パスワードを忘れた? アカウント作成
16147 story
ニュース

どうすれば個人情報に対する意識を高められますか? 57

ストーリー by mhatta
転ばぬ先の杖 部門より

Anonymous Coward曰く、

最近、暴露ウイルスや情報媒体の紛失、不正アクセスなど様々な要因によって個人情報の漏洩事件が起きています。
情報漏洩対策は、情報を扱う組織全てで早急に対応すべき業務だと思いますが、対策が不十分なせいか、情報漏洩事件の件数は減少しているようには思えません。特に、「暴露ウイルスに感染する可能性の高いマシンに個人情報を保存する」「個人情報をブログ等に掲載する」等が原因で発生した事件については、多くの類似事件がニュース等で取り沙汰されているにも関わらず、未だに同じ原因での情報漏洩が起こっており、「個人情報を漏らした組織は,キツい社会的制裁を受ける」という認識もまだまだ一般的ではないように思います。
そこで/.Jの皆さんにお伺いしたいのですが、皆さんが所属している組織では、情報漏洩に対してどんな啓蒙活動を行っていますか? また、皆さんが個人情報を扱う際に注意していることは何ですか?
なおタレコミ人の場合は,情報に対して「誰が○○の情報を知っても良いか」「情報を××に配置すると誰に知られ得るか」「情報を扱う人に良識と常識があるか」を意識するよう注意しています。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by virtual (15806) on 2007年08月20日 12時11分 (#1207220)
    意識そのものが無いんだよな。
    前にいた会社、1000人はいないけど大会社の子会社でISOもきっちり取得している会社だったけど、社内のオンライン社員電話帳に生年月日が載っていたのにはたまげたよ。情報部門の責任者に誰がこのデータを提供して載せてんだと聞いたら人事だとさ。で人事の責任者にどういう了見でそんなデータを提供しているんだと確認したらそんなことはしてない、と。情報部門の連中が勝手に人事システムからコピペして載せてんだと。この間に情報部門のしたことは生年月日だけ一見不可視な状態にしただけ。データまとめて落とせば誰でも全フィールドが見える状態だわさ。また、何で電話帳に必要なデータ以外は全部消さないのかと聞いたらシステムを良く知っている人しか見えないからこれでいいんだとさ。見るのはオレくらいだからだとさ。オレなら見られてもいい訳?オレ全社員の男女別の年齢分布表とか作っちゃったよ。それ以前に責任者は生年月日が見えてるとは思っていなかったし。情報部門の連中はシステムに入っているデータは全て自分の好きにしていいと思ってるし、人事はシステムの事がよく分からないのをいいことにデータの管理責任放棄してるし。もう、馬鹿かと。

    人事部門とシステム部門で働くには国家資格を必須にしろよと本気で思ってしまったよ。
    • by mocchino (13752) on 2007年08月20日 12時57分 (#1207254)
      突っ込みどころが有りすぎて、もうどこから変えていいやら判らない体制ですな(笑)

      >人事部門とシステム部門で働くには国家資格を必須にしろよと

      不特定多数に影響がないものに対しては、基本的に管理者が直接規制する方針かと
      まぁ入れるとしたら個人情報保護法に取り扱い資格とかつけてって所でしょうが
      そうすると圧倒的に人が足りなくなると思う
      親コメント
    • by Anonymous Coward
      T/O
    • 別に社内に自分の生年月日が流れても良いんじゃね?
      何の害があるのさ?
      って思っている人は少なくないと思うけどなぁ。

       自分が存在する限り個人情報も自動的に存在するわけで、その情報を保護(秘密に)したいっていうこと自体に無理があるんじゃないの?
       生まれてしまったからには、半ばあきらめモードで、恥ずかしくないように生きるのが吉だと思うけど。
      • by virtual (15806) on 2007年08月20日 17時25分 (#1207378)
        別に社内に自分の生年月日が流れても良いんじゃね?
        何の害があるのさ?
        って思っている人は少なくないと思うけどなぁ。

        女性は非常に嫌がりますね。
        ピンと来ない人には「社内の人からとは言えあまりよく知らない人から突然『○○歳の誕生日おめでとう!』メールが届いて嬉しいですか?」と言うととても良く納得してくれます。

        #ああ、そうだ。男女別の年齢分布表を作る事ができたのはデータの中に性別フラグもあったからだった。
        親コメント
      • > 何の害があるのさ?

