こんにちは！こんばんは！
ないとめあです。
ご訪問ありがとうございます。
タイムズカーやローソンなど、大手企業ですら顧客情報を守り切れない事例が続いています。そして、そのたびに被害を受けるのは企業ではなく利用者です。
そんな中、「企業だけの問題ではない」「国民も自衛を」といった趣旨の発言が報じられました。
しかし、この発想そのものが根本的に間違っていると思います。
流出させたのは誰なのか
まず、事実を確認したいと思います。
【事実】責任の出発点は企業にある
- 個人情報を流出させたのは企業であり、個人ではない
- 利用者はサービスを使うために氏名・住所・電話番号・メールアドレスを提供した
- その情報を管理していたのも、サーバーを運用していたのも企業
- セキュリティ対策を講じる義務があったのも企業
つまり、責任の出発点は明らかです。にもかかわらず、「企業だけの問題ではない」という言葉が出てきます。それは責任の所在を曖昧にする言葉でしかありません。
個人にできることなどほとんどない
「自衛が必要」という意見もあります。ですが、そもそも個人は企業内部のセキュリティ対策に関与できません。利用者は知りようがないのです。
- ファイアウォールは適切か
- データベースは暗号化されているか
- 社内の権限管理は適切か
- 脆弱性診断を実施しているか
そんなものは利用者には見えません。選択のしようもありません。企業が「安全です」と言えば、それを信じるしかないのです。だから情報漏えいが起きた時に「国民も自衛を」と言われても、違和感しかありません。
【分析】たとえるなら
運転手が信号無視して事故を起こしたのに、「歩行者ももっと注意してください」と言っているようなものです。確かに注意は必要でしょう。しかし、事故を起こした責任は運転手にあります。それと同じ話です。
日本は企業への責任が軽すぎる
さらに問題なのは、日本では情報漏えいのコストが低すぎることです。企業は個人情報を集め、その情報を使って利益を得ます。しかし情報が漏えいしても、多くの場合は謝罪文を出し、再発防止策を発表し、場合によっては数百円から数千円程度の補償をして終わります。
【分析】インセンティブの問題
本来であれば、「漏えいしたら経営に深刻な打撃を与える」くらいのペナルティが必要です。企業は利益を追求する組織である以上、善意に期待するだけでは社会は守れません。
【リスク】対策が後回しになり続ける
漏えいのコストが低いままであれば、セキュリティ投資は常に後回しになります。結果として、同種の流出事故は今後も繰り返される可能性が高いと考えます。
大臣が言うべきことは何か
本来、デジタル担当大臣が言うべきことは何なのでしょうか。
国民への自衛の呼びかけでしょうか。違います。
まず言うべきは、
「個人情報を預かる以上、企業には最大限の安全管理義務がある」
「重大な漏えいを起こした企業には厳しいペナルティを科す」
被害者に向かって自衛を求める前に、加害側になり得る企業へ責任を求めるのが行政の役割ではないでしょうか。
結論
個人情報流出事件が起きるたびに、国民へ自衛が求められます。
しかし、忘れてはなりません。
- 流出させたのは企業である
- 情報を預かったのも企業である
- 利益を得ていたのも企業である
それなのに被害者である国民へ「もっと気を付けてください」と語りかけるのは、順序が逆です。
必要なのは国民への説教ではありません。企業が個人情報を軽く扱えなくなるほどの、厳しい責任とペナルティです。
それこそが、再発防止への最も現実的な道です。
では、また。
