個人情報保護法の改正とデータ暗号化の関係とは
2022年4月に施行された改正個人情報保護法では、事業者の責務が追加された。例えば第26条では、個人情報の漏えいが発生した際、個人情報保護委員会への報告や本人への通知を義務とすることが定められた。
これには「情報漏えいが発生した恐れのある事態」も含まれている。サイバー攻撃や不正アクセスといったインシデントが発生し、情報漏えいの可能性が生じた場合には、第26条にのっとって個人情報保護委員会に報告や通知を実施しなければならないということだ。
つまり今後は"情報漏えいの可能性"が発生した時点で、報告や通知の義務を果たすための調査が必要になり、コストと業務負荷の増大につながる。企業の社会的信用が失墜し、ビジネスやブランドに大きなダメージを残す可能性もある。
マイクロフォーカスエンタープライズ 大山秀樹氏
ただし改正法の施行規則は、情報漏えいで報告義務の対象となる"要配慮個人情報を含む個人データ"について「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く」と定めている。要するに漏えいしたデータが"高度な暗号化"で保護されていれば、報告義務が発生しないということだ。
製品・サービスポートフォリオの一つとしてセキュリティソフトウェアを開発・提供するマイクロフォーカスエンタープライズの大山秀樹氏（情報セキュリティ & ガバナンス営業本部 本部長）は次のように指摘する。「課題は、暗号化されたデータをどのように利活用すればよいかという点です。従来の暗号化技術の場合、データをそのままでは使えないため、いったん復号する必要があります。外部の協力会社とデータをやりとりしたり、社外専門家に分析させたりする場合はどうでしょうか。生データになった時点で漏えいするようでは、暗号化はまったく意味を成さないのです」
データを復号するタイミングで安全性は低くなる
データをネットワークでやりとりする際の窃取を防ぐために通信を暗号化するのが、ネットワーク暗号化技術だ。例えばHTTPSはWeb通信の標準的なネットワーク暗号化技術で、今やほとんどのWebサイトが利用している。
ECサイトで、顧客が入力した個人情報を記録・利用するケースを考えてみよう。通信経路はHTTPSで暗号化されているため、入力された個人情報が通信経路で窃取される可能性を抑えることができる。しかしセキュリティ対策がこれだけだと、アプリケーションやデータベースで個人情報が生データの状態のまま、社内で利用することになる。これらのエンドポイントが侵害されれば、個人情報が漏えいする恐れがある。
データベースやファイルを暗号化する技術を組み合わせたらどうなるのか。個人データは安全に保管されているように見えるが、実際に従業員が利用する際には復号する点に注意したい。もしインフラやアプリケーション、従業員端末がマルウェアに感染すれば、情報漏えいにつながりかねない。
暗号化データの復号は"暗号化データ全体を生データ化すること"である点にも注目したい。例えばコンタクトセンターでは、本人確認をするために氏名と生年月日を尋ねることがある。その後、必要に応じて個人情報を閲覧すればよい。ところが暗号化データを復号すると、全ての情報が閲覧可能になってしまい、必要な情報のみを復号して取り出すというニーズには応えられない。仮に表示を隠すことはできても、メモリでは全て復号されているはずだ。
フォーマットを維持したままトークン化・暗号化できる
暗号化データを復号する時点で情報漏えいの可能性が残されているのであれば、暗号化したまま利用できるようにするのが理想的だといえる（図1）。それを実現する暗号化製品として、マイクロフォーカスエンタープライズは「Voltage SecureData」を提供している。「端末でもネットワークでも常にデータを暗号化したまま、アクセス権のある従業員が利用したいデータのみを利用できるようにすれば、常に安全性を保つことができます」（大山氏）
図1 データを暗号化したまま利活用を可能にする仕組み
（出典：マイクロフォーカスエンタープライズの資料）《クリックで拡大》
Voltage SecureDataは、元データのフォーマットを維持する「Format-Preserving Encryption」（FPE）やデータベースなしでトークン化を実現する「Secure Stateless Tokenization」（SST）といった独自の技術を使って、暗号化とトークン化を実現している。
Voltage SecureDataの暗号化機能は、元データのフォーマットを維持したまま暗号化を実行する。具体的には、数字は数字に、アルファベットはアルファベットに、漢字は漢字に、平仮名は平仮名に、といった具合だ。例えば「東京都千代田区丸の内1-2-3 東京都ビル A1001」という架空の住所をVoltage SecureDataで暗号化すると、「姥菷間遠凭拉湧鐇こ瘴5-0-5 杏謀芽ペノキマガュ M1874」というデータとなる。全角の数字が入る場合、それも維持される。
