General Updates

令和５年２月16日に、個人情報保護委員会シンポジウムが開催された。本シンポジウムでは、高度化した不正アクセスによる漏えい等の増加や、委託先事業者等による漏えい等も後を絶たないという状況の中、個人データ・保有個人情報をどのように守るか、万が一、漏えい等が生じた場合どのようにすべきかについて話し合われた。 動画一覧 主催者挨拶 個人情報保護委員会は、個人情報保護制度の司令塔として「デジタル社会の信頼の土台」となる役割を担っている。当委員会は、令和2年、3年と続けて大きな法改正を行い、国内外の急激な環境変化に対応するとともに、公的部門及び民間部門を通じた個人情報保護政策全般の企画立案と一元的な監視・監督の役割を担うこととなった。 改正法では多岐にわたる改正項目があったが、最近のサイバー攻撃の高度化、不正アクセスの脅威の高まりや委託先事業者等による漏えい等の多発といった状況を踏まえ、本シンポジウムでは、民間部門の個人データ及び公的部門の保有個人情報の漏えい等の防止策と、漏えい等発生時の対応に焦点を当て、皆様にとって有意義で実践的な情報を提供することとしていきたい。 改正個人情報保護法 (PDF : 74KB) 個人情報保護委員会 委員長 丹野 美絵子 動画1 基調講演 改正個人情報保護法により、漏えい等事案発生時の個人情報保護委員会への報告と本人への通知が令和4年度から民間事業者および国の行政機関等において義務化され、令和5年度から地方公共団体等も官民一体化により義務化の対象となる。 当委員会は、要配慮個人情報の漏えい等、財産的被害や不正目的のおそれがある漏えい等、大規模な漏えい等といった個人の権利利益を害するおそれが大きい漏えい等について、速報（知った日から概ね3～5日以内）と確報（同30日以内、不正目的のおそれがある漏えい等は60日以内）の二段階で報告を受付け、原因や再発防止策等の調査・分析を行い、技術的安全管理措置の改善、組織体制の見直し等についての指導・助言等を実施している。 漏えい等報告事案として、不正アクセスや委託先事業者による漏えい等のほか、要配慮個人情報の漏えい等が多発している。 個人情報保護委員会 事務局長 松元 照仁 動画2 こうした事態が発生しないために、組織体制の整備や従業者の教育、取扱い区域の管理のほか、アクセス者の識別・認証や外部からの不正アクセス防止等の安全管理措置の確実な実施が求められる。委託先の管理では、委託先の安全管理措置の確認、インシデント発生時の責任の範囲の明確化等に留意し、データの安全管理が適切に実施されるように監督することが必要である。 また、PIA（個人情報保護評価）は、個人の権利利益の侵害リスクを低減・回避するうえで有効なリスク管理手法であり、当委員会では意義と実施手順に沿った留意点をまとめた資料を公表している。このほか、個人データの取扱い状況の把握と効果的なリスク対策に資するデータマッピングツールキットや、情報セキュリティの観点からの注意喚起情報等も公表している。これらも活用し、漏えい等の防止に努めてほしい。 個人情報保護委員会 事務局長 松元 照仁 動画2 不正アクセスによる漏えい等 (PDF : 243KB) 特別講演「サイバー攻撃による情報漏えい―脅威はランサムウェアだけではない！？―」 近年の組織化、サービス化されたサイバー攻撃は、個人情報漏えいにとって従来以上の脅威となっている。大阪商工会議所との共同研究で、大阪市内の中小企業30社を調査した結果、すべての企業がサイバー攻撃を受け、ほぼ半数の企業が何らかの被害を受けているにもかかわらず、それに気付いていないということがわかった。被害は受けると考えるべきで、その場合の最善の復旧対策を検討するべきである。 クラウドも、仮にそれ自体は安全でも、利用者側のアクセス制御や通信経路・データ暗号化等のリスクがあり、無条件に安全が保証されない。サイバー攻撃の手順として、ランサムウェアに至るまでに「調査（ポートスキャン等）⇨ 侵入 ⇨ アンチウイルス無効化 ⇨ ログ消去 ⇨ 情報スキャン・分析 ⇨ 情報搾取・流出 ⇨ マルウェアアップデート ⇨ 踏み台（他サイト攻撃）⇨ ランサムウェア（暗号化・流出）」という典型的パターンがある。 ランサムウェアの真実 (PDF : 55KB)