人データの提供に関する規定の整備 その他改正事項 ・本人同意を得ない第三者提供(オプトアウト規定)の届出、公表等厳格化 ・利用目的の変更を可能とする規定の整備 ・取り扱う個人情報が5,000人以下の小規模取扱事業者への滞欧
  37. 37. 3-2. 個人情報保護法改正案の概要(2) 個人情報の定義の明確化 37 用語 定義 個人情報 ・生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 ①生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他 の記述等により特定の個人を識別することができるもの ②個人識別符号が含まれるもの 個人識別符 号 次の各号のいずれかに該当する文字、番号、記号その他の符号。 ①特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字, 番号、記号その他の符号であって、当該特定の個人を識別することができるもの ②個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当 てられ、又は個人に発行されるカードその他の書類に記載され,若しくは電磁的方式 により記録された文字,番号,記号その他の符号であって、その利用者若しくは購入 者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され,若 しくは記録されることにより,特定の利用者若しくは購入者又は発行を受ける者を識別 することができるもの 要配慮個人 情報 本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その 他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特 に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
  38. 38. 3-2. 個人情報保護法改正案の概要(3) 匿名加工情報の取扱 38 出典:内閣官房「パーソナルデータの利活用に関する制度改正に係る法律案の骨子(案)」(2014年12月)
  39. 39. 3-2. 個人情報保護法改正案の概要(4) 個人情報の取扱のグローバル化 39 出典:内閣官房「パーソナルデータの利活用に関する制度改正に係る法律案の骨子(案)」(2014年12月)
  40. 40. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-1. 米国の最新動向(1) 米国の個人データの捉え方 出典:米国プライバシー権利章典(2012年) プライバシー権利章典は、個人データの商業利用に適 用される。この用語(個人データ)は、特定の個人に連結 可能な全てのデータをいい、集約されたデータを含む。 個人データは、特定のコンピュータその他のデバイスに 連結するデータも含みうる。例えば、利用記録を作成す るために使われるスマートフォンや家庭のコンピュータの 識別子は個人データである。 40
  41. 41. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-1. 米国の最新動向(2) 米国の個人データ保護/ビッグデータ/IoT動向(1) 41 年月 機関名 内容 2012年2月 大統領行政府 「ネットワーク世界における消費者情報プライバシー:国際的デジタル 経済におけるプライバシー保護と技術革新の促進」を公表 2012年3月 連邦取引委員 会(FTC) 「急速に変化する時代における消費者プライバシーの保護」を公表 2012年3月 大統領行政府 「ビッグデータ研究開発イニシアティブ」を公表 2013年6月 国立標準技術 研究所(NIST) NISTビッグデータワーキンググループ(NBD-WG)のキックオフミーティ ングを開催 2013年7月 FTC 13歳未満の子どもを対象とした児童オンラインプライバシー保護法 (COPPA)の改正規則を施行 2013年11月 FTC ワークショップ「Internet of Things:接続された世界におけるプライバ シーとセキュリティ」を開催 2014年5月 大統領行政府 「ビッグデータ: 機会を捉え、価値を保護する」を公表 2014年5月 FTC 「データブローカー:透明性と説明責任を求める」を公表
  42. 42. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-1. 米国の最新動向(3) 米国の個人データ保護/ビッグデータ/IoT動向(2) 42 年月 機関名 内容 2014年8月 NIST IoTに関連してNISTサイバーフィジカルシステム公開ワーキンググルー プ(CPS-PWG)の第1回会議を開催 2014年9月 FTC ワークショップ「ビッグデータ:包含、排除いずれの手段か?」 を開催 2014年10月 NIST IEEEビッグデータカンファレンスにて、NISTビッグデータパブリックワー キンググループ(NBD-PWG)のワークショップを開催 2015年1月 FTC 「Internet of Things:接続された世界におけるプライバシーとセキュリ ティ」を公表 2015年3月 NIST IoTに関連して「時間認識アプリケーション、コンピューター、通信システ ム(TAACCS)」を公表 2015年3月 FTC プライバシー、データセキュリティ、スマートホーム、ビッグデータ、IoTな ど次世代の消費者保護を目的とした技術研究・調査室(OTRI)を新設 2015年4月 NIST NISTビッグデータパブリックワーキンググループ(NBD-PWG)が、ビッグ データ相互運用性フレームワーク・バージョン1.0草案を公表
