最新バージョンが必要です。コム、マイクロソフト、ビクトリアシークレットなどの企業が罰金の対象となっています。プライスウォーターハウスクーパースが最近行った調査によれば、米国で急成長している企業のほぼ2社に1社が過去数年のあいだにデータ保護義務違反に遭遇しています。1カリフォルニア州は、一定のデータ保護義務違反事件が発生した場合、その影響を受けるおそれがあるカリフォルニア州住民に対して書面による通知を行うことを企業に義務づけています。同様な内容の法律の制定が米国連邦政府レベルで提案されているほか、施行が予定されている日本の個人情報保護法によっても同様な義務が課される見込みです。データ保護義務違反による影響はかってなく重大なものとなり、また今後もその影響が拡大するものと思われます。企業はデータ保護の技術的な側面に注目しても、データ保護プログラムの最も重大な要素である従業員の重要性を見落しがちです。企業がファイアウォール、暗号化、パスワード保護その他の保全措置に巨額の投資をしても、たった一人の従業員の偶然の行為によって、投資がまったく無駄になってしまうことがあります。その反面、従業員は社内や社外で発生するデータ保護義務違反を防ぐ最善の方法ともなりえます。本稿では、企業データの安全に関する現実のリスクを分析し、次に、従業員およびデータ保護技術に対する投資を有効に活用したデータ保護プログラムを導入する方法を述べます。企業データに対する社内および社外からリスクデータ保護に当たっては、コンピューター・ハッカーによるリスクが重視される一方で、従業員によるリスクが軽視される傾向があります。従業員の大多数は信頼できるでしょうが、ほんの一瞬の軽率さ、怒り、欲望にかられた従業員が企業データを脅かす深刻な存在となりえます。メディアが報道しているように、従業員によるデータ保護義務違反が多発しています。以下はその具体例です。金融機関の従業員が、自動車に鍵をかけずに、車内に顧客データが記録されているラップトップ・コンピュータを放置して、盗難にあったケース。記録を消してしまったケース。インターネット・アクセス会社のサポートセンターに勤務する従業員が、50万人規模の契約者の個人情報を密かにダウンロードして、当該情報をインターネットに掲示すると会社を脅迫し、数百万ドルの金を要求したケース。した実例は、過失による場合から故意による違法行為など、雇用者のデータの安全性が脅かされる従業員の多様な行為を示しています。従業員によるデータの意図的な盗用や不正使用の危険性を軽く見ることはできません。最近の調査によれば、米国における本人の身元に関する確認データの盗用事件の70%は、従業員によるものです。2会社が従業員を信頼するのと同程度に、会社は不平を持つ従業員や従業員の不注意によってデータが盗用される「最悪のケース」に備える必要があります。データの安全を守る基本原則は、業務上実際に必要な情報以外へのアクセスを従業員に許さないことです。具体例として、あるマネジャーが売上上位500社の企業とその購入数値に関するスプレッドシートを作成して、会社の経営陣にそれを配布する場合を考えてみましょう。そのマネジャーが間違って受取人の名前を記載して、そのスプレッドシートを別の会社の従業員に送ってしまい、情報がその会社の他の従業員に流れました。この事態は、スプレッドシートに顧客の氏名が含まれていただけでも重大な事態に進展していたでしょう。スプレッドシートに各顧客の個人情報(配偶者の氏名や自宅の電話番号など)が含まれていたらどうなっていたでしょうか。その場合、誤って宛先に送られた一枚のスプレッドシートによって多くの顧客の身元が判明する問題が生じます。この余計なリスクは、マネージャーに対して業務に実際に必要な情報だけをアクセスする権利を認めることによって回避できるものです。(そもそも、マネジャーが顧客に関する個人情報を知る必要があったのでしょうか。)マネジャーによるアクセスを制限することによって生じるリスクはまったくありません。アクセスを制限することによって、その個人が偶然発生させた損害は遙かに軽減されていたでしょう。上の例は顧客データに関するものですが、同じことがさらに給与データその他の秘密データに当てはまります。秘密データに対するアクセスを制限することは、データの漏洩を防ぐ最善の方法の一つです。「秘密データ」の重要性の違い上記のケースでは、マネジャーは一定の顧客データ(最大の顧客は誰かなど)を知る正当な理由を有していましたが、その他の情報(特定の契約に関する注記など)に関する情報を入手する必要はなかったわけです。マネジャーに対してデータベースに対する無制限のアクセス権を与えるのではなくて、そのマネジャーが必要とする一定の種類のデータに限定したアクセスを認めるべきだったのです。同じデータベースに含まれるデータであっても、データの種類によっては要求される秘密保持のレベルがまったく異なります。