日keijiコメントをどうぞコメントTweet情報セキュリティ人材育成プログラム・応用コース座学編の最終講義を担当、「情報セキュリティインシデントと対策技術の動向」について話をした。講義中のディスカッションで、「企業等が暗号化した個人情報を紛失・漏洩した場合にその事実を公表・謝罪すべきか?」という話になり、経済産業省のガイドラインでは「(個人情報については、)暗号化されているかどうかを問わない。」とあるので、暗号化されていたとしても平文の個人情報と同じく公表・謝罪が必要と認識され(それが本来あるべき姿かどうかは別として)実際に多くの企業が、暗号化した個人情報の紛失について事実の公表と謝罪を行っているという話をした。この背景には、暗号化されているとはいえ情報自体が組織の安全管理の及ばない状態にある場合にはすでにそのリスクをコントロールできない状態にあるという見方をされるためではないかということもコメントとして追加した。「個人情報を暗号化してインターネット通信することは認められるのか?」という質問が飛び出した。上記の考えに基づくとすれば、暗号化した個人情報のメールでのやりとりはもちろんのこと、SSLやVPNなどを用いインターネット経由でサーバにアクセスをして個人情報を送受するという行為も、自組織の管理下にない通信経路を経由するという意味では個人情報の漏洩ということになる。暗号化通信を用いたとしてもインターネット上で個人情報のやりとりを行うべきではないということになる。個人情報」などのキーワードで検索をすると多くのサイトにSSLで暗号化されるので個人情報をインターネット上で通信しても安全ですという記述があるのを見ることができる。SSL相当あるいはそれ以上の強度で暗号化したファイルを紛失した場合において、その事実を公表・謝罪する必要があるのかという疑問が生まれる。紛失したファイルを第三者が拾得した場合と、暗号化した通信を第三者が傍受する場合のどちらのリスクが大きいかということになるかとは思うが、実際のところインターネット上での個人情報の暗号化通信と、暗号化された個人情報ファイルの紛失の差異について、どのような認識が一般的なのだろうか。2004/10/22)http://www.meti.go.jp/feedback/downloadfiles/i41013fj.pdf「個人情報」※1とは、生存する「個人に関する情報」であって、特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができる※2ものを含む。よって公にされている情報や、映像、音声による情報も含まれ、暗号化されているかどうかを問わない。武田さんのブログより、以下のように個人情報は暗号化しているかどうかは問わないらしい。顧客がWebのフォームから個人情報を暗号化して送信する場合、顧客にも一定のメリットがあり、対策(暗号化)もされているため企業の責任はかなり小さいように思えます。(リスクの説明が十分がどうかは別にして、顧客自身の意志で行ってるという点も重要)一方、暗号化されていたとしてもファイルの紛失は企業の責任は重大ですね。暗号の強度が十分であれば、実質的な被害は0ですが、管理能力の低さは明白です。企業がVPNを構築をしていてその上で個人情報をやり取りしているような場合はどうでしょうか?あるいはHTTPSやSSH、SFTP等を用いてサーバにアクセスしている場合はどうでしょう?公表・謝罪は管理能力が低いことに対する懺悔なのでしょうか?紛失した暗号化済個人情報を誰かが拾得する確率の方がネットワーク上で暗号化済通信をキャプチャされる確率よりも高そうに感じますが、暗号化ファイルの紛失時には公表・謝罪しなくてはならなくて、個人情報の暗号化通信は公表・謝罪しなくても良いとする根拠としてはちょっと弱いのが悩ましいところです。経産省のガイドラインにしたがうというよりは、以下の理由で公表・謝罪がなされているとおもいます。欧米のように、「謝ると責任を認めることになる」という感覚とは違い、謝っておいた方が得という発想があるとおもいます。2)暗号の強度よりも、鍵・パスフレーズ管理がおろそかいくら強い暗号でも、復号手段がどう管理されているかわかりません。オフラインだと攻撃機会が飛躍的に増えます。3)暗号(またはセキュリティ)の強度を一般に説明するのが困難いくら「世界でもっとも強い暗号を用いました」と説明しても、信用してもらえる保証はないですよね。言うだけなら誰でもいえます。あと、暗号化通信が安全かどうかは、(想定する)攻撃コストに比べて守るものの価値が十分低いかどうか、で個別に判断するしか無いようにおもいます。逆に「公表・謝罪」するということは、そのリスクを想定していなかったことの証であり「管理能力が低い」ということでしょう。「暗号情報が不注意で漏洩してしまった」というのは同じではないかという主張とお見受けいたしました。技術的に言えば、両者はほとんど同じものだと思います。事務所のカギを閉め忘れて大事なデータが入った金庫が盗難にあうという感じでしょうか。>あるいはHTTPSやSSH、SFTP等を用いてサーバに>アクセスしている場合はどうでしょう?56bitやら無印DESだとNGです。:)オレ様ルール全開ですが現時点で安全と言われている方式を採用していれば「公表・謝罪」の必要はないと思われます。(漏洩・暗号解読で実被害が出れば別ですが)>公表・謝罪は管理能力が低いことに対する>懺悔なのでしょうか?公表→顧客情報を紛失したことに対するお知らせ。謝罪→顧客の不安、実被害に対するもの。引用まだまだ、勉強の身、雑文お許しください。情報漏洩対策に暗号化。私が何回も主張してきました。一応暗号化していても「個人情報」にはみなされる場合もある(他の情報と照合した場合などで特定できるとき)で、暗号化していても、漏洩したなら安全管理措置の不備!!を主張される各方面の先生方に一言、申したいです。コストが厳しい、中小企業などでは、経営難に陥っても、情報漏洩対策にやれ、認証サーバー、ファイルサーバー、VPN、ファイアウオール、アクセスログに、教育に・・。こんなコスト、耐えれますか!!私が最低でも暗号化、(もしろん、信頼できる暗号アルゴリズムを使用したソフト)と主張するのは、コストを最小限に、それでも、できうる限りの情報セキュリティ、特に情報漏洩対策が可能だということです。現実の経営環境を、先生方に認識してもらいたいですね。お金ないなら、商売やめろ、と同義語に聞こえます。簡単に、何十万のお金かけることは実際、難しいのです。どんなにセキュリティシステム金かけて構築しても、人が裏切れば情報漏洩なんて簡単におこせますよ。過去の事件が証明しています。1番目はお金かけて機材かうのではなく、教育でしょう。仕事がら医療現場にもよく行きますが、まだまだ、暗号化というものの重要性は薄いですい、開業医は特に関心薄いです。個人情報の取り組みのパンフがどこの病院でも同じ・・。とういうのも、かざりだけの個人情報対策に思います・・。簡単に、高度な、安価にできるセキュリティを、特に中小は求めています。大阪の現場は特にそうです。設置している企業もあまり、知りません・・。大阪の某市教育委員会は、USB認証タイプでの暗号化は、先生がUSB紛失するから駄目らしいです。USBを家の鍵と思えば、重要性を認識するのに・・。トラックバックはまだありません。(必須)ウェブサイトコメントフィードをRSSリーダーで購読する上に表示された文字を入力してください。