スキップしてメイン コンテンツに移動

個人情報につける値段

アフラックの個人情報流出事件は約９億円の賠償金が必要


アフラックが１５万件の個人情報を流出させてしまいました。（以下、朝日新聞）

　アメリカンファミリー生命保険（アフラック）は２６日、約１５万人分の顧客の個人情報が入った業務用パソコン１台を紛失したと発表した。顧客の銀行口座や病気に関する情報などは含まれておらず、同社は「パソコンにはパスワードの設定や情報の暗号化がされており、第三者が情報を閲覧することは困難だ」としている。
　パソコンを紛失したのは、同社が販売委託している代理店「ツーサン」（東京都新宿区）の男性社員。紛失したパソコンには、約１５万人分の顧客の名前や住所、生年月日、性別などのほか、保険料や保障額などの契約内容も保存されていた。
　同社によると社員は１７日朝、東武東上線志木駅から電車に乗り、パソコンが入ったカバンを網棚に置いたまま席に座った。池袋駅で降りようとした際、カバンがなくなっていることに気づいたという。池袋署に被害届を出し、カバンは同日中に同線下板橋駅で見つかったが、パソコンはなくなっていた。
　同社は「これまでのところ、パソコンに保存されていた顧客情報にもとづく不正請求や照会などはない」と説明している。問い合わせはアフラックコールセンター（フリーダイヤル０１２０・５０６・４８８）へ。
http://www.asahi.com/national/update/0726/TKY200707260202.html

さてさて、「パスワードの設定や情報の暗号化」がされており「第三者が情報を閲覧することは困難」な情報ですが、もしアフラックがお客さんから訴えられたらいくらの賠償金を払う必要があるのでしょうか？ソフトバンクの個人情報流出から慣例化している500円/人？それともTBCのように1.7万円/人？実は、NPO日本ネットワークセキュリティ協会が「2003年情報セキュリティインシデントに関する調査報告書」で概算金額を計算する公式を提案しているんですね。


損害賠償額＝基礎情報価値×機微情報度×本人特定用意度×社会的責任度×事後対応評価
  • 基礎情報価値：５００円
  • 機微情報度：（10^x-1+5^y-1）：２～１２５
    X＝精神的苦痛レベル：1,2,3
    Y＝経済的損失レベル：1,2,3

  • 本人特定用意度：1,3,6

  • 社会的責任度：1,2

  • 事後対応評価：1,2

    （出典：NPO日本ネットワークセキュリティ協会）
この式で、アフラックの個人情報流出事件をみてみますと…
  • 基礎情報価値：500円　これは普遍
  • 機微情報度：6
    精神的苦痛レベル：1　基本的には氏名などの個人情報だから
    経済的損失レベル：2　保険に関する情報は資産に含まれるから
  • 本人特定容易度：1　氏名、住所などが入力されているデータではあるが、パスワードと暗号化をしているため
  • 社会的責任度：2　知名度の高い会社かつ個人情報の適正な取扱いしなければならない業種なので
  • 事後対応評価：1　事後対応としては警察に通報、調査、公表などを行っているので
これらを全て掛け合わせると、6000円/人が妥当な金額になります。TBCが被害者に支払った賠償金に比べると一人頭の金額は安くつきましたが、流出した件数全てを賠償すると9億円になります。（ちなみにTBCは訴えを起こした14人に対して裁判費用を含めて賠償し、合計115万円（だったかな）を支払いました）もし、盗まれたパソコンにパスワードと暗号化していなければ、本人特定容易度が６レベルになり、3.6万円/人で全員に保証すると54億円になります。全ての人が訴えるわけではないと思いますが、それでも多額の賠償金を支払わさせられることには違いがありません。たかが個人情報、されど個人情報ですね。

アフラック　http://www.aflac.co.jp/news_pdf/2007072600.pdf

当ブログの本文は著作権により保護されていますが、商用利用を除きご自由に転送、転載していただいて構いません。できればトラックバックまたは出典を明らかにして頂ければ幸いです。

ラベル:

コメント

コメントを投稿

このブログの人気の投稿

プライバシーマーク　リスク分析規程

リスク分析規程には業務フロー図は不要？ プライバシーマーク（JIS１５００１）には、リスク分析規程を内部規定として設けることを要求しています。しかし、JIS要求事項には、業務フロー図の作成なんて求められていないんですよね。もちろん、個人情報保護法や経済産業省ガイドラインなどにもリスク分析のための業務フロー図作成なんて求めていません。事実、ウチのプライバシーマーク取得支援のコンサルティングでもお客さんに業務フロー図を作ってくれとは頼みませんし、その方法でプライバシーマークが取得できなかったこともないんですよ。 けれども、ちまたのプライバシーマーク関連の書籍や、コンサルティング会社のWebサイトでは、（私が調べた範囲で）ほぼ全て「業務フロー図を作成します（必要です）」とうたってるんですよね。たぶん、プライバシーマーク審査員が作れという風に指導したのが切っ掛け（業務フロー図があれば審査時に指摘しやすいので）だと思うんですよね。で、それを誰かがノウハウとして世間に公表したから定着してしまったのかなと思います。 さて、リスク分析規程の業務フロー図に焦点を絞って書いてきましたが、この業務フロー図作成が楽な作業ならウチの帳票に組み込んでもいいんですけど、業務フロー図作成って作業量が多い割に作るのが難しいという２重苦なんですよ。想像してみて下さい。個人情報を利用している仕事の流れをWORDのオートシェイプを使って取得から廃棄（または消去）までフロー図に書きます。どうでしょう？かなり複雑な図になるはずです。そして、フロー図を作成する工数（時間）も相当必要になるはずです。この作業を、会社で取り扱っている（保護対象とした）個人情報全てに対して実施します。全ての部門・部署を回って個人情報の取扱いの流れをヒアリングして、それをひたすらWORDに入力して業務フロー図を作り上げていきます。決して、無理な作業ではないですが、非常につらい作業になります。なので、ウチではお客さんに業務フロー図の作成は依頼しません。 じゃ、どうすれば業務フロー図抜きでリスク分析規程を終わらせれるのか？といったお話はまた次回。 当ブログの本文は著作権により保護されていますが、商用利用を除きご自由に転送、転載していただいて構いません。できればトラックバックまたは出典を明らかにして頂ければ幸いです。
コメントを投稿
続きを読む

個人情報流出を理由に社員を解雇できるか

電子決済処理サービスの米フィデリティー・ナショナル・インフォメーション・サービシズが個人情報を流出させ、故意に流出させた犯人を懲戒解雇しました。 2007年07月04日13時15分 　［ニューヨーク　３日　ロイター］　電子決済処理サービスの米フィデリティー・ナショナル・インフォメーション・サービシズは３日、元従業員が顧客の個人情報を不正に入手し、関連業者に売却したことが判明したと明らかにした。これにより、２３０万にのぼる銀行およびクレジットカードの顧客情報が不正利用される恐れがある。 　同社傘下のサーテジー・チェック・サービシズでデータベースを管理していたウィリアム・サリバン元従業員が、顧客情報を不正入手した上で、関連業者に情報を売却したという。サーテジーが３日に裁判所に提出した書類で明らかになった。同社はすでにこの従業員を解雇したという。 　サーテジーは、今回の不祥事について、関連業者が流出した情報を顧客に対する売り込みや勧誘のために利用しているが、詐欺行為に利用された形跡はないとしている。流出情報には氏名、住所、電話番号、生年月日、銀行の口座番号、クレジットカードの情報が含まれている。 　サーテジーのレンツ・ニカルズ社長は電話会議で、今回の件による影響は十分に食い止められている、との認識を示した。 　最初に情報流出の可能性に気付いたのは５月１日前後だったという。また、関連当局がこの件について調査を行っていると明らかにした。 http://www.asahi.com/business/reuters/RTR200707040049.html 個人情報が流出した際に、その犯人（社員）をどう処分するのかもめることが多いそうです。サーテジー社のように個人情報を流出させた社員を懲戒解雇することも可能ですが、前提条件として就業規則に懲戒規程がなければなりません。就業規則に、きちんと懲戒する条件と対応する懲戒処分の種類（訓告、減給、出勤停止、降格、解雇など）を定める必要があるわけです。これを定めずに、個人情報を流出させてしまった社員を懲戒処分することはできません。雇用者の「懲戒権の濫用」と判断され、懲戒処分は無効になります。 比較的、大きな会社であるとこういった規程はしっかり作られている場合が多いのですが、中小企業や零細企業になると用意されていないことがあります。後でもめる
コメントを投稿
続きを読む

個人情報保護法

法律ってのは、次のような体系になっています。 憲法＞法律＞法令（省令・政令）＞規則 　　　各県の条例＞各県の規則 　　　※各県の条例で法律をより厳しくしていたりする上乗せ規定などもがあります 　　　　だいたいは法律と同等の内容がかかれていることが多いです 個人情報保護法も例に埋もれず、この流れになっています。 個人情報保護法の条文を見たければ、 コチラのＷｅｂサイト をご覧下さい。
コメントを投稿
続きを読む