        生年月日に限らず「実害がなければ漏洩しても問題はない」ということですか...
        被害が発生してからでは,到底手遅れなんですけどね.
        親コメント
        • でも社内相手だと、元々入社時に自分自身が公開した情報だから、なんの問題も無いと思うけどね。

          大会社でも廊下に「○○さん、お誕生日おめでとう」ってのがあったり、「定年ご苦労様でした」なんて張り紙が有るのを見ると、日本の会社の社内では、生年月日なんて公開情報なんですよ。

          #社内で年齢を聞かれて、「個人情報なんで教えられません」なんて言う奴は、どうせ一年も持たないだろうし。

    • 私が以前勤めていた会社は管理者の人がファイルサーバの誰でも見れる場所に自分のPCのバックアップデータを置いてて
      覗いてみたら全社員の給料リストがあった
  • たとえば平文パスワードは危ないよ、とか DES による パスワードハッシュは弱いよ、といったところで クラック実験とかパケットのぞきをやったことが あるひと以外には実感を伴って感じることができないと 思うので、漏洩情報(とその危険性)の可視化を すすめればいいと思います。とはいえ、可視化といっても 公開せよというわけではないところが難しいんだよなぁ。
    --
    屍体メモ [windy.cx]
    • by tks256 (30608) on 2007年08月20日 23時41分 (#1207531)
      どんなに啓蒙しても,興味がある人以外には技術的なことはわからないのだから,
      技術的な対策やツールの導入は出来るだけ会社が行うとして,
      たとえば,「したら危険なこと」をチェックシートのようにして並べて,
      あとは,不明な点(○○はしていいのか)ということは質問を受け付けて,
      FAQのような形でフィードバックするのが一番だと思いますね。

      「漏れたらもれなく処罰」は,もう常識化していると思うので,
      「では,何をしたら漏れるのか」ということをわかりやすく説明することが大事だと思います。
      親コメント
    • トヨタの見える化に通じるものがありますな。
  • なんとなく (スコア:2, 興味深い)

    by Alef_F (27309) on 2007年08月20日 8時00分 (#1207044)
    大抵の人はちゃんと扱っていて、漏らすのが一部の馬鹿に見えるんですけど、その一部の馬鹿のために全体を教育するのは無駄ではないですか?
    一部の馬鹿をスクリーニングして、そいつらには扱わせない方法を研究したほうがエネルギーの節約になると思うのですが。
    • Re:なんとなく (スコア:2, すばらしい洞察)

      by masarakki (33893) on 2007年08月20日 10時37分 (#1207147)
      どっちかと言ったら大抵の人は馬鹿に属するよ
      親コメント
    • by soryu (13825) on 2007年08月20日 8時13分 (#1207050)
      そのためには一部の馬鹿をかなり精度良くあらかじめ選ばなければならないわけですが、
      全体からその一部の馬鹿を選別するためのコストの方がよっぽど後ろ向きで無駄かと。
      親コメント
    • by iwakuralain (33086) on 2007年08月20日 9時05分 (#1207075)
      その意見には賛成するが
      まともに扱っているという認識を持っている人でも
      思いもよらないところで漏洩する危険性はある。

