Download as PDF, PPTX
Uploaded byInsight Technology, Inc.
20150717_情報漏洩, マイナンバー, ビッグデータ/IoTセキュリティ対応を見据えた これからのセキュリティ対策のポイント by 笹原英司
本セッションでは、情報漏洩、マイナンバー、ビッグデータ/IoTセキュリティといった、日本国内の企業が直面する課題と対策のポイントについて解説します。また、セキュリティ対策の最新トレンドについては、米国の事例をあげながら、セキュリティ対策を実行に移す上で重要な役割を担う、Chief Data Officer(チーフデータオフィサー)についてや、アプリケーションレイヤーからインフラレイヤーや移行しつつある米国の最新セキュリティ対策事情についても紹介します。
More Related Content
![[CB16] IoTとしての自動車とセキュリティ: リモートサービスのセキュリティ評価とその対策の検討 - by 和栗直英](https://cdn.slidesharecdn.com/ss_thumbnails/cb16wagurija-161109051322-thumbnail.jpg?width=640&height=640&fit=bounds)
Similar to 20150717_情報漏洩, マイナンバー, ビッグデータ/IoTセキュリティ対応を見据えた これからのセキュリティ対策のポイント by 笹原英司
![[data security showcase Sapporo 2015] D21:セキュリティ強化の為の仮想化 ～マイナンバー対策、インターネット端末保...](https://cdn.slidesharecdn.com/ss_thumbnails/dsssapporo2015d21datasecurityvmware-150924025743-lva1-app6891-thumbnail.jpg?width=640&height=640&fit=bounds)
![レガシーに埋もれたデータをリアルタイムでクラウドへ [ATTUNITY & インサイトテクノロジー IoT / Big Data フォーラム 2018]](https://cdn.slidesharecdn.com/ss_thumbnails/attunityseminar20181206msnakagawa-181211014925-thumbnail.jpg?width=640&height=640&fit=bounds)
20150717_情報漏洩, マイナンバー, ビッグデータ/IoTセキュリティ対応を見据えた これからのセキュリティ対策のポイント by 笹原英司
- 1.
- 2. 講師略歴：笹原英司 vyt04351@nifty.com ・米国クラウドセキュリティアライアンス（NPO、本部：ワシントン州シアトル） ビッグデータワーキンググループ／モバイルワーキンググループ・メンバー ・特定非営利活動法人ヘルスケアクラウド研究会・理事 ・在日米国商工会議所ヘルスケアIT小委員会委員長 ・ISO認証機関 公平性委員会 委員（主にISO 9001、14001、27001、FS22000） 旧労働省（現厚生労働省）、日米のメディア関連企業を経て、B2C／B2Bのデジタル マーケティング実務と、健康医療／介護福祉／医薬品／ライフサイエンス分野のITガ バナンス関連調査研究を行った実績を有する。 ・慶應義塾大学文学部人間科学専攻（産業関係論）卒業 ・Boston University Graduate School of Management修了（MBA）、 ・千葉大学大学院医学薬学府博士課程先進医療科学専攻修了（博士・医薬学） （研究実績） 厚生科学研究補助金医薬安全総合研究事業「添付文書等による医療用医薬品に関する情報 の提供の在り方に関する研究」平成13年度分担研究「特殊な集団に関する情報提供の在り方」 （研究協力者）、「Case study of pharmacist activities in the multidisciplinary practice of outpatient chemotherapy in Japan」（聖路加国際病院との共同研究）など。 2
- 3. AGENDA 1. 海外の情報漏洩事案に学ぶ サイバーセキュリティと個人情報保護の課題 2. マイナンバー法改正が企業に及ぼす インパクト 3.個人情報保護法改正が企業に及ぼす インパクト 4. ビッグデータ／IoTセキュリティ対策のポイント 5. まとめ／Q&A 3
- 4. 1. 海外の情報漏洩事案に学ぶ サイバーセキュリティと個人情報保護の課題 4 1-1. サイバーセキュリティとは何か 1-2.米国の情報漏洩事例に見る サイバーセキュリティと個人情報保護の課題 1-2-1. 米国の病院チェーン（NYSE上場企業） Community Health Systemsのケース（2014年8月） 1-2-2. 米国の医療保険者（NYSE上場企業） Anthemのケース（2015年2月）
