第3回:情報収集のあり方を考える

2016-10-18

――突き付けられたセキュリティの課題

対談者
TMI総合法律事務所 パートナー弁護士 大井 哲也(写真左)
PwCサイバーサービス合同会社 上席研究員 神薗 雅紀(写真右)

サイバー攻撃による個人情報漏えい事件が世間を騒がせています。その対策として、各組織ではさまざまなセキュリティ対策ソフトやシステムを導入しています。それでもさまざまな脆弱性が露見している現状を見て、不安になっている方も多いのではないでしょうか。ひとたび問題が発生すると、情報管理にばかり目が行きがちですが、そもそも情報収集とは、どのようにするべきなのか。セキュリティの原点に立ち戻って、対策を考えてみましょう。

関連情報は、個人情報なのか

神薗 このたび、大井先生と一緒に、いろいろな事案に対応させていただきました。サイバー攻撃が起こった時に、最も大きな問題として注目されるのは、個人情報が持ち出されることです。ニュースで発表される時も、その点が強調されます。
そう考えると、昨今はSNS(ソーシャル・ネットワーキング・サービス)の利用が盛んです。前回も話に出ましたが、SNSでは、さまざまなシステムが連携することによって、SNSで得た情報をデータベースが保存してしまうことが分かってきました。こういったデータは、個人情報と同等の重みがあるのではないかとも思うのですが、その辺りはどうお感じになっていますか。

大井 それこそ今、ポケモンGOが大流行しているのを見ても分かるように、スマホのアプリが収集する情報は多岐にわたり、膨大な量に上っています。それまでは、ユーザー側が、氏名やメールアドレス、住所、電話などをインターネットのサイトを通じて入力するのが個人情報の収集の典型的な方法でした。
それが今はアプリの時代になりました。各人が、ポケモンのゲームやEコマースのアプリを使う際に、スマホのアプリは、さまざまな情報を得ています。従って、ソーシャルアプリのベンダーであるSAP(ソーシャル・アプリ・プロバイダー)が持っている情報量は飛躍的に拡大しているのです。そのユーザーがどのようなアプリを利用し、いくら課金したか、ほかにどのようなアプリを使ったかなどのアプリの使用履歴はもちろんのこと、それ以外にも、スマホには必ずGPSが入っていますから、ユーザーの位置情報、その人が何時何分に、どういう経路でどこに行ったか、緯度経度の細かな数値に至るまで、つまりわれわれのライフログと言われているものが全部スマホのアプリによって集収されている状況です。
その意味では、ひとたび個人情報の漏えいが起こった場合、単に氏名、住所が漏れたというレベルでなく、その人がいつどこに行って、どういう行動をし、何を買い、何に興味を持ち、どのようなライフスタイルをしているのかなどの関連する情報まで漏えいしてしまうこともあり得るわけです。そうなった時の被害の大きさを考えると、恐ろしいことだと思います。

神薗 そういった情報は、裁判になった場合、個人情報と同等のような扱いを受けるのでしょうか。

大井 哲也

大井 現状ですと、スマホから得られた個人情報のうち、例えば、氏名と、その人がEコマースで買った購買履歴、あるいは氏名とその人の位置情報などが、完全に紐付いているわけではありません。少なくとも、個人の特定というレベルでは抽象化されたものにすぎません。
車が好きな男性が、あるアプリを使って新車のパンフレットなどを入手し、その後に別のアプリを使って旅行サイトで旅行の予約をしたとします。そうすると、この2つのアプリの情報は連携している状態です。しかし、そのユーザーが誰なのか、つまり氏名とは完全には紐付いていません。従って、個人の識別性がある状態で、その人のライフログが漏えいしていると判断されるケースは、例外的な場面を除いてありません。
その意味では今のところ、まだ匿名化が担保されているので、万が一それらの情報が漏えいしたとしても、誰がどういう行動を取ったか、ということまでは漏えいしない仕組みになっています。

神薗 ライフログや関連情報などが漏えいした際、裁判などでは、個人情報ではないと判断されるケースのほうが多いわけですね。
では、例えば、その情報から、さらに検索をかけることによって、個人が特定されてしまうことはあるのでしょうか。

大井 それは、あります。先ほど「例外的な場面を除いて」と申し上げましたが、ネットフリックスの視聴履歴を巡って、そういった事例がありました。
当然ながら、ネットフリックスの視聴履歴は、個人のユーザーに紐付いていますが、どこの誰がこの映画を見たという情報は、当然外部からは見ることができません。しかし、それとは別の映画のサイトに、Aという匿名化されたユーザーの視聴履歴がありました。これらの情報を照合してみると、実は、Aというユーザーと、別のサイトのBというユーザーが一致しているのではないかということが分かりました。このように、情報の照合によって、個人の特定ができてしまうケースはあります。

