bannertokusyu.gif


特集タイトル


昨今、民間企業において個人情報の漏えい事故が相次いでいる。こうした事例を教訓として、地方自治体でも「情報セキュリティ対策」の徹底へ早急に取り組む必要があるが、未だ全体の議論が遅れているのが実情だ。電子自治体における情報セキュリティ対策とはいかにあるべきか―この分野の第一人者である藤谷護人弁護士が「TASK.NETフェア2004」(7月9日/春日部市)で行った講演から、そのポイントをご紹介する。


 いま、地方自治体は、「地方分権」と「住民基本台帳ネットワーク」という大変革の潮流の真っ直中にある。一方が“地方の自主自立”を目指し、もう一方が“中央集中”を指向する、この2つの相反する大きな時代のうねりの中では、従来のルールについて、根本的な見直しと新しい考え方が必要となる。
 例えば、住民の個人情報を護るということひとつを考えてみても、これまでは地方公務員法の服務規定に裏付けされた自治体職員の「倫理」意識に加えて、組織の「内部統制」が抑止力となって情報の漏えいを防いできた。
 しかし、住基ネットは地域の枠を超えて、すべての自治体をネットワークでつなぎ、全住民の基本情報を流通させるものであり、いままでのように“単独の市町村”という限られたエリアを想定した「個人情報保護条例」や「内部統制力」では、もはや漏えいを防ぐことは不可能だ。
 とはいえ、電子自治体になってもA市住民の個人情報を護る責任がA市にあることに変わりはない。激変する時代の動きに、地方自治体の首長や職員の意識、考え方、あるいはITや法務が追いついていけなくなっているのである。
 これは単に、地方自治の機能不全では済まされない問題だが、そのために何らかの手立てを講じた自治体はまだごくわずかだ。いまや自治体は「ネットワーク行政」という新たな視点・考え方を持ち、真の自主自立にかなう地方自治体として何をすべきかを真剣に考え、知恵を絞ることが求められているといえるだろう。

情報セキュリティは組織存亡に関わる重要課題だ

 さて、電子自治体においては「情報セキュリティ」の脆弱性とそれに対するリスク・マネジメントを十分に理解し、情報管理への意識を高める必要がある。
 情報セキュリティとは、組織活動において取り扱う情報資産について「機密性(認可された利用者だけが情報にアクセスできることを確実にする)」と「完全性(情報および処理が正確である)」、「可用性(認可された利用者が必要な時に情報および関連する資産にアクセスできることを確実にする)」を確保し続けることである。また、情報セキュリティは、設備やプログラム、ネットワークなどの「技術的側面」と、規律や組織・人的対策など「マネジメント的側面」の2つがあり、両者はいわば車の両輪のような関係で、双方が相まってセキュリティを高めていくものといえるだろう。
 ここで重要となるのが、後者の「マネジメント的側面」だ。しかし、官民を問わず組織の中でセキュリティの重要性を取り上げようとすると、なかなかスムーズに事が運ばないのも事実である。理由としては、「いままで何でもなかったのだから今後も大丈夫だろう」という楽観論や、「セキュリティが侵害された場合、一体いくらの金額的損害になるのか分からないため予算がつけられない」ということからトップの理解が得られないことなどが挙げられる。


 表1は、昨年1年間に発生した情報漏えいや紛失事故から、その原因が社員および委託先にあったものを抽出したものだが、これを見ると自治体など公的機関でも内部的要因による情報漏えい事故がかなり起こっていることが分かるだろう。今年に入ってからもヤフーBBをはじめ情報漏えい事故は後を絶たないが、情報セキュリティとは、法的に評価すれば、大袈裟ではなく「組織の存亡に関わる重要な問題」であることを理解する必要がある。
 いまや多くの自治体で、一人1台のノートパソコンが配備されていることと思う。
 例えば、滞納者情報をホストからパソコンへ取り込んで自動的に電話をかけるシステムがあるが、この場合、「どこの誰が何をいくら滞納し、銀行口座はどこか」という情報が1台のパソコンに保管されていることになる。あるいは、住民健康診断で得た病歴情報などをパソコンで管理している自治体も多いのではないだろうか。そんな情報が保管されたノートパソコンを無防備に机の上に置いておき、もしそれを盗まれたら、その市町村は一体いくら賠償しなければならないのか、ぜひ具体的に考え、イメージしてみてほしい。
 安全な電子自治体を実現するには、組織内部でそうしたセキュリティリスクを未然に抑制・防止し、万が一発生した場合には早期に検出・回復するための仕組みを構築することが必要となる。これをリスクコントロールというが、そのためにも個人あるいは部署、役所全体で一体どのようなリスクがあるのか具体的に算出し、評価することが大切だ。

身近にあるリスクの金額的損害は一体いくらになるのか?