- 5. 1-1. サイバーセキュリティとは何か (1) 米国国立標準技術研究所（NIST） 「重要インフラのサイバーセキュリティを向上させるた めのフレームワーク1.0版（原題：Framework for Improving Critical Infrastructure Cybersecurity Version 1.0）」（2014年2月）より （https://www.ipa.go.jp/files/000038957.pdf） 「サイバーセキュリティ」 ＝攻撃を防止、検知し、攻撃に対応することに より情報を保護するプロセス 5
- 6. 1-1. サイバーセキュリティとは何か (2) 米国のサイバーセキュリティフレームワークの捉え方 フレームワークコア 6 出典：NIST「Framework for Improving Critical Infrastructure Cybersecurity Version 1.0」（2014年2月）
- 7. 1-1. サイバーセキュリティとは何か (3) サイバーセキュリティフレームワークの仕組みと運用 フレームワークインプレメンテーション 7 出典：NIST「Framework for Improving Critical Infrastructure Cybersecurity Version 1.0」（2014年2月） 仕組み 運用
- 8.
- 9. 1-1. サイバーセキュリティとは何か (5) 米国NISTセキュリティ設定共通化手順 （SCAP：Security Content Automation Protocol） （http://scap.nist.gov/） 複雑化するリアルタイム・セキュリティ監視／分析向けのフレ ームワーク 「9・11事件」の教訓を基に、2002年に施行された政府省庁の 情報システムのセキュリティ強化を義務付ける「連邦情報セキ ュリティマネジメント法（FISMA）」を契機として、各省庁の様々 な法令・標準規格・ガイドライン類から共通のセキュリティ要求 事項を洗い出して整理 日本語訳～IPA「セキュリティ設定共通化手順SCAP概説」 （http://www.ipa.go.jp/security/vuln/SCAP.html） 9
- 10.
- 11. 1-2. 米国の情報漏洩事例に見る サイバーセキュリティと個人情報保護の課題 「Update: Top5 Health Data Breaches」 Healthcare Info Security（2015年2月5日）より 11 企業・団体名 漏洩件数 漏洩の原因 漏洩した情報 外部委託 先関与 Anthem （医療保険者） 8,000万件 外部からのサイバー 攻撃 名前、誕生日、医療ID、社会保障番号、住 所、メールアドレス、雇用情報、収入データ なし TRICARE （政府機関） 490万件 外部委託先のバック アップテープ盗難 社会保障番号、名前、住所、電話番号、臨 床ノート、臨床検査、処方箋 あり Community Health Systems （医療機関） 450万件 外部からのサイバー 攻撃 名前、住所、誕生日、電話番号、社会保障 番号 なし Advocate Medical Group （医療機関） 403万件 暗号化していないPC の盗難 名前、住所、生年月日、社会保障番号、診 断、電子カルテ番号、医療サービスコード、 医療保険情報 なし Texas HHS （政府機関） 200万件 政府と元外部委託先 との訴訟中に漏洩 名前、誕生日、メディケイド番号・電子カル テ・レセプト、診断コード、レポート、写真 あり
- 12. 1-2-1. 米国の病院チェーン（NYSE上場企業） Community HealthSystemsのケース（2014年8月）(1) 2014年8月、不正アクセスにより、患者約450万人の個人情 報が流出した可能性があることを公表 オープンソースのSSL／TLS実装ライブラリ「OpenSSL」の脆弱 性を突いた海外からのサイバー攻撃が発端となったことが 判明 ニューヨーク証券取引所（NYSE）の上場企業である 証券取引委員会（SEC）：米国企業改革法（SOX）に基づき、 財務報告に係る情報開示や内部統制を義務付ける 12
- 13. 1-2-1. 米国の病院チェーン（NYSE上場企業） Community HealthSystemsのケース（2014年8月）(2) 海外からのサイバー攻撃が発端となった テロ対策を所管する国土安全保障省（DHS）の調査 サイバー犯罪を所管する連邦捜査局（FBI） の調査 患者の保護対象保健情報（PHI）が流出 HIPAAを所管する保健福祉省（HHS）への報告義務 顧客らが損害賠償請求の集団訴訟を提起 連邦民事訴訟規則（FRCP）に基づく電子証拠開示（eディス カバリー）への対応 13
- 14. 1-2-1. 米国の病院チェーン（NYSE上場企業） Community HealthSystemsのケース（2014年8月）(3) （参考）情報セキュリティ／コンプライアンス責任者の経歴 Director, Security and Compliance（事案発覚当時） Manager of Security Strategy and Compliance / Threat and Vulnerability Management Threat and Vulnerability Management team lead, and lead for the Computer Security Incident Response Team (CSIRT) U.S. Army Reserves IT Manager, Music Record Distributors （保有資格） CCNP、CCNA、MCSE NT 4.0、CWNA 14
