個人情報保護法

今年個人情報保護法が4月から施行されますが
勤務している会社では
Excelでお客様の名簿を作っている人、
ACCESSでデータ管理している
(システム)があります。

これらのデータを保護するには、
どのようにしたら良いですか？

No.1 ベストアンサー 回答者： noname#21592 回答日時： 2005/01/31 18:51

ハードディスクのデータを、すべて暗号化して、利用する都度、復号化する復号化サーバーを使ったシステムを、導入すると良いでしょう。

まず、専用ＵＳＢキーを挿して、パスワードを入れないと、クライアントのＨＤＤは、一先ず起動すらしません。
また、ノートパソコンなど、クライアントを盗んでも、データーがすべて暗号化されているので、読み取ることは、出来ません。復号化するには、復号化サーバーと通信（インターネットに接続するだけ）しないと出来ませんが、当然、先のＵＳＢキーも同時に盗まないといけません。
で、盗難後、すぐに、会社やレンタルサーバー屋など、ＳＳＬ復号化サーバーの盗まれたＩＤを無効にすると、
盗んだ人が、まず高度な知識で、ＵＳＢキーを解除しさらに、インターネットに繋いだ途端、データーは、解読できるのでなく、削除されてしまいます。

すでに、何社からも、同様のシステムが開発され、販売されております。すでに、数社より、売り込みがありましたので、現在検討中ですが。。。。

No.3 回答者： jeee 回答日時： 2005/02/02 19:32

個人情報保護法の施行までに２ヶ月を切りました。

時間がありませんよ。
とりあえずは、体制と社員教育です。
ほとんどの漏洩の原因は、社員のミスです。

質問の回答としては、WINDOWSNT系（２０００、２００３、XP Pro）でしたら、ユーザ又はユーザグループごとに利用方法に応じたアクセス権の設定をする。

No.2 回答者： noname#9381 回答日時： 2005/02/01 02:05

　データが5000件以上あったら個人情報保護法の対応が必要ですね。

　さて、データ保護で一番大切なことはその体制作りです。その体制を定めた上でその実現手段の一つとして具体的にUSBがとか秘文とかそんな話になるはずですよね？設計しないまま実装しているようなものです。

　これらについてはプライバシーマークの引用規格となっているJIS規格のQ15001:1999などを参考にされるといいでしょう。ちなみにこのJIS Q15001:1999の中では個人情報の漏洩に対して就業規則に罰則を定めることが要求されています。

# 個人情報漏洩ってテクニカルなクラッキングの類で
# 発生することはまれです。多くはショルダークラッ
# キング(パスワードの盗み見)などのローテク手段。
# 　一つのユーザーIDをみんなで共有とかいう住基
# ネットのような管理法をやると、何か起こった時
# でも犯人が分からないので、「漏洩どうぞ♪」と
# 言っているようなものですね。なので、体制が大
# 切で、まず決めるべきもの。その体制の実現のた
# めの商材なり技術ですよね。

　以下、参考になりそうなところをあげておきます。

JISQ15001:1999
日本工業規格「個人情報保護に関するコンプライアンス・プログラムの要求事項」
http://www.jisc.go.jp/app/pager?id=114028 (日本工業標準調査会）
不正アクセス行為の禁止等に関する法律 (平成11年8月13日法律第128号)
http://www.meti.go.jp/policy/netsecurity/fusei_a … (経済産業省)
コンピュータ不正アクセス対策基準 (通商産業省告示第362号)
http://www.meti.go.jp/policy/netsecurity/CvirusC … (経済産業省)
コンピュータウイルス対策基準 (通商産業省告示第429号)
http://www.meti.go.jp/policy/netsecurity/CvirusC … (経済産業省)
情報システム安全対策基準 (通商産業省告示第518号)
http://www.meti.go.jp/policy/netsecurity/downloa … (経済産業省)

　また、もちろん個人情報保護法そのものに対する要件定義が必要でしょう。まず検討はここからですね。個人情報保護法で定められる主な条件は以下のようなものがあります。

・個人情報を収集する際、利用目的を通知・公表すること。（WEBなどの自動収集であれば利用目的の明確な告知のためインターフェースの変更が必要など）
・目的以外で利用する場合には、本人の同意を得ること。（社内体制を決める必要あり）
・情報が漏洩しないよう対策を講じ従業員だけでなく委託業者も監督すること。（システムとしての技術的な部分はここになります）
・個人の同意を得ずに第三者に情報を提供しないこと。
・本人からの求めに応じ情報を開示すること。（開示するシステム/体制が必要）
・公開された個人情報が事実と異なる場合、訂正や削除に応じなければならない。（同情）
・個人情報の取扱いに関する苦情に対し、適切・迅速に対処しなければならない。（HP上での個人情報責任者の公表など）

　違反した場合には懲役刑か罰金ですので、くれぐれも違反なきよう。。。です。