       問題部分のみ修正(教育)出来るならそれに越したことはないが
      やはり企業としては「全体に教育してますよ~」という事実も必要。

      こういうのってどうやったら効率良くできるんでしょうね。
      私も悩んでます。
      親コメント
    • Re:なんとなく (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年08月20日 19時04分 (#1207412)
      馬鹿な者は、馬鹿な過ちを犯しますが、
      そうでない者も、それなりの過ちを犯すものです。
      親コメント
    • by Anonymous Coward
      大抵の人はアルコール入ってても事故らずに運転できてて、事故るのは一部の馬鹿であったとしても、やっぱり一部の馬鹿のために飲酒運転は禁止するべきだと思うわけです。
      うざいけどね。
    • by Anonymous Coward
      機械的にバカを探し出せば、偉い人とか役員とか、そんな人が引っかかってしまうでしょ。
  • by akiraani (24305) on 2007年08月20日 9時55分 (#1207111) 日記
     質問への回答にはなっていませんが……。

     個人情報が一旦漏れてしまうと取り返しがつかないという状況を何とかすべきなのではないでしょうか。現状、個人情報を直接収集する業者に対しての管理責任は規定されていますが、一旦漏れた個人情報はほとんど野放しです。
     具体的には「不正な手段で入手したり、漏洩した個人情報を無断で使用していた業者」に対して明示的な刑事罰をかけるべきなのでは。こうすれば悪質SPAM業者へのけん制にもなるし取り締まる側もいろいろやりやすくなると思うのですが。
    --
    しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
  • by Anonymous Coward on 2007年08月20日 11時45分 (#1207196)
    だと思います。システムとして漏れない(漏れにくい)仕組みを用意するべきでしょう。 だから意識を高めるべきなのは現場のスタッフではなく管理側の人間です。彼らが意識を高めてシステムを導入する決定をすれば、かなりの問題は解決できるのではないでしょうか。
  • by Anonymous Coward on 2007年08月20日 8時12分 (#1207049)
    個人情報をいかに持たず・渡さずに済ませるか、という発想のほうが大事なような。

    なので会社でも自分の携帯の番号を他人に教えたり、他人の携帯の番号を教えて
    もらったりしません。べっ別に会社で嫌われてるからじゃないんだからねっっっ!
    とはいえ、仕事で受け渡しする名刺は言うに及ばず、仕事中に社外からかかってきた
    電話の取次ぎメモですら個人情報になり得る訳で…それでもなんとかなってるのは
    単にまともに仕事してないからではないかと不安になる今日この頃orz
  • by ksh2ksk4 (11188) on 2007年08月21日 0時52分 (#1207567)
    していませんねぇ.その場凌ぎの規則を作って対策をした気分になっています.
    いつの間にかISMS対策が業務の柱になってます.
  • by Anonymous Coward on 2007年08月20日 7時22分 (#1207036)
    高めるんじゃない、忘れ去るんだ。
  • by Anonymous Coward on 2007年08月20日 8時26分 (#1207060)
    キンタマウイルスで自分のハメ撮り写真流しちゃった馬鹿はその後個人情報に対する意識が高まったと思われ。

    問題は馬鹿のせいで巻き添えを食う大量の無関係な被害者が出ちゃってる事だけど、それに関してはやっぱり流しちゃった馬鹿を厳罰に処して見せしめにするのが一番効果的だと思うんだけどなあ。

    ま、国民を護るのが仕事の筈の法の番犬が悪い事(すぐ「違法じゃない」とか言うのが湧くんであえて「悪い事」と表現しとこう)を散々やってしかも身内に甘いようなんで現実的じゃありませんね。
  • by Anonymous Coward on 2007年08月20日 9時25分 (#1207087)
    個人情報の漏洩が発覚した企業はその真偽を問わず、まずは3年間の営業停止処分。
    営業停止中の同一の経営者あるいはその親族などが関係者となる別企業の設立も認めない。
    経営者と情報管理担当責任者は即日裁判を経ずに死刑。