- 15.
- 16.
- 17.
- 18. 1-2-2. 米国の医療保険者（NYSE上場企業） Anthemのケース（2015年2月）(4) （参考）情報セキュリティ／コンプライアンス責任者の経歴 Vice President,IT Security & Chief Information Security Officer （事案発覚当時） Board of Directors, The Health Information Trust Alliance (HITRUST)（事案発覚当時） Oversees IT risk management, cyber-investigations and ensures corporate compliance with federal and industry regulatory mandates that protect sensitive information. More than 30 years experience in developing and managing best-in-class physical, logical and information security programs for domestic and international business operation. （保有資格） CISSP-ISSAP, ISSMP, CIM 18
- 19. 2. マイナンバー法改正が 企業経営に及ぼすインパクト 19 2-1. マイナンバー制度の概要 2-2.マイナンバー法改正案の概要 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 ～共通番号導入で先行するスウェーデン～ 2-4. マイナンバー制度が情報セキュリティの 仕組みと運用に及ぼすインパクト
- 20. 2-1. マイナンバー制度の概要（1） ＊本資料は、2015年7月10日時点の情報を元に作成しています。 最新情報の関連リソース 内閣官房社会保障改革担当室・ 内閣府大臣官房番号制度担当室 「マイナンバー 社会保障・税番号制度について」 （http://www.cas.go.jp/jp/seisaku/bangoseido/） 総務省 「行政機関等が保有するパーソナルデータに関する研究会」 （http://www.soumu.go.jp/main_sosiki/kenkyu/gyousei_personal/index.html） 情報法制研究会 （事務局：一般財団法人日本データ通信協会） （http://www.dekyo.or.jp/kenkyukai/） 20
- 21.
- 22.
- 23.
- 24. 2-1. マイナンバー制度の概要（5） 特定個人情報保護委員会 「特定個人情報の適正な取扱いに関するガイドライン」 （2014年12月）（http://www.ppc.go.jp/legal/policy/） 24 用語 定義 個人情報生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他 の記述等により特定の個人を識別することができるもの（他の情報と容易に照合す ることができ、それにより特定の個人を識別することができることとなるものを含 む。）をいう。 個人番号 番号法第７条第１項又は第２項の規定により、住民票コードを変換して得られる番 号であって、当該住民票コードが記載された住民票に係る者を識別するために指 定されるものをいう。 特定個人情報 個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号そ の他の符号であって、住民票コード以外のものを含む。番号法第７条第１項及び第 ２項、第８条並びに第67条並びに附則第３条第１項から第３項まで及び第５項を除 く。）をその内容に含む個人情報をいう。
- 25. 2-1. マイナンバー制度の概要（6） （続き） 25 用語 定義 個人情報 データベース 等 個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用い て検索することができるように体系的に構成したもののほか、特定の個人情報を容易 に検索することができるように体系的に構成したものとして「個人情報の保護に関する 法律施行令」（平成15年政令第507号。以下「個人情報保護法施行令」という。）で定め るものをいう。 個人情報ファ イル 個人情報データベース等であって、行政機関及び独立行政法人等以外の者が保有す るものをいう。 特定個人情 報ファイル 個人番号をその内容に含む個人情報ファイルをいう。 個人データ個人情報データベース等を構成する個人情報をいう。 保有個人 データ 個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び 第三者への提供の停止を行うことのできる権限を有する個人データであって、その存 否が明らかになることにより公益その他の利益が害されるものとして個人情報保護法 施行令で定めるもの又は６か月以内に消去することとなるもの以外のものをいう。
- 26.