暗号化してもデータフォーマットが維持されるということは、データベースの構造を変更する必要がないということを意味する。クレジットカード番号は、下4桁など特定の桁のみの暗号化も可能だ。「1バイト文字と2バイト文字が混在した日本語が暗号化でき、データフォーマットの混合もできます」（大山氏）
Voltage SecureDataのトークン化はSSTを用いており、同製品のインストール時に生成される静的な変換表を用いる形式になっている。トークンを保持するためのデータベースが不要で、メモリから変換表を参照するため、高速なトークン化と復号が可能になるとともに、運用負荷の軽減が見込める。もちろんトークン化も暗号化と同様に元データのフォーマットは維持される。そのためデータベースの構造を変更せずに、アプリケーションの局所的な変更だけで自社にデータ暗号化技術を導入できる。
ユーザー企業は暗号化製品をどのように活用しているのか
クレジットカード決済の取引処理事業を営む株式会社日本カードネットワークは、Voltage SecureDataを活用して決済システムを作り上げている。
クレジットカード決済の課題は、加盟店におけるクレジットカード会員データの処理方法にある。もし会員データを加盟店に管理させるのであれば、クレジットカード会員情報のセキュリティ基準である「PCI DSS」（Payment Card Industry Data Security Standard）に準拠させる必要がある。しかしこれは全ての加盟店が容易に満たせる基準ではない。そこで日本カードネットワークは、Voltage SecureDataでクレジットカード情報をトークン化して処理することで、加盟店が個人データを持たずに処理できるようにした（図2）。これにより自社のクラウド型マルチ決済サービスの付加価値を向上させるとともに、新規加盟店の獲得にもつながったという。
図2 Voltage SecureDataを用いて日本カードネットワークが構築したデータ暗号化の仕組み
（出典：マイクロフォーカスエンタープライズの資料）《クリックで拡大》
個人データだけでなく、多岐にわたる種類の機密データの保護に活用する例もある。ある大手自動車メーカーは、何百万台ものコネクテッドカー（インターネットを積極的に活用する自動車）からIoT（モノのインターネット）センサーのデータを収集・分析している。しかしこれらのデータは機微な内容を含んでおり、情報漏えい対策のためデータにアクセスできるデータサイエンティストは5人に制限されていた。製品の品質向上や新規ビジネスの開拓に積極的にデータを利活用するための安全策を求め、Voltage SecureDataを採用した。
Voltage SecureDataのクラウドサービス/SaaSに対する取り組みが進む
マイクロフォーカスエンタープライズはユーザー企業がさまざまなシーンでVoltage SecureDataを活用できるようにするために、同製品をSaaS（Software as a Service）で利用可能にするための開発を進めている。クラウドストレージに格納されたデータを保護するオプションサービスはすでに利用可能だ。SaaS型のCRM（顧客関係管理）システムやERP（統合業務）パッケージに格納されたデータの保護もできるようになっている。
「Voltage SecureData自体のクラウドサービス化/SaaS化に向けた開発も進めています」（大山氏）
Voltage SecureDataの最新バージョンはAWSなどの主要なIaaS（Infrastructure as a Service）で、コンテナアプリケーションとして実行できるようになった。今後Voltage SecureDataはオンプレミス型に加えSaaS型の提供も開始する。SaaS型であれば、製品を導入するために社内にインフラを設置する必要がなくなる。「Voltage SecureDataの導入形態の選択肢を広げることで、お客さまが最適な形態を選択することができるようにします。SaaS版であれば初期費用を抑え、導入期間を短くすることが可能となるのでスモールスタートしやすく、お客さまが受け入れやすくなることが期待できます」（大山氏）
個人データや機密データは、どのような企業にとってもビジネスの種となる重要な資産だ。これまで以上にデータを利活用することが、ビジネス価値向上と競争力強化に欠かせない。データを利活用しやすい形で保護する方法について、検討を重ねるべき時期が来ている。