  43. 43. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-1. 米国の最新動向(4) FTCの非個人識別情報(Non-PII)3要件 (個人情報保護法改正案の「匿名加工情報」との対比) 事業者はそのデータの非識別化を確保するために合理的な 措置を講ずるべきである。 事業者はそのデータを非識別化された形態で保有及び利用 し、そのデータの再識別化を試みないことを、公に約束すべき である。 事業者がかかる非識別化されたデータを他の事業者に提供 する場合には、それがサービス提供事業者であろうとその他 の第三者であろうと、その事業者がデータの再識別化を試み ることを契約で禁止すべきである。この際、非識別化されたデ ータと元の識別可能なデータの双方を保持・使用する場合は、 これらのデータは別々に保管することとすべきである。 43
  44. 44. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-2. EUの最新動向(1) EUの個人データの捉え方 (出典:EUデータ保護規則提案、2015年6月) 「個人データ」とは、あるデータ主体に関する全ての情 報を意味する。「データ主体」とは、管理者その他の自然 人又は法人によって合理的な範囲で使用される手段、特 に、識別番号、位置データ、オンライン識別子又は当該 者の身体的、生理的、遺伝的、精神的、経済的、文化的 若しくは社会的な識別性に関連する一つ若しくはそれ以 上の固有の要素により、直接的又は間接的に識別され た自然人を意味する。 44 指令:条文の中で命じられた結果のみ加盟国を拘束し、達成のための手段と方法は加盟国に任される 規則:採択されると加盟国内の批准手続を経ずに、そのまま国内法体系の一部となる
  45. 45. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-2. EUの最新動向(2) EUの個人データ保護/ビッグデータ/IoT動向(1) 45 年月 機関名 内容 2009年6月 欧州委員会 RFIDから医療、環境・エネルギーなど様々な分野に対象を拡張 した「Internet of Things行動計画」を公表 2010年4月 欧州ネットワーク 情報セキュリティ 庁(ENISA) 飛行機の旅行をシナリオに用いたIoTおよびRFIDのリスクに関 する評価結果を公表 2012年1月 欧州委員会 プライバシーに関わるEUデータ保護指令改正案を公表 2013年10月 欧州議会 市民的自由・司法・内務(LIBE)委員会が、EUデータ保護指令 改正案の修正案を可決 2014年3月 欧州議会 LIBE委員会の修正案を反映させたEUデータ保護指令改正案 およびEU決議案を可決 2014年9月 データ保護指令 第29条作業部会 「ビッグデータの発展の個人データ保護への影響に関する声 明」を採択 2014年9月 データ保護指令 第29条作業部会 「近年のIoTの発展に関する意見書」を採択
  46. 46. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-2. EUの最新動向(3) EUの個人データ保護/ビッグデータ/IoT動向(2) 46 年月 機関名 内容 2015年1月 欧州委員会 2015年欧州データ保護デーを開催 2015年3月 データ保護指令第 29条作業部会 欧州委員会の要請を受けて「アプリケーションとデバイスに おけるヘルスデータ」を公表 2015年4月 欧州委員会 ファクトシート「EUデータ保護改革とビッグデータ」を公表 2015年5月 欧州委員会 EU域内デジタルマーケットの障壁撤廃を目指す「欧州デジ タル単一市場戦略」を公表 2015年5月 欧州データ保護監 視官局(EDPS) 「モバイルヘルスに関する意見書」を公表 2015年6月 閣僚理事会 司法理事会がEUデータ保護指令改正案を承認し、EUデータ 保護規則提案に暫定合意 2015年6月 欧州委員会、欧州議 会、閣僚理事会 EUデータ保護規則提案に係る三者対話を開始
  47. 47. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-2. EUの最新動向(4) EUデータ保護規則提案(2015年6月)のポイント (個人情報保護法改正案の個人情報の取扱のグローバル化) EU全域に適用される単一の法規制の設定による 効率化 「忘れ去られる権利」を始めとする個人データ保護 の権利の強化・追加 ヨーロッパの土壌にはヨーロッパ法を適用 独立したデータ保護機関による監督権限の強化 企業や個人が一国の監督機関に対応すれば済む 「ワンストップショップ」の導入 47
