クラウドでどう守る!?特定個人情報

マイナンバー制度対応のためのクラウドセキュリティの要点

今、日本のあらゆる企業・組織が、今年(2015年)10月から施行されるマイナンバー制度(社会保障・税番号制度)への対応に追われている。そうしたなか、クラウドでマイナンバー制度へのコンプライアンスをどう確保するかといった問題がにわかにクローズアップされ始めた。ここでは、その観点からクラウドセキュリティについて考察してみる。

マイナンバーとクラウドセキュリティ

2015年10月から、日本の全国民に対する「個人番号(マイナンバー)」の通知が始まり、2016年1月からマイナンバーの利用が開始される。以降、社員として個人を雇用する事業者は、従業者やその家族などのマイナンバーを収集・管理し、税・社会保障などにかかわる各種の行政手続き・申請に用いていかなければならない。おそらく、その対応に追われている人事・経理の担当者やシステム担当者の方は、少なくないのではないだろうか。

内閣府・番号制度担当室「社会保障・税番号制度」概要資料(民間企業における番号の利用例)
出典:内閣府・番号制度担当室「社会保障・税番号制度」概要資料(民間企業における番号の利用例)
http://www.cas.go.jp/jp/seisaku/bangoseido/pdf/h2611_gaiyou_siryou.pdf

また、マイナンバーを巡っては、行政機関・自治体、民間事業者に対して、「マイナンバーに基づく新たなサービスの創出」も期待されている。したがって、新サービスの創出に乗り出そうとする企業・組織は、社員のマイナンバー管理のみならず、新サービスにおけるマイナンバー管理の方策も今から検討しておかなければならない。

そのなかで、にわかにクローズアップされてきた課題の一つが、「クラウドでどうマイナンバーのセキュリティを確保するか」である。

そもそも人事・給与・経理の業務を外部にアウトソースしている事業者は少なくないが、マイナンバー法(「行政手続における特定の個人を識別するための番号の利用等に関する法律」)でも、マイナンバー管理を外部の専門業者やクラウドベンダーに委託することは認められている。ただし、同法上、委託先のマイナンバー管理についても委託元の事業者が監督責任を負わなければならない。同様に、クラウドサービスを使ってマイナンバーの管理を行う際も、そのセキュリティを、利用者サイドが責任を持ってコントロールしていく必要がある。

さらに、周知のとおり、マイナンバー法は、個人情報保護法よりも厳格な情報管理を求めており、違反者の刑罰も厳しさを増している。そのため、クラウド環境上でマイナンバー(あるいは、マイナンバーを含む特定個人情報)を扱ううえでは、これまで以上に細心の注意が必要とされ、従来とは異なる新しいアプローチの採用も視野に入れていく必要がある。

「暗号化すればクラウドでも安心」の誤解

では、クラウド上でマイナンバーを取り扱ううえでは、具体的にどのような点に留意すべきなのだろうか――。もちろん、考慮すべき点はさまざまだが、まず正すべきは、データ保護の方法だろう。

例えば、特定個人情報保護委員会が公開している文書『「特定個人情報の適正な取り扱いに関するガイドライン(事業者編)」および「(別冊)金融業務における特定個人情報の適正な取り扱い関する」に関するQ&A」』には、次のようなQ&Aがある。

Q9-2 個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。

A9-2 個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条 第8項に規定する個人番号に該当します。

ご存じのように、「データの暗号化」は、情報漏えいを防ぐ有効な一手であり、「マイナンバー対応」を謳うクラウドサービスも、マイナンバー漏えいを防ぐための機能として、「暗号化のサポート」を掲げている。

だが、上のQ&Aからもわかるとおり、マイナンバー法では、暗号化されたマイナンバー(あるいは、特定個人情報)が漏えいした場合も、「情報漏えい」と見なされ、法令違反となる。言い換えれば、クラウド環境上に保管するマイナンバーを暗号化していても、それだけで漏えいのリスク、あるいは法令違反のリスクが回避されるわけではないということだ。

トークナイゼーションという選択肢

こうしたマイナンバー制度の要件と、今日のサイバー攻撃のトレンドを合わせて考えると、クラウド環境におけるマイナンバーセキュリティを高める一手として、「トークナイゼーションによるデータ保護」が浮上してくる。

トークナイゼーションとは、機密データを、元データとは何ら関係のないランダム(無意味)なデータ(トークン)に置き換え、第三者による元データの解読を不能にする技術のことだ。

この仕組みには、大きく2つのメリットがある。一つは、「データ漏えい時の影響範囲を限定できる」ことであり、もう一つは、「保護対策範囲の適正化」である。

このうち、一つ目のメリット――つまり、「データ漏えい時の影響範囲を限定できる」というメリットが生まれる理由は、トークナイゼーションが「元データと無関係なデータへの置き換え」の技術であるからだ。