- 27. 2-2. マイナンバー法改正案の概要（2） マイナンバー法改正案のポイント ＜特定個人情報保護委員会の改組について＞ 27 所管事務 内容 マイナン バーについ て（現状） ・適正な取扱いの確保のための監視・監督 ・特定個人情報保護評価 ・保護に関する広報・啓発 ・海外機関との連携・国際協力等 個人情報 全般につい て（改正案 で追加） ・適正な取扱いの確保のための監督 ・認定個人情報保護団体の監督 ・個人情報全般に関する広報・啓発 ・個人情報の取扱いに関するグローバル化への対応 等
- 28.
- 29.
- 30. 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 共通番号導入で先行するスウェーデン（3） スウェーデンの個人認証番号保護対策 データ検査委員会（The DataInspection Board） 1973年に創設された独立性の強い第三者委員会 主な所管業務 ・個人情報の管理・活用状況に関する監査 ・不服申請への対応 ・国民啓発のための情報発信活動 ・相談窓口であるコールセンターの運営 ・EUでの活動への参加 等 個人データ保護法（Personal Data Act） 1973年、前身のデータ法を制定 1998年、EUデータ保護指令に準拠して改正 30
- 31. 2-3. 海外事例から考える マイナンバーとサイバーセキュリティ対策 共通番号導入で先行するスウェーデン（4） スウェーデンのサイバーセキュリティ対策 サイバーセキュリティに特化した法律は未制定 ＊EUレベルでは、欧州ネットワーク情報セキュリティ庁（ENISA） がサイバーセキュリティ戦略を策定済 民間危機管理庁（MSB）・・・国防省の下部組織 「スウェーデン情報セキュリティ戦略 2010-2015」 •企業の情報セキュリティ • スキルの供給 • 情報共有、協力、対応 • 通信セキュリティ • 製品／システムのセキュリティ CERT-SE ・国家レベルのコンピューター緊急対応チーム 31
- 32. 2-4. マイナンバー制度が情報セキュリティの仕組みと 運用に及ぼすインパクト 情報セキュリティマネジメントシステム規格 「ISO/IEC 27001:2013」の観点から 【仕組み】リスクマネジメントシステム規格「ISO31000/JIS Q 31000」に準拠したリスクベース・アプローチの適用 ・リスク＝期待されている結果に対する不確かさの影響 （「好ましい方向」と「好ましくない方向」） ・マイナンバー導入のリスクをどう評価するか? （例.サイバー攻撃の標的となった場合） 【運用】ICTサプライチェーンに関する管理策 ・マイナンバー関連プロセスに関わるパートナー／サプライヤ ーの管理監督は? 運用における責任の分解点は? ・マイナンバーの利用範囲拡大に伴う、「民」と「官」の連携プ ロセスにおいて、ICTサプライチェーンをどう管理するか? 32
- 33. 3. 個人情報保護法改正が企業経営に及ぼす インパクト 33 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理 3-2.個人情報保護法改正案の概要 3-3. 海外事例から考える個人情報保護と サイバーセキュリティ対策（米国とEUの動向） 3-4. 海外事例に見るCIO／IT部門の変化と チーフデータオフィサーの役割の方向性 3-5. 個人情報保護法改正が情報セキュリティの 仕組みと運用に及ぼすインパクト
- 34. 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理（1） 「特定個人情報の適正な取扱いに関するガイドライン」 （2014年12月）（http://www.ppc.go.jp/legal/policy/） 特定個人情報に関する安全管理措置 34 措置 内容 番号法における 安全管理措置 の考え方 ・事業者は、個人番号及び特定個人情報の漏えい、滅失又は毀損の防止等のため の安全管理措置の検討に当たり、次に掲げる事項を明確にする。 Ａ個人番号を取り扱う事務の範囲 Ｂ 特定個人情報等の範囲 Ｃ 特定個人情報等を取り扱う事務に従事する従業者（事務取扱担当者） 安全管理措置 の検討手順 ・事業者は、特定個人情報等の適正な取扱いに関する安全管理措置について、次 のような手順で検討を行う。 Ａ 個人番号を取り扱う事務の範囲の明確化 Ｂ 特定個人情報等の範囲の明確化 Ｃ 事務取扱担当者の明確化 Ｄ 特定個人情報等の安全管理措置に関する基本方針（基本方針）の策定 Ｅ 取扱規程等の策定