  48. 48. 3-4. 海外事例に見るCIO/IT部門の変化と チーフデータオフィサーの役割の方向性(1) IT組織の「I」は「Innovation」(米国行政機関の例) Department of Innovation and Technology (DoIT) Office of the Chief Information Officer (CIO) Enterprise Systems Software Development & Application Support Enterprise Architecture (Chief Technology Officer) Technical Operations Information Security(Chief Information Security Officer) Planning, Policy & Management Data Science(Chief Data Officer) Finance and Administration 48
  49. 49. 3-4. 海外事例に見るCIO/IT部門の変化と チーフデータオフィサーの役割の方向性(2) データアドミニストレータの役割(米国行政機関の例) 49 データベースアドミニストレータ データアドミニストレータ ・データベース標準規格、ガイドライン、業務ポ リシー・手順の開発・執行 ・物理的ストラクチャのレビュー ・各ストラクチャに関連するパフォーマンス、メン テナンス、ユーティリティのレビュー ・必要なストレージメディアのレビュー ・SQLパフォーマンスおよびチューニングのレ ビュー ・アプリケーションのデータベースストラクチャへ のアクセスのレビュー ・バックアップ/リカバリー戦略のレビュー ・場所に応じた消去/アーカイブの判定基準の レビュー ・データベース/サブシステムのパフォーマンス 問題のモニタリング ・移行計画のレビュー ・庁内プロジェクト(要件定義~開発フェーズ)の支援 ・データガバナンスのプロセス/手順の開発への参 画 ・標準/手順改善のためのプロジェクトとマネジメン ト層からのフィードバックの依頼とフォローアップ ・命名基準執行のための標準化されたデータ命名 規則自動化ツールの発行 ・新規/再構築プロジェクトを迅速に立ち上げるた めの、エンタープライズ論理データモデル(ELDM)の とりまとめ ・エンタープライズメタデータレポジトリの管理とメン テナンス ・新規/継続アプリケーション開発業務と連携した データ/影響度分析サービス ・システムとオブジェクト間のデータ連携に向けた ソースの実演
  50. 50. 3-4. 海外事例に見るCIO/IT部門の変化と チーフデータオフィサーの役割の方向性(3) チーフデータオフィサーの役割(米国行政機関の例) エンタープライズデータ・分析室(OEDA) 2014年11月、新設された組織横断的部署 目的:高品質で患者中心のケアを低コストで行うために、膨 大なデータリソースを有効利用して、意思決定を導くと共に、 適切な外部へのアクセスとデータ利用を促進するフレームワ ークを開発する チーフ・データ・オフィサー(CDO) 新設されたOEDAの統括責任者 役割:組織として、より透明性を高める努力の一環として、デ ータの収集および配布における改善を監督する 50
  51. 51. 3-5. 個人情報保護法改正が情報セキュリティの 仕組みと運用に及ぼすインパクト 持続可能なリスクベースのコンプライアンス基盤が必要 51 リスクベースアプローチのコンプラアンス管理を 効率化するための共通基盤 データ アドミニス トレータ セキュ リティ 管理者 対象 データ 業務 プロセス 対象 データ 業務 プロセス 対象 データ 業務 プロセス 対象 データ 業務 プロセス 対象 データ 業務 プロセス 仕組み 運用 仕組み 運用 仕組み 運用 仕組み 運用 仕組み 運用 個人情報 保護法 (2005年) 金融商品 取引法 (J-SOX) マイ ナンバー法 個人情報 保護法 改正 サイバー セキュリティ 法制 法令の 新設・ 改廃 新技術 の導入
  52. 52. 4. ビッグデータ/IoTセキュリティ対策のポイント 52 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ/プライバシー対策 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析 4-3. ビッグデータとIoTの融合とセキュリティ対策