データベースはますます大規模かつ詳細なものとなっているので、全データベースをひとくくりに「秘密情報」として扱い、同じデータベースに含まれる情報すべてを一律に取り扱うことはできません。業界で著名な顧客の氏名や住所の秘密を守る必要性は、こうした顧客やサプライヤーとの取引条件の秘密を守る必要性に比べ、はるかに低いものとなります。著名な会社に関するその他のコンタクト情報の秘密性が要求される場合があります。誰が最終意思決定権であるかなどの情報です。顧客に関するすべてのデータを一律に秘密扱いすることは、一般に公開されている情報の利用を不必要に制限することになり、また最も大事な自社保有データの保護に支障が生じる場合があります。従って、データ保護を適切に行うためには、それぞれのデータの種類に応じてどの程度の秘密性が要求されるのかを確認する必要があります。データの内容ごとに要求される秘密性のレベルを判定することが、データの保護義務違反を最小限に食い止めるだけではなく、企業秘密の保護その他の適用ある法的防衛手段の保護に不可欠となります。(裁判所を通じて)営業秘密を保護するためには、企業は次のことを証明する必要があります。当該企業がその秘密を守るために合理的な措置を講じていること。営業秘密データにアクセスできる従業員の数が多ければ多いほど、情報の秘密を守るために必要な措置を講じたことを証明するのがますます困難となります。一般的には、一定のデータの重要性とそのデータにアクセスする従業員の数は反比例する関係があります。ない場合には、裁判所は当該データを営業秘密として認定することに消極的になり、営業秘密の不正利用を禁止する統一営業秘密法その他の法律に基づく企業に対する救済を拒否するでしょう。営業秘密として認められる条件を満たさないデータについても、企業はそうしたデータの秘密を守る法的措置を講じる必要があります。企業は、企業データの秘密を維持する契約上の義務を従業員に負わせるべきです。した契約上の保護は、各従業員に秘密保持(非開示)契約に署名させることによって成立します。この秘密保持契約では、秘密であると見なされる情報が幅広く定義されると同時に、秘密情報の具体例(当該企業の定型的な方法、発明、顧客リストなど)が記載されます。企業は新たに従業員を採用する際や従業員が退社する際には、入社証明書や退社証明書に署名させ、企業データの秘密を守る義務があることを確認させることもできます。した合意に基づく秘密保持義務は、企業データが営業秘密に該当しない場合にも、当該企業データを法的に保護します。データの法的性質にかかわらず、情報の秘密保持に関する適切なレベルの保護を図ることは、データの開示に対する法的保護手段を確保する上で不可欠となります。以上のように、何らかの秘密データを持つ企業は、技術的な要素や人為的なリスクを防ぐためのデータ保護の管理制度が必要です。この管理制度には、秘密データを分類するためのシステム、データに対する社内および社外からのアクセスを制限するためのアクセス・コントロールならびに従業員の研修制度が含まれます。データの分類システムの作成どのようなデータ保護システムにせよ、その設定のためには、どのような形でデータを保管するべきかについての判断が必要となります。最新のデータ保護システムにおいては、コンピューター用に転換されたデータの保護に最先端の技術が使われていることがありますが、そのデータのハードコピーの作成や取扱いに何らの制限が設けられていないことがあります。従業員がその他の方法、例えばラップトップコンピューターのハードディスクにデータを含んだファイルを保存したり、スプレッドシートをPDAに保存したりする方法によってデータを持ち出すことがあります。従業員が経営陣の検討や承認を経ていない新しい方法によってデータを保管したり、他の場所に移転させている場合がありえます。した事態が把握され、評価されない以上、データ保護には「すき」が生じることになります。データがどのように保管されているかを確認した後に、それぞれのデータの種別に応じていかなる秘密の保護が必要となるかの判断がはじめて可能となります。データの分類に当たっては、データの秘密を守る必要性と営業上の必要性のバランスが要求されます。あらゆる顧客データを一律に「秘密」情報であると分類しても、実際に情報の秘密が守られなければあまり意味がありません。あらゆるデータを一律に秘密情報として分類することは逆効果となることがあります。会社がデータの保護方針を守れないという印象を与える場合があるからです。営業秘密その他の秘密の保護を実施することが困難となることもあります。会社がそのデータ保護方針を守っていないということが、当該会社が実際に当該データを秘密として取り扱っていないということの証拠であると従業員が主張することができるからです。従って、会社は現実に即して秘密情報の分類を行うべきであり、遵守できない基準を設定することは避けるべきです。会社がデータの種類ごとに要求される秘密性の程度を決定する際に、一つのデータベースに含まれるデータフィールドやデータセットごとに異なった秘密性が要求されることがわかるでしょう。