例えば、暗号化の場合には、予め定められたアルゴリズムに基づいて元データから暗号化されたデータが生成される。そのため、現時点では十分に安全と考えられているアルゴリズムであっても、コンピュータの演算能力の向上により、いずれは解読されるリスクがあるといわれている。つまり、暗号化データが漏えいした場合、その時点では元データが解読されずに済むとしても、いずれは、漏えいの影響の範囲が「元データの解読=実害」に及ぶおそれがあるわけだ。対するトークンの場合、元データから生成されたデータではなく、元データとは何の関係性も持たないランダムな数字・文字の羅列にすぎない。また、トークナイゼーションでは、そのトークンと元データとの関係づけもランダムに行われる。そのため、トークンから元データが解読されるリスクはなく、隠ぺいしたいデータをトークンに置き換えておけば、たとえ、そのデータが漏えいしても、影響の範囲が限定的になるのである。

トークナイゼーションの使用例)

「クラウドでマイナンバー保護」の現実解

こうしたトークナイゼーションの仕組みを用い、特定個人情報をトークンに自動的に置き換えてクラウドに配置し、元データとトークンとの対応関係を自組織内のデータベース(トークンデータベース)で管理するようにすれば、クラウドから「特定個人情報の内容」そのものが漏えいするリスクは回避される。また、繰り返すようだが、トークンは元データの暗号化によって生成されるものではない。そのため、たとえトークンを漏えいさせたとしても、それだけによって、もとの情報を得ることができず、暗号化したマイナンバーについては、元データと同等に扱うことを規定しているマイナンバー法においても、トークンとマイナンバーを同等に扱う必要があるとは明記されていない。
また、例えば、クレジッドカード業界のデータ・セキュリティ国際標準「PCI DSS(Payment Card Industry Data Security Standard)」においても、トークンは機密情報の範囲外とされている。その点からも、トークンが安全なデータであり、マイナンバー法に対するコンプライアンスを検討するうえでも、(法が定める)マイナンバー管理の枠外に置くことが可能と見なすことができると考えられている。

クラウドデータ保護・ログ管理ソリューションのご紹介

もちろん、トークナイゼーションでは、トークンデータベースの管理といった運用の手間が発生する。また、トークンデータベースからの情報窃取によって、元データが攻撃者の手許に渡るおそれもある。それでも、トークンデータベースの保護を徹底しさえすれば、クラウドを通じたマイナンバー漏えいのリスクが回避され、同時にコンプライアンスも実現される。言い換えれば、トークナイゼーションの仕組みによって、クラウド上でマイナンバー対策を講じるうえでの保護対象を絞り込むこと――つまり、上述した「保護対策範囲の適正化」を図ることができるようになるのである。

さらに、トークナイゼーションの場合、トークンと元データのフォーマット(文字種別、桁数)を合わせることもできる。そのため、既存システムへの影響を比較的少なく抑えることが可能であり、アプリケーションにも大きな改修を求めない。ゆえに、クラウドのメリットを生かしたまま、短期間かつ低コストでのマイナンバー制度へ対応を果たすことが可能になる。その点でも、トークナイゼーションは、クラウド上でのマイナンバー管理を行ううえでの現実的なソリューションと言えるだろう。

永続不変の個人情報に適したセキュリティのアプローチ

周知のとおり、いくら強固な暗号方式が開発されても、それを解読するアルゴリズムや解読アプローチは必ず見つかるといわれている。実際、解読に数万年かかると見られた暗号も数十分で解読できるようになるなど、近年のCPUパワーの進化はすさまじい。だが、そもそも暗号化という手段を採用しなければ、解読のリスク自体を被ることはない。その意味でも、トークナイゼーションは、マイナンバーという「原則的に変更が不可能なデータ」のセキュリティを確保するのに適した仕組みと見なせる。

現在、トークナイゼーションを利用した具体的な製品として、NTTソフトウェアからは、「TrustBind/Tokenization」と呼ばれる製品が提供されている。

この製品は、Salesforceをはじめとする各種クラウドサービスに対するトークナイゼーションの適用を低コストで実現する仕組みだ。また、TrustBindの製品群では、各種クラウドサービス利用時のアクセスログを記録し、統合的に管理する機能も提供している。これを用いれば、マイナンバー対策上の内部統制やログ監査の要求にも対応していくことができるだろう。

クラウドでのマイナンバー対策をどう進めるかで悩まれている方は、TrustBindの採用を検討してみてはいかがだろうか。


※当ソリューション・製品に関するお問い合わせリンクは、NTTソフトウェアのお問い合わせ専用ページ(社外サイト:MARKETINGPLATFORM)に遷移します (MARKETINGPLATFORMは、株式会社シャノンが提供しているクラウドアプリケーションです)。

ソリューション・製品一覧へ