(IPA)2013.07.03コピーしましたPR日本の個人情報保護法やそのガイドラインでは、「個人データの安全管理のために必要かつ適切な措置」を講じるように規定している一方で、いくつかある対策手段の一つとして「暗号化」との例示があるにすぎず、「暗号化すること」の意義が明確に定められていない。唯一、「高度な暗号化をしていた場合、情報漏えい事故発生時に、本人への通知及び公表を省略しても差支えないと考えられる」とあるだけで、それも「高度な暗号化」がどのような状態を満たしていればよいかを正確に規定していない。その結果、最低限とるべき対策水準でさえ明確ではなくなっている。「暗号鍵を厳重に管理運用し、利用者認証にICカードを使って暗号化するケース」も「4桁の暗証番号で暗号化するケース」も同じ「暗号化をしている」という判断になっているのに、前者が「高度な暗号化をしている」と判断されるかどうかははっきりしない。欧米では明確に「個人データを安全管理するために暗号化が必要」とガイドラインでうたっており、どのような状態にあるものが「安全な暗号化をしている」といえるかまで規定されている。特徴的なのは、セキュリティ対策は費用対効果を考えるべきとしており、情報漏えい時の影響度によって必要な対策水準のレベルが異なることを前提としていることである。注意すべきは、費用対効果の判断が正しかったかどうかは当事者の判断ではなく、監督官庁(広い意味では第三者)による事後検証で判断する点である。監督官庁が事前に示す基準に照らして、当事者が合理的な費用対効果の判断をしていなかった(最低限とるべき水準の対策さえも実施していない)と判断された場合に安全管理義務違反を問われることになる。明示的に、当事者に一定の裁量権を認める代わりに、当事者の勝手な言い分を認めないための最低基準を決めるという考え方である。【第13期】8回のセミナーでリーダーに求められる“コアスキル”を身につけ、180日間に渡り、講師のサポートの...IT法務リーダー養成講座システム開発・運用に関するもめ事、紛争が後を絶ちません。人手不足に悩み、働き方改革の必要性が問われるIT企業。日本初のデジタルバンク「みんなの銀行」誕生の軌跡に学ぶ「みんなの銀行」という日本初のデジタルバンクをつくった人たちの話です。「次の一手」が分かるDXの祭典。2023年6月に大阪で開催します。情報変更・解約6/1開催ウェビナー『ChatGPTは我々の仕事をいかに変えるのか?。