従業員の報酬は一般に秘密情報として取り扱われていますが、従業員の社会保障番号は個人の身元がそれによって判明するので、報酬よりも一層厳重な管理が必要となります。従って、マネジャーは会社の給与データベースから従業員の給与に関するデータを入手することが許されても、同じデータベースに含まれている社会保障番号を知ることは許されるべきではありません。同じデータベースに多様なデータが含まれているからといって、すべてのデータを一律に扱う必要はありません。データに対するアクセス・コントロールデータの分類システムを確立してはじめて、会社はそれぞれの情報の分類に応じた情報のアクセス・コントロールを行うことができます。アクセス・コントロールにはいろいろな形がありえますが、その目的は社内および社外からのデータへのアクセスをコントロールすることです。秘密情報のレベルに応じた通常の情報管理の他に、従業員が必要とする秘密情報のアクセスに対するコントロールも必要となります。アクセスをコントロールする技術としては、ファイアウォール、暗号化、マスキング、サプレッション、パスワードなどがありますが、これらに限定されるものではありません。アクセス・コントロールは、コンピューターだけに制限されない。システムへのアクセスを制限する以外にも、秘密情報が含まれる情報デバイスのコントロールも必要となります。顧客情報、データファイルその他の秘密情報を保管するために、PDAの利用が増えています。PDAはそのサイズが小さいので、置き忘れたり、なくしてしまうことがあります。少なくとも、秘密情報が含まれるラップトップ、PDAその他のデバイスにはパスワードによる保護が必要となります。従業員が秘密データを個人のラップトップや、自宅のコンピューターやPDAに保管している場合には、企業はこうした方法を再検討すべきです。個人が所有するデバイスにアクセス・コントロールを完備させることは難しく、また従業員が退職した場合に社内データが完全に削除されているのを保証することはほぼ不可能です。従業員が秘密データをラップトップ、PDAその他のデバイスに保管している場合には、会社がそうしたデバイスにアクセスできる状態が理想的です。秘密情報が含まれるファイルやドキュメントを保護するため、パスワードも使用されるべきです。電子メールアドレスの一文字のタイプミスによって誤った相手に電子メールが届いてしまうことがあるので、パスワードによる保護が重要となります。カリフォルニア州がデータ保護義務違反に関する通知義務を定めたことによって重要性が増しています。Codeとして収録されているもので、カリフォルニア州で事業を行っているすべての個人や事業主体に対して、暗号化されていない個人情報を含んでいる電子化された情報に関する保護義務違反があった場合に、通知を要求しています。「個人情報」とは、個人の名前(またはイニシアル)および名字の他に次の情報のいずれかを内容とするものであって、データの一部分が暗号化されていない場合を意味します。クレジットカードもしくはデビットカード番号で、その口座を使用するために必要なセキュリティー・コード、アクセス・コードもしくはパスワードを伴うもの。した情報が漏出した場合には、当該企業はその個人情報がアクセスされた可能性のあるカリフォルニア州の住民に対して書面で通知しなければなりません。同じような立法が連邦レベルにおいても検討されており、日本でもまもなく立法化される予定です。顧客に対してデータの保護義務違反があったことを通知することに伴う犠牲としては、金銭的なものだけでなく、信用の低下や顧客との信頼関係の破壊も考えられます。その結果として、企業サイドは通知義務を発生させる社会保障番号その他の個人情報を保管する必要性の有無を再検討しています。このカリフォルニア州法は、企業がその保有する個人情報を暗号化して、通知義務が発生する場合を限定し、またはなくすための奨励措置を設けています。日本では、数社の企業が重大な情報保護義務違反を理由として顧客に対する通知を行っています。あった場合に、個人や関係官庁に通知する義務を課しています。秘密情報をベンダーその他の第三者に提供する企業は、ベンダーに対して秘密保持契約を締結させる方針を守るべきです。少なくとも、秘密保持契約によって、ベンダーが当該企業の書面による承諾なしに当該情報を開示し、または契約の履行以外の用途に使用することを禁じるべきです。会社のデータを守るために適切な技術的および手続的措置を講じることならびにこうした予防措置が少なくともベンダー自身がその情報を守る際の場合と同じ水準であることを、ベンダーに表明するよう要求することが一般的となっております。一部の企業は、ベンダーに対してその全従業員に当該データの秘密を守る義務を課する秘密保持契約に署名することを求める場合さえあります。ベンダーに対してベンダーによる情報漏洩によって生じる損害や経費の補償を要求する補償条項について交渉する企業もあります。