第3回：情報収集のあり方を考える

神薗　このたび、大井先生と一緒に、いろいろな事案に対応させていただきました。サイバー攻撃が起こった時に、最も大きな問題として注目されるのは、個人情報が持ち出されることです。ニュースで発表される時も、その点が強調されます。
そう考えると、昨今はSNS（ソーシャル・ネットワーキング・サービス）の利用が盛んです。前回も話に出ましたが、SNSでは、さまざまなシステムが連携することによって、SNSで得た情報をデータベースが保存してしまうことが分かってきました。こういったデータは、個人情報と同等の重みがあるのではないかとも思うのですが、その辺りはどうお感じになっていますか。

大井　それこそ今、ポケモンGOが大流行しているのを見ても分かるように、スマホのアプリが収集する情報は多岐にわたり、膨大な量に上っています。それまでは、ユーザー側が、氏名やメールアドレス、住所、電話などをインターネットのサイトを通じて入力するのが個人情報の収集の典型的な方法でした。
それが今はアプリの時代になりました。各人が、ポケモンのゲームやEコマースのアプリを使う際に、スマホのアプリは、さまざまな情報を得ています。従って、ソーシャルアプリのベンダーであるSAP（ソーシャル・アプリ・プロバイダー）が持っている情報量は飛躍的に拡大しているのです。そのユーザーがどのようなアプリを利用し、いくら課金したか、ほかにどのようなアプリを使ったかなどのアプリの使用履歴はもちろんのこと、それ以外にも、スマホには必ずGPSが入っていますから、ユーザーの位置情報、その人が何時何分に、どういう経路でどこに行ったか、緯度経度の細かな数値に至るまで、つまりわれわれのライフログと言われているものが全部スマホのアプリによって集収されている状況です。
その意味では、ひとたび個人情報の漏えいが起こった場合、単に氏名、住所が漏れたというレベルでなく、その人がいつどこに行って、どういう行動をし、何を買い、何に興味を持ち、どのようなライフスタイルをしているのかなどの関連する情報まで漏えいしてしまうこともあり得るわけです。そうなった時の被害の大きさを考えると、恐ろしいことだと思います。

神薗　そういった情報は、裁判になった場合、個人情報と同等のような扱いを受けるのでしょうか。

神薗　もう一つ考えなければならないことは、SNSだと、システムを連携する際に、認証情報なども当然、サーバー側に蓄積しなければなりません。そういった認証情報などが、仮に盗み出されてしまうと、場合によっては、二次被害、三次被害が出てしまうことも当然考えられます。
例えばツイッターは、OAuth（オーオース）情報やその他の情報・条件が揃うと、本人とは違うかたちで書き込みをすることもできますし、別のアプリケーションでも、認証に必要な情報さえ揃えば、本人になりすまして書き込むことも場合によっては可能です。さらに言うと、そういう方法を通じて、SNSで知り合いになっている他の個人の情報まで持っていかれてしまう可能性も十分あります。今回の事案においても、OAuth情報がまさに漏えいしていましたし、独自アプリケーションの認証情報なども漏えいしていました。
このように認証情報が悪用され、二次被害によるさらなる個人情報などの漏えいの可能性は、あまり考慮されていない現状があるのではないかと思いますが、これについてどうお感じになっていますか。

大井　非常に怖い状況だと思いますね。ソーシャルサービスは、非常に機微な情報、つまり、個人の生活そのものの情報が集中的に保管されています。それらの情報をユーザーになりすますことによって、自由に持っていかれてしまう可能性があるわけですから、リスクは非常に高い。いざ認証情報が漏えいした際に、それに紐付いて起こる二次的な被害は、社会的にも、あまりにもインパクトが大きいものになるでしょう。

神薗　システムを作る時のセキュリティのルールとして、通常は、クレジットカードの情報などの個人情報を扱う時とそうでない時は、機微な情報と、機微でない一般情報を分けるのが一般的です。それがセキュリティのベストプラクティスとされています。しかし、SNSや独自アプリケーションで保存した情報の場合は、ほとんどが一般的な情報、つまり機微ではない情報に自動的に区分されてしまっているのではないかと思います。あるいは、そこまで設計が及んでいないのかもしれません。そういった状況で情報漏えいが起こった場合に、その情報単体は機微ではなかったとしても、そこから派生する二次被害により機微な情報をいくらでも取り出すことができます。
そういった二次被害、三次被害を受けてしまう可能性があるにもかかわらず、それがあまり認識されていないのが、今の日本の現状なのではないかと思います。

大井　そうですね。SNSでどのような情報をインプットするかは、基本的にはユーザーそれぞれの判断です。例えば、フェースブックは原則として実名です。そうすると、実名の情報に加えて、その人がどういう行動をとったかが、履歴としてタイムラグにインプットされるわけです。
従って、連携先のサービス内容に、どういう情報がインプットされているかを踏まえて、セキュリティを考える必要性があります。

神薗　そのとおりだと思います。結局、機微な情報になり得る情報なのに、機微な情報でないと判断されてしまったために、本来、暗号化されるべきものが暗号化されずに残ってしまう。その状態で情報漏えいが起こると、さまざまな情報が一網打尽に持っていかれてしまって、二次被害、三次被害に及んでしまう――。こういった流れになっているように思います。
これについては、システムの設計だけでなく、データに対しても、きちんと重要度やセキュリティポリシーを定めて適用しなければなりません。今は、そういう大きな課題に直面しているのではないかと思います。