- 35. 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理（2） 特定個人情報に関する安全管理措置（続き2） 35 措置 内容 基本方針の策 定 ・特定個人情報等の適正な取扱いの確保について組織として取り組むために、基 本方針を策定する。 ―事業者の名称 ―関係法令・ガイドライン等の遵守 ―安全管理措置に関する事項 ―質問及び苦情処理の窓口等 取扱規程等の 策定 ・明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱 いを定める取扱規程等を策定する。 ① 取得する段階 ② 利用を行う段階 ③ 保存する段階 ④ 提供を行う段階 ⑤ 削除・廃棄を行う段階
- 36. 3-1. 個人情報保護法の特別法としての マイナンバー法に基づく個人情報管理（3） 特定個人情報に関する安全管理措置（続き3） 36 措置 内容 組織的安全管理措置・組織体制の整備 ・取扱規程等に基づく運用 ・取扱状況を確認する手段の整備 ・情報漏えい等事案に対応する体制の整備 ・取扱状況の把握及び安全管理措置の見直し 人的安全管理措置 ・事務取扱担当者の監督 ・事務取扱担当者の教育 物理的安全管理措置 ・特定個人情報等を取り扱う区域の管理 ・機器及び電子媒体等の盗難等の防止 ・電子媒体等を持ち出す場合の漏えい等の防止 ・個人番号の削除、機器及び電子媒体等の廃棄 技術的安全管理措置 ・アクセス制御 ・アクセス者の識別と認証 ・外部からの不正アクセス等の防止 ・情報漏えい等の防止
- 37. 3-2. 個人情報保護法改正案の概要（1） 個人情報保護法改正案のポイント 37 ポイント 内容 個人情報の定義の明確 化 ・個人情報の定義の明確化（身体的特徴等が該当） ・要配慮個人情報（いわゆる機微情報）に関する規定の整備 適切な規律の下で個人 情報等の有用性を確保 ・匿名加工情報に関する加工方法や取扱等の規定の整備 ・個人情報保護指針の作成や届け出、公表等の規定の整備 個人情報の保護を強化・トレーサビリティの確保（第三者提供に係る確認および記録の作成義務） ・不正な利益を図る目的による個人情報データベース等提供罪の新設 個人情報保護委員会の 新設およびその権限 ・個人情報保護委員会を新設し、現行の主務大臣の権限を一元化 個人情報の取扱のグ ローバル化 ・国境を越えた適用と外国執行当局への情報提供に関する規定の整備 ・外国にある第三者への個人データの提供に関する規定の整備 その他改正事項 ・本人同意を得ない第三者提供（オプトアウト規定）の届出、公表等厳格化 ・利用目的の変更を可能とする規定の整備 ・取り扱う個人情報が5,000人以下の小規模取扱事業者への滞欧
- 38. 3-2. 個人情報保護法改正案の概要（2） 個人情報の定義の明確化 38 用語 定義 個人情報・生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 ①生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他 の記述等により特定の個人を識別することができるもの ②個人識別符号が含まれるもの 個人識別符 号 次の各号のいずれかに該当する文字、番号、記号その他の符号。 ①特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字， 番号、記号その他の符号であって、当該特定の個人を識別することができるもの ②個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当 てられ、又は個人に発行されるカードその他の書類に記載され，若しくは電磁的方式 により記録された文字，番号，記号その他の符号であって、その利用者若しくは購入 者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され，若 しくは記録されることにより，特定の利用者若しくは購入者又は発行を受ける者を識別 することができるもの 要配慮個人 情報 本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その 他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特 に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
- 39.