 では、具体的にリスクの損害額を算出するにはどうすればいいのだろうか。
 誰でも簡単にリスク算定できるように、考案したのが「損害賠償算定テンプレート」(図2)である。ここで判断基準となるのは、「漏えい内容の機密度・プライバシー度」と「漏えいダメージ」の2つの尺度で、それぞれを3段階に分けてリスクを評価する。
 当然のことながら「漏えい内容の機密度・プライバシー度」が軽ければ、損害賠償額も低くなり、逆に重ければ損害賠償額も高くなる。この場合、「低・中・高」へどんな基準を当てはめるかがポイントといえるだろう。
 まず「低」については基本情報(氏名・住所・生年月日、世帯主など)が該当する。これは個人を特定するベーシックな情報だが、住民基本台帳法によって公開が予定されており、プライバシー度は低い。それに対して「高」にあたるのが、「センシティブ情報(機微情報)」で、これには思想や信条、病歴、負債額などが含まれる。また「中」は、基本情報とセンシティブ情報の間に位置づけられるもので、私はこれを取扱注意情報と呼んでいるが、例えば携帯電話の番号や『イエローページ』に未掲載の固定電話番号、メールアドレス、年収、職業区分、銀行口座やクレジットカードの情報などが考えられるだろう。
 また「漏えいダメージ」については、個人や企業の活動へ及ぼす影響度合いによって、損害賠償額も高くなる。
 これらを踏まえ、リスクを算定する場合の基準事例として、平成11年5月に全住民21万人の基本情報が漏えいした宇治市の事件を考えてみたい。
 これは、宇治市がアウトソーシングしていた会社へアルバイトに来ていた大学院生が、自分のノートパソコンに情報をコピーして外部へ持ち出した事例である。この時、漏れた情報は名簿業者に流され、さらに2社へと売却されたが、DMで利用される前にすべて回収され、インターネットで販売されようとしたものについても買い手がつく前に宇治市が回収した。
 この事例では漏れたのが「基本情報」で、また回収が早く漏えいダメージも大きくならずに済んだため、図2のAに位置づけられるが、後に最高裁判所は、宇治市に対し一人当たり1万5000円の損害賠償金額(慰謝料1万円と弁護士費用5000円)を支払うよう命じている。
 もうひとつの事例(B)は、平成10年にテンプスタッフから登録社員9万人の個人データが流出したものだ。ここでは「基本情報」のほかに電話番号や“美人度”ランキングといった「取扱注意情報」が流出。しかも、インターネットで売買され全国に数十セットが出回って回収不可能となり、さらにストーカー紛いの被害も発生したことから、機密度・プライバシー度は「中」で、漏えいダメージは「大」に位置づけられる。
 実際、この事件では6人が裁判を起こし、最終的に和解ということになったが、判決において裁判所が認めたであろう慰謝料は、恐らく一人当たり10万円程度になったと想定される。
 1万円や10万円というとさほどの額ではないと思うかもしれないが、仮に被害者全員が原告となった場合、宇治市とテンプスタッフの賠償額はそれぞれ22億円と90億円にも上る。まさに組織の存亡にかかる重大な事態となる。
 先述の、滞納情報や個人の病歴情報をパソコンで管理するというようなことは、どこの自治体でも見られるありふれた光景だが、これらの情報は「センシティブ情報」にあたる。仮にその情報が漏えいし、悪質な名簿業者の手に渡ったり、社会的な差別や評価の低下につながった場合は、機密度・プライバシー度が「高」で漏えいダメージも「大」に位置づけられるだろう。当然、賠償額は宇治市やテンプスタッフの比ではない。
 「ネットワーク行政下」では、一か所でもセキュリティが脆弱な自治体があれば、個人情報はそこから漏れる。これについては、今後のネットワーク行政に対応した地方自治法等の改正が急がれるが、個々の自治体においても自主自立的に現状の業務や権限委譲の在り方、あるいはルールを見直し、新たに企画立案していくことが地方分権時代の自治体としての責務である。
 ただ、セキュリティや個人情報保護の対策は、上からの命令でやるものではなく、自分たちの抱えているリスクを一人ひとり自覚することが重要だ。その結果、組織全体のセキュリティ強化も可能となる。情報セキュリティにおける主人公は、皆さん一人ひとりだということに気付いていただきたい。


『地方自治IT法務大全』7,800円(税別)
◆監修 藤谷護人
◆発行 日経BP社

IT法務という観点から、電子自治体を構築する上で地方自治体が実務上留意すべきポイントをまとめた一冊。IT基本法など基礎的な知識から現状の課題、あるいは来年春、全面的にスタートする「個人情報保護法」の解説や「電子自治体におけるセキュリティ・リスクマネジメント」の考え方など幅広いテーマを網羅している。


ふじたに・もりひと
中央大学法学部法律学科卒後、自治体職員を経て、1992(平成4)年弁護士登録。わが国の弁護士で唯一のシステム監査技術者。職員時代の住民情報システムの設計・製造・開発経験と、多くのシステム訴訟、システム監査などの経験を持つ。主な著書に『IT企業法務2003』『地方自治IT法務大全』など。



バックナンバーへ戻るspacer新風トップへ