恐るべき二次被害、三次被害

神薗 もう一つ考えなければならないことは、SNSだと、システムを連携する際に、認証情報なども当然、サーバー側に蓄積しなければなりません。そういった認証情報などが、仮に盗み出されてしまうと、場合によっては、二次被害、三次被害が出てしまうことも当然考えられます。
例えばツイッターは、OAuth(オーオース)情報やその他の情報・条件が揃うと、本人とは違うかたちで書き込みをすることもできますし、別のアプリケーションでも、認証に必要な情報さえ揃えば、本人になりすまして書き込むことも場合によっては可能です。さらに言うと、そういう方法を通じて、SNSで知り合いになっている他の個人の情報まで持っていかれてしまう可能性も十分あります。今回の事案においても、OAuth情報がまさに漏えいしていましたし、独自アプリケーションの認証情報なども漏えいしていました。
このように認証情報が悪用され、二次被害によるさらなる個人情報などの漏えいの可能性は、あまり考慮されていない現状があるのではないかと思いますが、これについてどうお感じになっていますか。

大井 非常に怖い状況だと思いますね。ソーシャルサービスは、非常に機微な情報、つまり、個人の生活そのものの情報が集中的に保管されています。それらの情報をユーザーになりすますことによって、自由に持っていかれてしまう可能性があるわけですから、リスクは非常に高い。いざ認証情報が漏えいした際に、それに紐付いて起こる二次的な被害は、社会的にも、あまりにもインパクトが大きいものになるでしょう。

神薗 システムを作る時のセキュリティのルールとして、通常は、クレジットカードの情報などの個人情報を扱う時とそうでない時は、機微な情報と、機微でない一般情報を分けるのが一般的です。それがセキュリティのベストプラクティスとされています。しかし、SNSや独自アプリケーションで保存した情報の場合は、ほとんどが一般的な情報、つまり機微ではない情報に自動的に区分されてしまっているのではないかと思います。あるいは、そこまで設計が及んでいないのかもしれません。そういった状況で情報漏えいが起こった場合に、その情報単体は機微ではなかったとしても、そこから派生する二次被害により機微な情報をいくらでも取り出すことができます。
そういった二次被害、三次被害を受けてしまう可能性があるにもかかわらず、それがあまり認識されていないのが、今の日本の現状なのではないかと思います。

大井 そうですね。SNSでどのような情報をインプットするかは、基本的にはユーザーそれぞれの判断です。例えば、フェースブックは原則として実名です。そうすると、実名の情報に加えて、その人がどういう行動をとったかが、履歴としてタイムラグにインプットされるわけです。
従って、連携先のサービス内容に、どういう情報がインプットされているかを踏まえて、セキュリティを考える必要性があります。

神薗 そのとおりだと思います。結局、機微な情報になり得る情報なのに、機微な情報でないと判断されてしまったために、本来、暗号化されるべきものが暗号化されずに残ってしまう。その状態で情報漏えいが起こると、さまざまな情報が一網打尽に持っていかれてしまって、二次被害、三次被害に及んでしまう――。こういった流れになっているように思います。
これについては、システムの設計だけでなく、データに対しても、きちんと重要度やセキュリティポリシーを定めて適用しなければなりません。今は、そういう大きな課題に直面しているのではないかと思います。

突き付けられたセキュリティの課題

大井 もう一点、重要な点は、情報収集のやり方です。今はアプリが多く使わるようになりました。アプリの世界では、収集できる情報が多岐にわたるために、使わない情報も収集してしまっていることです。
つまり、データを管理する側は、ユーザーの細かな履歴やタイムラグなど、さまざまな情報を持っていますが、その一方で、その情報をどういう目的で、どういうものに使うのか、あまり意識しないまま、収集している現状があるわけです。
セキュリティの基本は、情報を持たないこと。これが大原則です。従って、持つべき情報なのか、持たなくても良い情報なのかを判別することが大事です。それが課題として、突き付けられていると思います。

神薗 おっしゃるとおりだと思います。アプリやサービスを開発する現場の視点から言いますと、セキュリティポリシーを後から変えるのは、大変な作業になります。従って、良いことではないのですが、まとめて情報を得られるのなら、その情報も持ってしまおうというシステムの作り方をしているのが現状です。それが今、大井先生がおっしゃった問題点につながっている要因の一つだと思います。
それに加えて、SNSなどから得られた情報の管理に、あまり人手がかけられない現状があります。そのため、きちんとした運用がなされずにきているのだと思います。しかし、これを何とかしなければセキュリティを確保するのは困難です。

大井 情報の必要性を判別して、必要な情報のみを持つようにすることが、大きな課題です。アプリが一般的に使われるようになった今、情報の扱い方やセキュリティの原点に戻ることが求められていると思います。

※法人名、役職、対談の内容などは掲載当時のものです。

最新のサイバーセキュリティ コラム・対談