- 40.
- 41.
- 42. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-1. 米国の最新動向（2） 米国の個人データ保護／ビッグデータ／IoT動向（1） 42 年月機関名 内容 2012年2月 大統領行政府 「ネットワーク世界における消費者情報プライバシー：国際的デジタル 経済におけるプライバシー保護と技術革新の促進」を公表 2012年3月 連邦取引委員 会(FTC) 「急速に変化する時代における消費者プライバシーの保護」を公表 2012年3月 大統領行政府 「ビッグデータ研究開発イニシアティブ」を公表 2013年6月 国立標準技術 研究所（NIST） NISTビッグデータワーキンググループ（NBD-WG）のキックオフミーティ ングを開催 2013年7月 FTC 13歳未満の子どもを対象とした児童オンラインプライバシー保護法 （COPPA）の改正規則を施行 2013年11月 FTC ワークショップ「Internet of Things：接続された世界におけるプライバ シーとセキュリティ」を開催 2014年5月 大統領行政府 「ビッグデータ: 機会を捉え、価値を保護する」を公表 2014年5月 FTC 「データブローカー：透明性と説明責任を求める」を公表
- 43. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-1. 米国の最新動向（3） 米国の個人データ保護／ビッグデータ／IoT動向（2） 43 年月機関名 内容 2014年8月 NIST IoTに関連してNISTサイバーフィジカルシステム公開ワーキンググルー プ（CPS-PWG）の第1回会議を開催 2014年9月 FTC ワークショップ「ビッグデータ：包含、排除いずれの手段か?」 を開催 2014年10月 NIST IEEEビッグデータカンファレンスにて、NISTビッグデータパブリックワー キンググループ（NBD-PWG）のワークショップを開催 2015年1月 FTC 「Internet of Things：接続された世界におけるプライバシーとセキュリ ティ」を公表 2015年3月 NIST IoTに関連して「時間認識アプリケーション、コンピューター、通信システ ム（TAACCS）」を公表 2015年3月 FTC プライバシー、データセキュリティ、スマートホーム、ビッグデータ、IoTな ど次世代の消費者保護を目的とした技術研究・調査室（OTRI）を新設 2015年4月 NIST NISTビッグデータパブリックワーキンググループ（NBD-PWG）が、ビッグ データ相互運用性フレームワーク・バージョン1.0草案を公表
- 44.
- 45.
