第4回：情報管理者のセキュリティ意識を高める

対談者
TMI総合法律事務所　パートナー弁護士　大井 哲也（写真左）
PwCサイバーサービス合同会社　上席研究員　神薗 雅紀（写真右）

個人情報を預かっている企業が、情報を漏えいしてしまった場合、報道などで、その企業が責任を問われている光景をよく目にします。しかし、データを預けているデータオーナーにも、当然、責任があります。これについて、法的・技術的側面の両方から語ります。

情報漏えいによる損害の大きさ

データを預かる管理者の責任はどこまで！？

大井　次に、データを管理している者の責任について考えたいと思います。例えば、外部のハッキング集団に侵入されて、ユーザーの個人情報を盗まれてしまった企業がPwCさんに相談に来る場合、どのような認識を持って来られることが多いでしょうか。

神薗　自分たちの責任だと考え、協力して対応に臨みたいという意識のクライアント企業もいらっしゃいますが、やはり外部からのサイバー攻撃というケースでは、どうしても自分たちは被害者であるという意識で相談にいらっしゃるクライアント企業が多いのも事実です。

大井　ハッキング集団が個人情報を盗んだのですから、もちろん、彼らが犯罪者であり、責任を負担すべき一義的な義務者です。しかし実際には、ユーザーの個人情報を預かって管理していた企業が、損害賠償の責任を負わなければいけません。これについて、個人のユーザーは一般的にどのように考えているのでしょうか。

神薗　個人のユーザーは、自分が預けている企業に、情報をきちんと管理していなかったと言って、責任を問うケースが多いと思います。その結果、企業が責任を取るケースがよくあります。

大井　今、神薗さんがおっしゃったことを法的に整理しましょう。ユーザーは、企業に個人情報を預けているわけです。すると、その企業は、ユーザーの大切な資産やものを預かっている以上、それが商品であれ、銀行が保管している預金であれ、情報であれ、管理責任が発生するわけです。それを法的には、委託契約における善管注意義務と言いますが、そのような価値のあるものを預かっているのですから、自社の情報などよりも、高いレベルの管理を要求されるというのが、個人情報の管理責任の本質です。つまり、安全に管理する義務があるのです。
従って、企業は、外部のハッキング集団から被害を受けた被害者だという意識を持つのではなく、ユーザーから価値のある大切なものを預かっている責任の重さを認識することが必要です。

神薗　大井先生と一緒に情報漏えいインシデントの対処に当たっている中で、データオーナーの責任について、新しい気づきがありました。日本では、攻撃を受けた企業や組織だけが世間から注目を受け、責められる傾向がありますが、今のお話だと、その企業にデータを預けているデータの管理者も責任を負わなければならないと思います。
例えば、あるシステムのクラウドサービスを提供している企業があったとします。いろいろなデータを入れて、初めてそのサービスを受けられるというものです。このクラウドベンダーが攻撃を受けると、多くの場合、クラウドベンダー自身が批判されます。確かに、クラウドベンダーの側にシステムなどの脆弱性があったから、攻撃を受けてしまったのかもしれません。漏えいした情報は、個人のユーザーや企業など、データオーナーが預けた情報なのです。
メディアの報道などを見ていると、データオーナーの責任については、あまり取り上げられていないように思います。そういうデータオーナーの責任が希薄なのではないかと感じます。

データを預かる管理者ばかりが注目の対象に

大井　管理者と、データを預かっているクラウドベンダーなどの企業の関係を図に示します（図参照）。
まず管理者が情報を収集します。管理者は、この情報を自社で管理するのではなく、クラウドベンダーにデータを預けているとしましょう。
管理者自身は自分で個人情報のデータを管理していないので、ハッカーは、管理者に対してはハッキングをしないで、管理者の委託先であるクラウドベンダーに攻撃をかけるわけです。そうなると、このクラウドベンダーの管理責任が問われる。これが報道などで、一般的によく見られるケースです。
しかし今、神薗さんがおっしゃったように、管理者が個人情報の管理をクラウドベンダーに委託しているのですから、管理者は、委託先の管理監督義務を負っているわけです。従って、管理者は、自分の情報を安全に管理してくれるベンダーを選定して委託しなければなりません。クラウドベンダーがセキュアにシステムを構築しているかどうかを検証して、管理監督しなければならないわけです。

神薗　それなのに、データを預けている管理者ではなく、預けられているクラウドベンダー側の責任ばかりが、どうしても話題に上ってしまいます。そういう意識が一般に蔓延していることは、一つの問題ではないかと思います。いろいろな案件に接するたびに、やはり管理者も、もう少しセキュリティの意識を高めなければならないと感じています。

大井　おっしゃるとおりです。管理者は、データセキュリティについては、言わば素人のことが多い。他方で、個人情報の管理の委託先は、クラウドベンダーを含め、システムの保守運用をするセキュリティのプロです。だからといって、管理者が、「全てクラウドベンダーにお任せです」という姿勢でいるのは、許されることではありません。ユーザー自身がセキュリティの知見を持って、ベンダーを管理し、不備があれば指示を出すなどしていなければ、管理者の責任は免れません。
PwCさんは、データのオーナーから、情報の委託先の情報セキュリティシステムが安全かどうかの検証を依頼されることがあると思います。その場合に、管理者自身のシステムと、個人情報管理の委託先であるベンダーやシステム保守運用会社の両方に対して、どのような保守運用をしているかを検証しなければなりません。管理者自身のシステムに関しては、ご自身から依頼されているので、十分に吟味することができますが、委託先であるクラウドベンダーや、システムの保守運用会社が、監査を受け入れてくれなかったという経験はありますか。

【図】データオーナーとクラウドベンダーの関係

※法人名、役職、対談の内容などは掲載当時のものです。