マイナンバーしっかり対策

ようやくメリットもデメリットも話題になってきたマイナンバー。一昨年から啓蒙活動を続け、既にマイナンバーセミナー講師約200回、参加者1万5千人を超える実績を持つコンサルタントが、マイナンバーの取扱いで気を付けるべきことを解説していきます。

マイナンバーを記録したパソコンは修理できない

先日、表題のニュースがネット上で話題となりました。


マイナンバーガイドラインに基づけば、

メーカーさんの対応は至極真っ当です。


マイナンバーを記憶させた媒体を預かって、

依頼者の管理を離れた状態に置かれたら

「マイナンバーの委託」に該当します。


当然に委託契約を結んで、責任の切り分けをはっきりさせないと

怖くて扱えません。


メーカーさんの対応は正しい。


さて。


ここで、視野を広げてみましょう。


マイナンバーを記録したPC(正確にはPCの中のHDDとかですが)

は委託契約結ばなきゃ修理できません。


では、マイナンバーを記録したサーバは?




同じです。


委託契約結ばなきゃ、メンテナンスできません。

勝手にメンテナンスされたら、

預けた側の管理責任が問われます。



これだけでも「委託に該当しません」なんて書いてある

マイナンバー預かりサービスがおかしいことは

すぐわかるでしょう?


ちゃんとしたところ(というか当然の話なんですが)は、

 1.委託契約を結ぶ

 2.秘密分散で非マイナンバー化して保管する

のどちらかの対応を行っているハズです。


いかがわしい預かりサービスに引っ掛からないようにしましょう。


ビッグデータの利活用の動き

先月、IT総合戦略本部から

 情報通信技術の利活用に関する制度整備検討会の第Ⅱ期中間整理

が出されました。


ここではビッグデータの有効活用について、が

大きな議題の一つになっています。


個人を特定しない形であっても

ビッグデータを活用すれば、巨大なメリットがある。

今は風評リスクを恐れ、自社のデータしか使われていないが、

ビッグデータを流通させることができれば

効果は計り知れない、というものです。


その通りだと思います。


だけど、漏えいした場合の悪用リスクも計り知れないよね。


そこをどう調整するかがカギになるのですが

どうにもしっくり来ない。



例えば、先日「水曜日のダウンタウン」て番組の企画で

「ある部屋に閉じ込められたクロちゃんがtwitterからの情報だけで脱出できるか」

というのが話題になりました。


これ、結局、twitterを見た人たちが不正確な情報で動き回ることで、

不審者として警察が動く騒ぎになって

お蔵入りになったんですけども。



僅か数時間で

 電車の音から沿線が割り出され

 エアコンの形式から築年数が割り出され

 夕方のチャイムから自治体が割り出され

 キッチンからガスの管轄が割り出され

 出前のソバから、辛子・割り箸の製造会社が割り出され

と、ほぼ候補を絞り込めるまでになっていました。


一見個人を特定できないようなビッグデータでも

流通させると捜査者もビッグになるので

個人特定を不可能にするというのは大変難しいことなのです。



おそらく、「マイナンバーカード」の使用データを前提に

この利活用は考えられていると思います。


ですが、「漏えい時の罰則定めたから悪用リスクは大丈夫」などと

平気で言い放つような感覚では恐ろしいですね。


人は追い詰められたら何でもやります。


情報漏えい犯罪に手を染める“個人”を絶無にするのは

おそらく不可能。



だとしたら、

 ・個人を追い詰める組織を厳罰に処すること

 ・悪用「する者」を厳罰に処すること

を考えて行く必要があるでしょう。


 「チャレンジ」などという名目を付け

 社員を追い詰めたT社のような経営陣は違法経営者とし、

 ブラック経営者の根絶を図ること。


 漏えい情報と知りながら利用したり

 提供されたビッグデータから個人を特定した企業は

 マーケットから即時撤退させること


くらいのことは必要なんじゃないかと思います。

アメリカはともかく、ヨーロッパではこれに近い感覚ありますよね。


国と企業の倫理感が強く求められる案件なんですけど、

さて、今後の動きはどうなるか。。。




個人情報保護法の矛盾

以前にも少し触れましたが、マイナンバー制度と個人情報保護法の

矛盾点を正す動きが始まったようです。


ポイントは

  改正法で「5000人」のくくりが無くなり、全ての事業者が

  個人情報取扱事業者になった。個人情報取扱事業者は

  マイナンバーガイドラインの安全管理措置を対応義務があるのに

  個人情報保護ガイドラインではそれが無い。


この点です。


マイナンバー法では会社の規模に応じて、やるべき安全管理措置が

決まっているが、一般個人情報はどうすりゃいいんだ、という点。


これが個人情報保護委員会の資料にありました。


結局「5000人」のくくりはガイドライン上で残すようです。

それにプラスして、マイナンバーガイドラインに沿った

安全管理措置を付け加えることになりそう。


後追いですねぇ。


改正法の原案が出たときから、みんなに突っ込まれてたのに。

結論と開始時期ありきで議論をしないから

リスクコントロールができていない。


さらに、決定権者が自分で勉強しないから

外部からの指摘の重要性が理解できない。


至る所にその弊害が出てきているように思われます。