データ漏洩は、企業の規模や技術的リソースにかかわらず、どのような企業にも起こりうるものです。2021年4月には、5億人以上のユーザーに影響を与えるデータ漏洩が発生し、Facebookの評判は大打撃を受けました。
データ漏洩の最悪のケースでは、個人を特定できる情報（PII）が含まれます。PIIは基本的に、顧客や従業員などの実在の人物に関する機密情報を含むあらゆるデータです。これらの情報が不正に開示されると、被害を受けた個人は大きな痛手を負い、企業や組織は深刻な風評被害を受けることになります。
ネットワーク上のセキュリティ・インシデントを防ぐためにはどうすればよいのでしょうか。ここでは、PIIの漏洩を防ぐための7つのステップのチェックリストをご紹介します。
1. PIIの識別と分類
個人識別情報とは、特定の個人を識別できるものを指します。正確な法的定義は、関連する法律によって異なります。例えば、CCPAにおけるPIIには以下のものが含まれます。
直接的な識別情報：氏名、住所、生年月日、電話番号、運転免許証の詳細、または社会保障番号（SSN）などの詳細情報
間接的な識別情報：ユーザー名、ID番号、車両登録など、個人を特定することができる情報
金融情報：クレジットカード番号、銀行の詳細、または母親の旧姓やSSNなど、アクセスを許可する情報
バイオメトリクスデータ：指紋、顔や声のID、タイピングの認識などが含まれます
インターネットデータ：ウェブサイトやアプリのログにはユーザー個人を特定する情報が含まれている場合があり、GPSアプリにはジオロケーションデータが含まれている場合があります。
保護されたクラスのデータ：反差別法では人種、性別、または性的指向の詳細など、いくつかのPIIデータが対象となります。
また、HIPAAと呼ばれる法律が適用されるPHI（Protected Health Information：保護されるべき健康情報）にも注意が必要です。
PIIを特定する際に最も重要なのは、「このデータは特定の人物を示しているのか ？」という点です。もしそうであれば、そのような情報はPIIとして扱うのが最善です。
2. データの流れを把握する
データが最も脆弱なのは、データが動いている時であり、PIIがある場所から別の場所に移動するところを理解することが重要です。データ統合を検証し、次のような質問をします。
- このデータの移動は、業務上不可欠なものか？
- 可能な限りの保護措置を講じているか？
- クラウドサービスを利用する際には、信頼できるサードパーティを利用しているか？
- データの物理的な場所はどこか？データは州や国境を越えて移動するのか？
データの流れをコントロールすることができれば、制御不能となるのを回避し、データ漏洩を防ぐチャンスが増えるでしょう。
3. PIIポリシーの策定
理想的には、PIIを管理するためのデータガバナンス・フレームワークを導入しておくべきです。もし、みなさんの企業がそうでない場合は、最高情報責任者（CIO）または最高情報セキュリティ責任者（CISO）が、できるだけ早くデータガバナンスを導入する必要があります。データガバナンスは、プライバシープログラムのプラットフォームです。
PIIポリシーは、個人を特定できる情報を扱う際の重要な側面をカバーする必要があります。EUのGDPRには、データ処理に関する6つの基本原則が記載されており、PIIポリシーの強固な基盤となっています。これらの原則では、PIIの処理は以下のように行われるべきであると述べています。
- 合法的で、透明性があり、公正であること
- 必要不可欠なビジネス目的のためにのみ行うこと
- 可能な限り少ない個人情報を使用すること
- 正確かつタイムリーであること
- 合理的な時間枠内で完了すること
- 完全性と機密性を保証すること
GDPRが適用されない企業や組織であっても、これらの原則を参考に検討を始めてみてください。
4. 安全なデータインフラの構築
適切なインフラを構築することで、PIIへの不正アクセスのリスクを大幅に低減することができます。ネットワークを設計する際には、以下のことを考える必要があります。