した補償条項は今後ますます一般的になる可能性があります。新しい立法によってデータ保護義務違反を通知する費用が発生する可能性があるからです。データ保護義務違反が発生した場合に通知義務を課するカリフォルニア州法の制定によって、通知義務を回避するために一層多くの企業がベンダーに提供する個人情報の暗号化を求めるようになるでしょう。誰がプロセス・オーナーなのかデータ保護に関する方針の設定は、一度で終わるものではなく、継続的な実施と定期的な見直し・改訂が要求されます。企業は一般的にこうした過程の管理について責任を負う個人やグループを選任する必要があります。プロセス・オーナーは、各種のデータを適切に分類し保護する責任を負います。プロセス・オーナーはさらに、企業側の需要や慣習の変化に対応してデータ保護方針の変更を提案する長期的な責任を負います。上記のステップの最終段階としてデータ保護に関する方針が文書化されますが、それは情報を保護する必要性と実務上の必要性のバランスがうまくとれたものである必要があります。データ保護方針は、従業員が業務を執行する際に必要な情報が入手できない場合や、従業員がデータにアクセスする場合に何らの制限がない場合には、ほとんど無意味となります。故に、データ保護方針は各会社のニーズと事情に適合した内容のものである必要があります。書面化されたデータ管理方針には、データの分類システム、義務的または推奨されるデータに対するアクセス・コントロール方法、秘密情報の移転や使用に関する制限が記載されます。それに関連する事項、例えば、各従業員が秘密保持契約に署名する義務やベンダーとの秘密保持契約の内容などが記載されることがあります。最後に、管理方針には誰がプロセス・オーナーであるのかを明らかにして、プロセス・オーナーやその代理人に質問や疑問点の問い合わせができるようにするべきです。会社はまた、従業員が匿名で疑問点を報告でき、データ保護に関して誠実に疑問を報告した従業員に対して制裁が行われることがない制度を設けることを検討するべきです。従業員研修データ保護方針を設定する究極の目的は、データ保護の方法を全社的に改善し、規格化することです。このことは、従業員が会社の方針を知りかつ理解してはじめて可能となります。従業員が管理方針を読んでその内容を理解する時間があるという仮定の下に、会社の管理方針を電子メールで全従業員に対して送るだけでは不十分です。管理方針の徹底を図る最善の方法は、従業員に対してデータ保護に関する基本的側面と発展的な側面に関するトレーニングを提供することです。従業員が、日常的な予防措置の重要性について、思い起こすようにしなければなりません。ここでいう日常的な予防措置には、不要となった秘密情報の削除あるいはかかる秘密情報の記載された書面のシュレッダーによる処理、パスワードの保護、秘密を要するファイル、会社のファイアウォール以外の公開されたインターネットを利用する場合に注意すべき事項等が含まれます。基本的な事例のほか、従業員はデータが漏洩したという最悪の場合の対応方法について訓練を受けるべきです。データ保護義務違反の疑いが生じた場合、誰に報告を行うべきかを従業員に周知させ、IT関連の責任者を養成して、データ保護義務違反を知った場合には、許可されていない情報アクセスを止めさせ、または最小限にくい止める手だてを講じるべきです。データ保護義務違反があった場合に、通知義務が生じるカリフォルニア州や日本の場合には、経営者は知識のある弁護士と相談して、会社の法的義務の内容と司法当局の介入を要請すべきかを検討できる体制を整えるべきです。データ保護義務違反には迅速な対応が求められ、一端、データ保護義務違反が生じてしまえば、こうした準備をしても手遅れとなります。従業員にデータ保護の重要性を教え、そのための訓練を行うことが極めて重要となります。従業員の積極的な関与なしには、データ保護方針は画餅にすぎず、またインターネット上のページでしかないことになります。結論つい最近まで、人事部が人事問題を担当し、IT部門が技術関係を担当し、相互の重なり合いや協力関係は希薄でした。今では、データの保護義務違反のリスクが拡大し、義務違反の大半が社内で発生することが理解されるとももに、以前とは異なるアプローチが必要となりました。企業は従業員が不注意または故意にデータ保護義務に違反し、情報を開示してしまう事態に備えるべきです。それと同時に、企業は従業員の訓練を行い、その生活の糧をもたらす情報の秘密を守る権限を与えるべきです。従業員教育に対する投資、技術的なソリューションに対する投資によってはじめて、企業はますます拡大する社内および社外からのリスクに対して情報を保護することが可能となります。Kennedyこのニュースレターがご提供する情報は一般的なもので、いかなる個別の事案に対しても適用されることを保証したり、解決を提供するものではありません。具体的な事案においては、当該事案に対する個別の法的助言なくして、ご判断をなされないようにお願い申し上げます。