★プライバシーという意味では、今までは許されていたことが、許されなくなってきたという側面もあると思います。学校でも、今までは学級名簿を作って、住所や電話番号が記載された緊急連絡網などを配布していました。今では、プライバシーの関係で、本人が嫌だといったら連絡網に載らないところもあるかも知れません。このような事例は至るところにあります。我々の大学には履修選抜というのがあります。★履修選抜ですか?ええ。その年度の特定の授業が履修できるかどうかを、テストで決めるというものです。以前は、学内の掲示板に合格者の学籍番号が貼り出されていました。そのため、学生は、わざわざ結果を見るためだけにバスに乗って大学まで行って合否を確認しないといけない。しないと、授業の時間割や何を履修するかが決まらないからです。そこで、情報の掲示をオンライン化したのですね。利便性を考え、オンライン上で合格者の学籍番号が閲覧できるようにしました。すると、今度はそれを全部集めて、どの学籍番号の人がどの授業に受かったかという情報をサービスとして提供する学生が出てきました。情報が電子化されたことで、どの学籍番号の人がどの授業に合格したかという情報を簡単に結びつけることができるようになったのです。★他人に知られたくない情報を特定される可能性が出てくるのですね。履修選抜試験の合否の結果が分かってしまうし、自分がいくつかの授業を履修していれば、どの学籍番号がどの人かというのは簡単に推測できてしまいます。このように、学籍番号はセンシティブな情報ですので、履修選抜の結果も、電子的に一覧表示せずに、本人しか結果が分からないようなシステムに変えました。★リスクと利便性のバランスを保つのは難しいことです。情報のデジタル化によって今後も新しい問題が次々と起こってくるのではないでしょうか。そのときに生じるリスクと、組織や社会として享受するメリットを分析してバランスをとるために、ルールや仕組みを整備していく必要があると思います。過度にルールで縛ってしまうと、もしかしたら世の中に画期的なインパクトを与えるイノベーションの芽を摘むことになるかも知れないので、慎重に議論を進めていく必要があるでしょう。★では、取引やサービスの安全性を高めるという面において、セキュリティ専門家が果たすべき役割はどんなものだと思いますか?難しい質問ですね。私自身は、セキュリティの専門家の役割は、正しい情報を提供して、リスクを分析して正しくお伝えすることで、事業者や利用者にとって適切な判断をしてもらうことにあると思います。判断するかについては、サービス事業者側のビジネスの位置づけとか、リスクの内容、運用の仕方といった現実の問題があるわけです。クレジットカードを使ってオンラインで買い物をする場面を考えましょう。クレジットカード番号さえ知っていれば、誰でもカード所有者になりすまして買い物が可能です。セキュリティコードの入力を求められる場合もありますが、これも固定なのでカード番号の桁数が増えたのと変わりません。クレジットカードはセキュリティ上、安全な仕組みではないからやめるべきかといえばそうではありませんよね。★確かに、世の中に広く定着している仕組みです。リスクはあるけど、やり方で世の中が動いている現実もあるわけです。クレジットカード会社はリスクを負担して、不正にカードが利用されれば、損失を補填するなどの対応を取るという運用体制をとっています。最終的にリスクをどう織り込んで、どう対応するかということは、利用者やサービス提供者が判断するものなのです。そのために、正しい情報を正しい形で提供して、それを判断する人の材料に使ってもらうというのが、専門家の果たすべき役割ではないかと思います。★正しい情報を提供するというのは、具体的にはどういうことですか?リスクがあること、それがどの程度のリスクであるのかを説明するということではないでしょうか。いくらかのリスクを織り込みながら、現実的にはどのあたりまでなら危なくないと言えるかというのは、専門家の腕の見せどころですね。(後編に続く)後編では、引き続き、エンドユーザー視点でのセキュリティのポイントや、武田氏個人の今後の取り組みなどについてお話していただきます。Twitter!最新情報やユミコの日常が見えるかも?Facebook公式ページFacebookページのいいね!ボタンを押すと情報セキュリティブログの最新情報がウォールに表示されます。関してご意見・ご感想サイトマップRSSスマートフォンサイトに切り替える2010年9月30日以前に公開されたコンテンツについては、本文中の社名は当時のもの(日立システムアンドサービス)となっております。