- サイバーセキュリティ：コア・ネットワークには、エンタープライズ・グレードのサイバーセキュリティ・ツールが必要です。チームがリモートで仕事をしている場合、そのデバイスには独自のサイバーセキュリティ保護が必要です。
- 暗号化：輸送中のPIIデータを暗号化する必要があります。また、受信側でデータを復号化する能力も必要となります。
- ストレージ：データをウェアハウスやデータレイクに一元化する場合、PIIを削除するか、安全に保管するかを検討する必要があります。
- データパイプライン：安全なパイプラインにより、システム間でデータを移動させることができます。クラウドベースのETL（Extract、Transform、Load）を使えば、安全でコンプライアンスに準拠したデータパイプラインを簡単に作ることができます。
信頼性の高いインフラの構築については、経験豊富なデータアーキテクトに相談するのがよいでしょう。
5. PIIへのユーザーのアクセスを制限する
誰が認証ユーザーとしてカウントされるのですか？多くの場合、それはデータの性質によります。例えば、営業担当者は既存の顧客データにアクセスする必要がないかもしれませんし、サービス担当者は見込み客のデータを見る必要がないかもしれません。
役割に基づいたアクセスコントロールを行うことで、関連するデータにのみアクセスできるようになります。役割を定義する際には、次のような質問をします。
- 誰がこのデータを必要としているのか？
- なぜこのデータを必要としているのか？
- このデータに関係するプロセスを自動化することは可能か？
- 個人情報の一部を隠したり、難読化したりすることは可能か？
個人情報にアクセスできる人が少なければ少ないほど、データ侵害のリスクは低くなります。
6. データ漏洩問題の対応計画を準備しておく
情報漏洩は起こりうることなので、インシデントレスポンスプランを用意しておくことが不可欠です。FTC（米連邦取引委員会）は、3段階の計画を推奨しています。
-
安全を確保する：さらなる不正アクセスを防ぐために早急に対応する
-
修復する：脆弱性に対処し、構造的な弱点をすべて修正する。
- 通知する：影響を受けるすべての関係者に情報漏洩通知書を発行し、情報漏洩の被害者であることを知らせる。必要に応じて警察に通報する。
この最後のステップが重要です。データ漏洩は個人情報の盗難につながる可能性があり、多くの人を困らせる元になっています。速やかに通知を行うことで、被害者がすぐに是正措置を取ることができます。FTCのウェブサイトでは、被害を受けた人に通知するための侵害通知書のサンプルを確認することができます。
7. 監視と対応
PIIの侵害は、ほとんどの場合、誰にも気づかれずに起こります。多くの企業が情報漏洩を発見して修復するまでに平均207日かかるため、サイバー犯罪者は盗まれたデータを悪用するための時間を十分に確保することができます。
すべての企業は、潜在的な情報漏えいを監視するアクティブなモニタリングチームを持つべきです。そして次のような質問をしてみてください。
- PIIセキュリティの監視には誰が責任を負うのか？専任のプライバシー担当者はいるか？
- インシデントレポートの作成方法を全員が知っているか？
- PII侵害の可能性がある場合の明確な報告義務があるか？
- データアクセス要求を記録し、チェックしているか。
- どのようにしてネットワークの脆弱性をテストしているか？
監視チームを設置していれば、侵害の通知を早急に受けることができます。これにより、侵害を修復するための総時間を短縮し、被害関係者の数を最小限に抑えることができます。さらに、チームは侵害の発生を未然に防ぐことができます。
PIIの保護にIntegrate.ioはどのように役立つか？
PIIを保護するにはインフラが重要です。適切なデータ・パイプラインがあれば、企業は安全なデータ・トランザクションを享受することができます。
Integrate.ioはお客様のデータパイプラインの構築をお手伝いします。すべての主要なプライバシー規制に完全に準拠しています。GDPRやCCPAのようなプライバシー法を心配されている方も、データが安全に管理されていることを理解し、安心することができます。
Integrate.ioがどのように役立つかに興味のある方は、ぜひオンラインデモに登録し、ご自身で確かめてみてください。