  53. 53. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ/プライバシー対策(1) ビッグデータの定義: Big Data refers to the inability of traditional data architectures to efficiently handle the new datasets. Characteristics of Big Data that force new architectures are volume (i.e., the size of the dataset) and variety (i.e., data from multiple repositories, domains, or types), and the data in motion characteristics of velocity (i.e., rate of flow) and variability (i.e., the change in other characteristics). 53 出典:NIST Big Data interoperability Framework Version 1.0 Working Drafts. (2015年4月)
  54. 54. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ/プライバシー対策(2) V1草案の構成 54 表題 内容 M0392: Draft SP 15001 Volume 1: Definitions 定義 M0393: Draft SP 15002 Volume 2: Taxonomies 分類 M0394: Draft SP 15003 Volume 3: Use Case & Requirements ユースケースと要求事項 M0395: Draft SP 15004 Volume 4: Security and Privacy セキュリティとプライバシー M0396: Draft SP 15005 Volume 5: Architectures White Paper Survey アーキテクチャ白書調査 M0397: Draft SP 15006 Volume 6: Reference Architecture レファレンスアーキテクチャ M0398: Draft SP 15007 Volume 7: Standards Roadmap 標準規格ロードマップ
  55. 55. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ/プライバシー対策(3) NISTビッグデータ・リファレンス・アーキテクチャの全体像 55 出典:NIST Big Data interoperability Framework Version 1.0 Working Drafts. (2015年4月) IoT IoT
  56. 56. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ/プライバシー対策(4) ビッグデータのセキュリティ/プライバシーにおける十大脅威 56 出典:Cloud Security Alliance Big Data Working Group「Expanded Top 10 Big Data Security and Privacy Challenges」(2013年4月) を基に、日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成(2014年5月)
  57. 57. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(1) 企業におけるHadoop利用の拡大とビッグデータのリスク 57 出典:Cloud Security Alliance Big Data Working Group「Big Data Analytics for Security Intelligence」 (2013年9月)
  58. 58. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(2) (参考)Hadoop 1.0 Stack *Hadoop自体は、バッチ処理が基本 58 出典:Cloud Security Alliance Big Data Working Group「Big Data Taxonomy」 (2014年9月)
  59. 59. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(3) ビッグデータ+IoTで複雑化するデータの種類と速度が 企業にもたらすリスクとは? 59
  60. 60. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(4) クラウド環境で稼働するHadoopクラスタのセキュリティ監視/ 分析をリアルタイムで行う際の留意点 60 留意項目 具体的な例 NISTフレームワーク での役割/ロール パ ブ リ ックク ラ ウ ド の セ キュリティ クラウドのエコシステムを構成するサーバー、 ストレージ、ネットワークのセキュリティ ビ ッ グ デ ー タ ・ フ レームワーク・プロ バイダー Hadoop ク ラ スタのセキュ リティ ノードのセキュリティ、ノードの相互接続、ノー ドの保存データのセキュリティ ビ ッ グ デ ー タ ・ フ レームワーク・プロ バイダー モニタリング ア プ リ ケ ー シ ョ ン の セ キュリティ モニタリングする相互関係のルール、セキュ アコーディング ビッグデータ・アプリ ケーション・プロバ イダー データの入力 ソ ー ス の セ キュリティ ソース(デバイス、センサーなど)からのデー タ収集のセキュア化、アクセスログ/メタデー タの生成/管理、アクセス権限のルール デ ー タ ・ プ ロ バ イ ダー