- 46. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-2. EUの最新動向（2） EUの個人データ保護／ビッグデータ／IoT動向（1） 46 年月機関名 内容 2009年6月 欧州委員会 RFIDから医療、環境・エネルギーなど様々な分野に対象を拡張 した「Internet of Things行動計画」を公表 2010年4月 欧州ネットワーク 情報セキュリティ 庁（ENISA） 飛行機の旅行をシナリオに用いたIoTおよびRFIDのリスクに関 する評価結果を公表 2012年1月 欧州委員会 プライバシーに関わるEUデータ保護指令改正案を公表 2013年10月 欧州議会 市民的自由・司法・内務（LIBE）委員会が、EUデータ保護指令 改正案の修正案を可決 2014年3月 欧州議会 LIBE委員会の修正案を反映させたEUデータ保護指令改正案 およびEU決議案を可決 2014年9月 データ保護指令 第29条作業部会 「ビッグデータの発展の個人データ保護への影響に関する声 明」を採択 2014年9月 データ保護指令 第29条作業部会 「近年のIoTの発展に関する意見書」を採択
- 47. 3-3. 海外事例から考える 個人情報保護とサイバーセキュリティ対策 3-3-2. EUの最新動向（3） EUの個人データ保護／ビッグデータ／IoT動向（2） 47 年月機関名 内容 2015年1月 欧州委員会 2015年欧州データ保護デーを開催 2015年3月 データ保護指令第 29条作業部会 欧州委員会の要請を受けて「アプリケーションとデバイスに おけるヘルスデータ」を公表 2015年4月 欧州委員会 ファクトシート「EUデータ保護改革とビッグデータ」を公表 2015年5月 欧州委員会 EU域内デジタルマーケットの障壁撤廃を目指す「欧州デジ タル単一市場戦略」を公表 2015年5月 欧州データ保護監 視官局（EDPS） 「モバイルヘルスに関する意見書」を公表 2015年6月 閣僚理事会 司法理事会がEUデータ保護指令改正案を承認し、EUデータ 保護規則提案に暫定合意 2015年6月 欧州委員会、欧州議 会、閣僚理事会 EUデータ保護規則提案に係る三者対話を開始
- 48.
- 49. 3-4. 海外事例に見るCIO／IT部門の変化と チーフデータオフィサーの役割の方向性（1） IT組織の「I」は「Innovation」（米国行政機関の例） Department ofInnovation and Technology （DoIT） Office of the Chief Information Officer （CIO） Enterprise Systems Software Development & Application Support Enterprise Architecture （Chief Technology Officer） Technical Operations Information Security（Chief Information Security Officer） Planning, Policy & Management Data Science（Chief Data Officer） Finance and Administration 49
- 50.
- 51.
- 52.
- 53. 4. ビッグデータ／IoTセキュリティ対策のポイント 53 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ／プライバシー対策 4-2.ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析 4-3. ビッグデータとIoTの融合とセキュリティ対策
- 54. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ／プライバシー対策（1） ビッグデータの定義： Big Datarefers to the inability of traditional data architectures to efficiently handle the new datasets. Characteristics of Big Data that force new architectures are volume (i.e., the size of the dataset) and variety (i.e., data from multiple repositories, domains, or types), and the data in motion characteristics of velocity (i.e., rate of flow) and variability (i.e., the change in other characteristics). 54 出典：NIST Big Data interoperability Framework Version 1.0 Working Drafts. (2015年4月)
- 55. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ／プライバシー対策（2） V1草案の構成 55 表題 内容 M0392:Draft SP 15001 Volume 1: Definitions 定義 M0393: Draft SP 15002 Volume 2: Taxonomies 分類 M0394: Draft SP 15003 Volume 3: Use Case & Requirements ユースケースと要求事項 M0395: Draft SP 15004 Volume 4: Security and Privacy セキュリティとプライバシー M0396: Draft SP 15005 Volume 5: Architectures White Paper Survey アーキテクチャ白書調査 M0397: Draft SP 15006 Volume 6: Reference Architecture レファレンスアーキテクチャ M0398: Draft SP 15007 Volume 7: Standards Roadmap 標準規格ロードマップ
- 56. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ／プライバシー対策（3） NISTビッグデータ・リファレンス・アーキテクチャの全体像 56 出典：NIST BigData interoperability Framework Version 1.0 Working Drafts. (2015年4月) IoT IoT
- 57. 4-1. NISTビッグデータ相互運用性フレームワーク V1草案とセキュリティ／プライバシー対策（4） ビッグデータのセキュリティ／プライバシーにおける十大脅威 57 出典：Cloud SecurityAlliance Big Data Working Group「Expanded Top 10 Big Data Security and Privacy Challenges」（2013年4月） を基に、日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成（2014年5月）
- 58. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析（1） 企業におけるHadoop利用の拡大とビッグデータのリスク 58 出典：Cloud SecurityAlliance Big Data Working Group「Big Data Analytics for Security Intelligence」 （2013年9月）
- 59. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析（2） （参考）Hadoop 1.0Stack ＊Hadoop自体は、バッチ処理が基本 59 出典：Cloud Security Alliance Big Data Working Group「Big Data Taxonomy」 （2014年9月）
- 60.