    くらいすれば、いいんじゃないかと。
    • by Anonymous Coward on 2007年08月20日 9時38分 (#1207100)
      当の本人のお沙汰については触れられてない様ですが
      それだと個人的な恨みを晴らすため漏洩を実践、なんて輩が出て来ませんかね
      親コメント
    • >経営者と情報管理担当責任者は即日裁判を経ずに死刑。

      そんなことしたら、個人情報を取り扱う業者がいなくなるだけじゃないですかね。非合法なのは別として。

      もしくは、個人情報を取り扱うサービスが一般人には手が出ないくらい鬼のように高額化するとか。
      親コメント
    • 個人情報の漏洩が発覚した企業はその真偽を問わず、まずは3年間の営業停止処分。
      営業停止中の同一の経営者あるいはその親族などが関係者となる別企業の設立も認めない。
      経営者と情報管理担当責任者は即日裁判を経ずに死刑。

      んでもって、最終的に生き残るのは、情報隠蔽のやり方や、法の網の目のくぐり方が上手い企業になる訳ですね。
      さもなくば、当該法令が死文化するか。

      #「癌を完全に取り除けるなら、患者が死んでも構わない」式の方法にしか思えないなぁ。

      親コメント
    • 真偽問わないのは駄目だろ…と思ったけど真偽を問わないのは情報の内容の方ね。
    • そんなことで死刑にしたら、日本の人口が激減するのでNG。
  • by Anonymous Coward on 2007年08月20日 16時58分 (#1207368)
    情報漏洩事件を起こした企業に対しては,
    10~100万円/人の損害賠償の支払い義務

    漏洩させた個人に対しては,
    企業が被った損害の一定割合(故意なら全額)を請求
    (支払った賠償金の他に利益の減少による損害も含む)

    という風潮を確立して周知すれば,自然と意識も高まるのでは?

    前者は,高額の賠償金+社会的制裁で多額の損害が出ると認識させ対策を立てさせる.
    後者は,交通死亡事故のように起こしたら人生お終いと認識させることで抑止.
    例えば5億円(損害額10億円の50%)とか請求されたら普通の人は払えないし.
    • Re:啓蒙する前に (スコア:2, 参考になる)

      by little( (31297) on 2007年08月20日 19時29分 (#1207426) ホームページ 日記
      >10~100万円/人の損害賠償の支払い義務

      はっきりいって、そこまで個人情報に価値があるのかという点につきると思う。

      日本の法律では、アメリカと違い、損害賠償に社会的制裁の分を加える事は出来ない。
      検索してみたところ、実際の裁判の結果として、京都の住民基本台帳の件では、最高裁まで争い一人頭15000円で決着。
      TBCの裁判では、東京地裁で22000円の判決が出ているようだ。

      幾つかの企業が自主的に支払った500円という金額は安すぎるとしても、10万では高すぎるのが現状のようだ。
      親コメント
    • 交通違反の罰則が機能しているのは警察が徹底して取締りをしているから(一部問題があるだろう、とかいうのは置いておいて)。どんなに罰則を設けても取締まれなければ意味がないし、(謀略に使われるなど)場合によっては害悪にもなる。

      どうやって取り締まるのか、どうやって犯人を正確に特定するのか、この辺まで詰めないと机上の空論だよ。
  • by Anonymous Coward on 2007年08月20日 21時56分 (#1207482)
    男子は山田太郎、女子は山田花子に名前を統一する。
  • by Anonymous Coward on 2007年08月21日 13時14分 (#1207803)
    サブジェクトの通り、少なからず「他人の情報」である以上、
    管理が甘くなるというか、いつまでたっても他人事なんだと思います。

    住基ネットのときも感じたのですが、まずはシステム構築に賛成した
    役員・管理職の情報のみ
    を投入し、システムテストすべきではないかと。

    そして、それらの情報は本稼動後も常に残しておくようにすること。
    これができない(くらい不安な)システムなら、客の情報を扱うな!と。
typodupeerror

皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー

読み込み中...