TOP＞情報セキュリティ＞ 3つの観点の使い方

常識として知っておきたい個人情報保護法 第２回：企業における対応方針と成功の秘訣 著者：日本ヒューレット・パッカード  佐藤 慶浩   2006/6/19

前のページ  1  2  3

3つの観点の使い方

これまで3つの観点を紹介したが、結論として「個人情報をビジネスにいかに活用するのかを考えることを組織内に啓発することが、成功の秘訣である」といってもよいだろう。そうでなければ、コンプライアンス対応や漏洩防止といったわずらわしいだけのことになり、現場の人間には個人情報に対する意識が働かないのだ。意識の働かないところでは、結局情報漏洩も防げなくなるものである。    よって3つの中で個人情報活用施策の観点から検討を開始するべきだろう。目的を定めずに手段を検討するほど愚かなことはないからである。

業務上の必要性

企業において顧客の個人情報が、「なぜ・どんなときに・どんなものが必要なのか」そして「誰がどのようにビジネスに活用するのだろうか」について自問自答し、明確にする必要がある。    それに答えていれば、こんな時に、こんなものを取得しておくと、こういうことでビジネスに役立てるために顧客情報が必要だ、ということがわかり、それ以外のことは業務上の必要がないということが明確になる。    この答えのない企業では、「なんとなく機会さえあれば色々な顧客情報をかき集め、誰かが何かの役に立てているに違いない」という前提で対策を検討するしかなくなる。    そのような状況では、どの程度の制限が適当なのかがわからず過不足が生じやすい。制限をかけ過ぎればビジネスを阻害し、制限が緩ければ保護が不十分になる。つまりビジネスの現場担当者からは厳しすぎるといわれ、情報保護に意識の高い者からは甘すぎるといわれかねないのだ。    顧客の個人情報をビジネスにどう役立てているのかを確認して、それに必要な個人情報をどうすべきかを考えるということが、最初にすべきことである。

個人情報に限らない漏洩防止

個人情報の漏洩防止については、2つ目の観点として検討するのがよい。情報セキュリティにおける漏洩対策をそのまま適用すればよい。業務上の必要性のない個人情報がアクセスできなくなっていれば、対策の検討は相当楽になっているはずだ。    個人情報だからといって特別なことはなく、機密情報として対策すればよい。これについては次回以後に詳しく紹介する。

答え合わせとしてのコンプライアンス

最後に、コンプライアンスとしての個人情報保護法の対応について考える。    ビジネスとしてどうすべきかを考えてだした検討結果について、コンプライアンスとしての制約を満たしているのかを確認するとよいだろう。この時、必要性の最小限の制約がコンプライアンスの要求よりも厳しいものならば、それをあえて緩めるべきではない。    例えば個人情報保護法は利用目的を相手に知らせるだけでよく、オプトイン（事前同意を得ること）を求めていないが、ビジネスで活用する際に事前同意を得ておく方がその後の活用がしやすいのならば、オプトインをすべきである。オプトインをせずにダイレクトメールを送って開封されずに捨てられるのならば、同意を得てくれた人だけにダイレクトメールを送る方がビジネスに有効な場合もあるということだ。    ビジネスに役立てるためにどうすればよいかの検討が十分にされていれば、個人情報保護法の要件は、ほとんどクリアできると思ってよい。    逆にいうと法律は最低限のことしか求めていないため、その最低限のことしかしないのでは、ビジネスに活用するには不十分になるということだ。

安心感と満足度の向上

個人情報に関する対策とは、企業が顧客に与える「個人情報を適切に保護しているという安心感の向上」と「個人情報を利用した各種販売促進活動における満足度の向上」を管理することだといえよう。    ビジネスにとって重要なのは後者だ。それによって顧客は企業に個人情報を預けてもよいという気持ちになる。前者はいわば当たり前のことであって、安心感が向上することがそのまま満足度の向上にはならないという点に注意すべきだ。    ダイレクトメールの例であれば、その宛名の個人情報を守ることは当然のことであって、それよりもダイレクトメールの内容を顧客にとって有益なものとすることについて、個人情報保護の対策をきかっけに社内展開するのがよい。    それによって、個人情報はビジネスにとって大切なものであり、守るべきものという意識を育てるのがよい。

次回は

今回は対策を検討する際の観点について、3つの視点から紹介した。次回は「個人情報を分別する」ことについて解説する。

前のページ  1  2  3

著者プロフィール 日本ヒューレット・パッカード株式会社   佐藤 慶浩 1990年日本ヒューレット・パッカード（株）入社。OSF/1、OSF/DCE、マルチメディア、高可用性、インターネット技術支援を経て、米国にてセキュリティ製品の仕様開発に携わった後、情報セキュリティのコンサルティングに従事。また、国内初のインターネットバンキングでトラステッドOSを導入、インターネットトレーディングシステムでは性能改善のためユーティリティコンピューティングも設計。2004年からは、個人情報保護対策室長を務める。社外では、ISO/IEC国際標準セキュリティ委員会委員、情報ネットワーク法学会理事等の他、情報セキュリティ対策や個人情報保護についての講演をしている。現在、内閣官房情報セキュリティセンター参事官補佐を併任。 詳細はコチラ。 http://yosihiro.com/profile/

INDEX 第2回：企業における対応方針と成功の秘訣   はじめに   個人情報漏洩防止の観点 3つの観点の使い方

常識として知っておきたい個人情報保護法 第1回 データが語る個人情報保護法の実態 第2回 企業における対応方針と成功の秘訣 第3回 個人情報の分別方法 第4回 社内ガイドラインの作成 第5回 コストをかけずにできるセキュリティ対策 第6回 利用目的の通知とデータ管理