- 61. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析（4） クラウド環境で稼働するHadoopクラスタのセキュリティ監視／ 分析をリアルタイムで行う際の留意点 61 留意項目 具体的な例NISTフレームワーク での役割／ロール パ ブ リ ックク ラ ウ ド の セ キュリティ クラウドのエコシステムを構成するサーバー、 ストレージ、ネットワークのセキュリティ ビ ッ グ デ ー タ ・ フ レームワーク・プロ バイダー Hadoop ク ラ スタのセキュ リティ ノードのセキュリティ、ノードの相互接続、ノー ドの保存データのセキュリティ ビ ッ グ デ ー タ ・ フ レームワーク・プロ バイダー モニタリング ア プ リ ケ ー シ ョ ン の セ キュリティ モニタリングする相互関係のルール、セキュ アコーディング ビッグデータ・アプリ ケーション・プロバ イダー データの入力 ソ ー ス の セ キュリティ ソース（デバイス、センサーなど）からのデー タ収集のセキュア化、アクセスログ／メタデー タの生成／管理、アクセス権限のルール デ ー タ ・ プ ロ バ イ ダー
- 62. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析（5） HadoopクラスタにおけるMapperのセキュリティ脅威 62 ケース 脅威（例） Workerノードの誤 作動による計算処 理 分散処理でMapperに割り当てられたWorkerノードが不正 確な構成や障害ノードにより、誤作動を起こす可能性があ る。また、Workerが修正されて、ユーザーの機密データが 漏えいする可能性がある。 インフラストラクチャ 攻撃 危険にさらされたWorkerノードは、他のWorkerと再生を目 的とするMasterや中間者、MapReduceの処理に対する DoS攻撃との間の通信を傍受する可能性がある。 偽のデータノード偽のデータノードがクラスタに追加されて、その後、複製さ れたデータを受信したり、変更されたMapReduceコードを 配布したりする可能性がある。
- 63. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析（6） HadoopクラスタにおけるMapperのセキュリティ対策 並列分散処理のプロセス全体におけるMapperの信頼性を 保証する 強制アクセス制御（MAC：Mandatory accesscontrol）を利用 し、セキュリティポリシーに基づき認証されたファイルへのア クセスを保証する Mapper出力からの情報漏えいによるプライバシー／個人 情報保護違反を防止するために、データ匿名化技術の機能 を強化する 63 MACやデータ匿名化技術の負荷が、処理のパフォーマンスに 影響を及ぼす可能性がある
- 64.
- 65. 4-2. ビッグデータを保護する階層型セキュリティ事例 Hadoopのリアルタイムセキュリティ監視／分析（8） 今後の課題：「Hadoop 2.0」、「ApacheSpark」への対応 インフラ／プラットフォーム寄りからの標準化された セキュリティ対策への期待 65 出典：Cloud Security Alliance Big Data Working Group「Big Data Taxonomy」 （2014年9月）
- 66.
- 67. 4-3. ビッグデータとIoTの融合とセキュリティ対策（2） IoT保護アーキテクチャの構成要素 67 出典：Cloud SecurityAlliance Mobile Working Group「New Security Guidance for Early Adopters of the IoT」（2015年4月）
- 68.