ニュース報道がなされていましたので記憶に残っている方も多いと思いますが、以前、とある証券会社にて内部で知りえた情報をもとにインサイダー取引が行われ、容疑者が逮捕されました。
これは私の推測ですが、その会社では、再発防止のために全力をあげて取り組んでいると思われます。(もちろん、そうしてもらいたいですし) そこで何が行われ、どのようになっているのかは分かりませんが、いわゆる業務上知りえた情報に対する情報統制のようなことと、社員としての個人の意識向上を啓発する教育が行われ、一定の成果が出るのではないでしょうか。

さて、本件を例にとって考えると、
目に見える損失とは、この件に端を発する顧客離れ、対策に費やす費用、ブランドイメージの低下といったものが挙げられます。
目に見えない損失とは、コンプライアンス意識向上活動に伴い、あまりに会社側の縛りがきつくなりすぎ、社員間の相互信頼が失われ、結果、業績が悪化していく　というようなものです。これは、コンプライアンス活動がうまくいかなかった場合の想定ということにはなります。
しかし、往々にして、あとから法令遵守の意識を植え付けることは難しいことです。その原因は様々ですが、「自分には関係が無い」というところから脱却できないというのが大部分ではないでしょうか。また、代表者がてのひらを返すように昨日と違う発言をしていたりするような企業は危ないでしょう。代表者一人の発言からは実際のところは分かりませんが、会社の顔ですから、一般顧客からは、やはり代表者の対応で判断することでしょう。

この件については、どのように進行しているかは分かりません。
コンプライアンスに立脚した業務構築をしておかなければ、改善にも時間がかかるということも頭の片隅において、一消費者として進展を見守りたいと思います。

事務局長　久保田

今後の規模が拡大される見込みとなっている SaaS (Software as a Service) についてです。
経済産業省からガイドラインが公表されていますので、今後、導入を検討されている方は、"理解ようになること" を目標として読むと良いかと思います。(理解してから IT ベンダーの話を聞いた方が良いです)

詳細は、以下です。
「ＳａａＳ向けＳＬＡガイドライン」公表について（METI/経済産業省）

SaaS でインフラが提供されても、それを使いこなすのはユーザー側の技量ですので、ポリシーや社内教育も含めて検討する必要があります。

事務局長　久保田

個人情報の取扱いにおいては、「個人情報データの棚卸し」 と共に 「業務の中で個人情報がどのように使われているか」 を精査することが必要になります。
全ての業務がフローチャートで作成され、また、その通りに実行されるのが理想ではありますが、実際には絵や文章では説明できないほど複雑だったり、多岐にわたっていたり、もしくは人に依存してブラックボックスになっていたりするのではないでしょうか？
業務効率化の視点でオペレーションを改善していく手法もありますが、まずはそのまえに、個人情報を扱う業務を最低限把握することから始めるのが良いと思います。

個人情報の取扱いは、経済産業省のガイドラインに倣い、[取得]-[移送・送信]-[利用]-[保管]-[破棄] の5つのステップに分けて考えるのが分かりやすい方法です。
そして、この5つのそれぞれの状況に応じて、責任者、作業者、ルール化ということをしていくことになります。
文字で書くと分かりにくいので、簡単にチェックシートにしてみました。
(以下の SkyDrive にも一般公開しました。印刷などされる場合は、こちらをご利用ください。
 http://cid-99bc4918cda31640.skydrive.live.com/self.aspx/Public/業務内容と責任の明確化.xps)

それぞれの状況に対し、5W1H を決めるという単純な手法です。 特に Who のところは、その状況における責任者という位置づけにもなるかと思います。
このシートに✔マークをいれるだけではなく、具体的なことを記載すれば、それで洗い出しを行ったこととなります。

(記入例)

企業内業務の IT 化が進んでいることは、わざわざ説明するまでもないと思います。もちろん、業種・業態により活用の幅には差がでますが、"個人情報" - 特に大量の個人情報ということになると、もはや紙の管理では対応ができなくなります。

さて、"紙-人" の状態の場合における管理方法は、人の扱いがメインとなります。膨大な作業を行う複数の担当者と、それを統括する責任者という構図になります。
この場合、いかに人を制御し、間違いを発生させなくするのかという部分がポイントとなります。ただし、その一方、作業熟練者による効率化や、同じ作業を行う人同士の連帯感、相互監視機能など、人ならではの良い面も発揮されます。

一方、IT 化(電子化) された場合の大きなメリットは、その作業効率性です。電子化されると共に、業務プロセスが明確化され、さらに効率性が増すことも期待されます。しかし、逆に、IT に頼りすぎるあまり、人へのコントロールが後回しになる傾向があります。アプリケーションで解決させることを優先するばかりに、本来の仕事の意味を考えなくとも業務ができるようになり、仕事への興味を無くすということも考えられるシナリオです。

つまり、IT 化すればするほど、やはり、人へのコントロールにも比重を置かなければならないという事実が見えてきます。
何故、業務が電子化されているのか、それによる効率性の成果、本来の仕事の意味合い、目的とするものやゴール、仕事から得られる達成感など、人からでなければ教わることができない様々なことを伝え、指導していくことが、現代の管理職には求められています。

個人情報保護を企業内で定着させるためにも、やはり、同じように意識面に訴えかける内容であることも求められます。
単純なガイドラインや、ありきたりの教育ということだけでは、適切な運用には至りません。社員の素養を伸ばしていくことも考えた管理施策でなければ、いずれ形骸化し、社員からも忘れ去られることでしょう。


事務局長　久保田

JNSA - NPO 法人 日本ネットワークセキュリティ協会にて表題の報告書が掲載されました。
詳細は、以下をご参照ください。
【速報版】2007年度 情報セキュリティインシデントに関する調査報告書（Ver.1.0）

事務局長　久保田

過去に起きた事件は忘れられがちですが、本日ニュースに出ていましたので改めて見直しました。

(他社様へのリンクですが) 報道情報は以下をご参照ください。
asahi.com：ジャパネット情報流出　元社員に１億１千万円賠償命令 - 社会

約 51 万人の顧客情報に対し、一人 5000 円という価値で見積もると約 25 億円という価値になると算出しています。
当該企業は、事件発覚から1ヶ月半ほど(販売)営業を自粛し、顧客対応と社内精査に時間を費やしており、影響は 150億円とみられています。社長のあまりに潔い決断に当時は驚いたものです。

個人情報保護法においては個人を罰する規定がないため、この判決は民事訴訟ということになります。
個人に対して、これだけの高額の賠償命令が下ることにも驚きますが、企業として受けた損失に比べれば少額かもしれません。

この事件は事故後対応の事例として話題となることが多いのも事実です。
私個人としては、該当企業への悪いイメージはまったくありませんが、事故については忘れないようにして、自社での取り組みにつなげていきたいです。

事務局長　久保田

Just For Your Information です。
経済産業省により全国各地でセミナーが開催されるようです。費用は無料とのことですので、こういった機会を有用に利用して自社のトレーニングなどに役立てられるかと思います。

詳細は、以下をご参照ください。
「情報セキュリティセミナー」の全国各地での開催について（METI/経済産業省）

事務局長　久保田