  61. 61. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(5) HadoopクラスタにおけるMapperのセキュリティ脅威 61 ケース 脅威(例) Workerノードの誤 作動による計算処 理 分散処理でMapperに割り当てられたWorkerノードが不正 確な構成や障害ノードにより、誤作動を起こす可能性があ る。また、Workerが修正されて、ユーザーの機密データが 漏えいする可能性がある。 インフラストラクチャ 攻撃 危険にさらされたWorkerノードは、他のWorkerと再生を目 的とするMasterや中間者、MapReduceの処理に対する DoS攻撃との間の通信を傍受する可能性がある。 偽のデータノード 偽のデータノードがクラスタに追加されて、その後、複製さ れたデータを受信したり、変更されたMapReduceコードを 配布したりする可能性がある。
  62. 62. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(6) HadoopクラスタにおけるMapperのセキュリティ対策 並列分散処理のプロセス全体におけるMapperの信頼性を 保証する 強制アクセス制御(MAC:Mandatory access control)を利用 し、セキュリティポリシーに基づき認証されたファイルへのア クセスを保証する Mapper出力からの情報漏えいによるプライバシー/個人 情報保護違反を防止するために、データ匿名化技術の機能 を強化する 62 MACやデータ匿名化技術の負荷が、処理のパフォーマンスに 影響を及ぼす可能性がある
  63. 63. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(7) Hadoop向けのリアルタイムセキュリティ監視/分析ツール Hadoop自体にはツールが組み込まれていない 各ベンダー/プロバイダーが提供するツールの導入 Hadoopの要求をモニタリングする機能を持ったフロントエン ドシステムの導入 Hadoopは元々バッチ処理をベースとして開発された技術 ⇒リアルタイム化のための対応手段が必要 米国NIST「セキュリティ設定共通化手順(SCAP)」(前述) リアルタイム分散処理システム「Apache Storm」 メッセージングシステム「Apache Kafka」 など 63
  64. 64. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視/分析(8) 今後の課題:「Hadoop 2.0」、「Apache Spark」への対応 インフラ/プラットフォーム寄りからの標準化された セキュリティ対策への期待 64 出典:Cloud Security Alliance Big Data Working Group「Big Data Taxonomy」 (2014年9月)
  65. 65. 4-3. ビッグデータとIoTの融合とセキュリティ対策(1) ビッグデータとIoTの融合に向けた仕組みづくり 米国もEUも、個人データ保護/サイバーセキュリティ強 化政策と同時並行で、ビッグデータやIoTによるイノベーシ ョン創出・事業化の促進政策を実施している 欧米の企業、官公庁・自治体とも、CIO/IT部門のミッショ ンに、IT利活用によるイノベーション創出・事業化支援を加 えており、ビッグデータやIoTはそのドライバーとして期待さ れている ビッグデータ/IoTを取り巻くセキュリティ課題の理解を促 進するともに、新技術を導入する先進的な企業向けに、セ キュリティコントロールの推奨事項やユースケース例を提 供することを目的として、標準化/ガイドライン策定への取 組が行われている 65
  66. 66. 4-3. ビッグデータとIoTの融合とセキュリティ対策(2) IoT保護アーキテクチャの構成要素 66 出典:Cloud Security Alliance Mobile Working Group「New Security Guidance for Early Adopters of the IoT」(2015年4月)
  67. 67. 4. まとめ/Q&A 67 マイナンバー法/個人情報保護改正の次には、喫 緊の経営課題として、サイバーセキュリティ対策が控 えている リスクベースアプローチとICTサプライチェーンに基 づくセキュリティ管理の時代に入った プライバシー/個人情報の捉え方に関して、米国や EUは日本よりも範囲が広いので、注意が必要 CIO/IT部門のミッションにイノベーションが加わり、 攻めのセキュリティ対策が求められる ビッグデータ/IoTを睨んだインフラセキュリティが鍵

×