データ保護はなぜ必要なのか？関連法令と手法についても詳しく解説

近年は社会のデジタル化が進み、ビジネスの中で扱われるデータ量が急激に増えています。オンライン上で提供されるサービスの増加にともない、個人情報を企業が預かるケースも今後増えていくでしょう。

一方で、不正アクセスやサイバー攻撃によって個人情報が漏洩し、企業の信頼が損なわれたというニュースもよく見られるようになってきました。このような社会情勢において、データ保護の重要性は年々高まっています。

今回はビジネスと切っても切れない関係となったデータ保護の必要性について、関連する法令を含めて基本から解説します。また、実務でデータ保護に関わるかたに向けてデータ保護の手法についても触れますので、ぜひ最後までお読みください。

ここでは、データ保護の対象となるデータ、データ保護の必要性について解説します。

一般的にデータ保護の対象となるデータにはどのようなものがあるのでしょうか。

個人情報保護法の規定を例に挙げると、氏名、生年月日、マイナンバーなど個人の特定につながる情報がデータ保護の対象となる個人情報です。メールアドレスや電話番号は、単体では個人の特定につながらないものの、他の情報と照合することで特定につながる場合は個人情報とみなされることもあります。

特に金融業界や医療業界は、利用者の特定につながる情報を多く保有する傾向にあるため、特にデータ保護を手厚く実施する必要があるでしょう。

ここでは、データ保護を重視すべき理由について、代表的なものを例に解説します。

企業の経営においてコンプライアンス順守は必須の取り組みですが、近年はデータ保護の取り組みについてもコンプライアンスの重要なテーマとみなされつつあります。

多くの国ではデータ保護に関する法律が定められており、特に後述するEUのGDPRでは違反した場合多額の罰金が科せられることになります。

ビジネスにおいては独占禁止法、労働基準法といった順守すべき法律が多数ありますが、個人情報に関する法律も同様にコンプライアンス順守の観点で重要です。

企業によるデータ保護への取り組みは、企業としての信頼のバロメーターになります。

サービスの利用者は運営する企業を信頼して個人情報を預けています。信頼している会社が個人情報の漏洩を起こしてしまえば、それまで築いた信頼が失われ、競合他社に顧客を奪われてしまうでしょう。また、一度失われた信頼を取り戻すことは容易ではありません。

データ保護への取り組みを怠ることで、これまで築き上げてきた成果が失われてしまうおそれもあるのです。

データ保護への取り組みは、長期的な経営の安定にもつながります。長期的に収益が見込める顧客基盤を持っていることは、企業経営において重要な要素であり、金融機関の融資を受ける際や株式市場で資金を調達する際の判断材料となります。

また、データ保護を徹底することでGDPRに規定されているような多額の罰金を科されるリスクを低減することもできるでしょう。

ここでは、データ保護の代表的な手法について紹介します。

システムを運用している限り、災害やシステム障害といった予期せぬ事態でデータが顧客から預かったデータが消失するリスクがあります。自社に落ち度がなかったとしても、実際にデータの消失が起きてしまうとリスクへの対策が不十分とみなされ、損害賠償や信頼の低下につながることが懸念されるでしょう。

データ消失のリスクに対して有効な対策の一つが「バックアップの取得」です。バックアップとは、ある時点でのデータを別の場所に予備として保管することです。バックアップを取ることで、万が一データが失われても、ある時点のデータをもとに復旧することが可能です。

ただし、バックアップを手作業で行う場合、人的ミスの可能性がつきまといます。自動でバックを行うしくみを備えたクラウドサービスを導入するなど、バックアップの自動化をおすすめします。

データ消失への対策としては、バックアップの取得に加えて「システムの冗長化」も有効な手段になるでしょう。システムの冗長化とは、従来は単独で稼働しているシステムに対して予備のシステムを待機または稼働させることです。予備のシステムを待機させる場合はコールドスタンバイ、稼働させる場合はホットスタンバイと呼びます。

冗長化によって不慮の事態が起こったとしても、即時あるいは短時間でシステムを復旧できるため、データが消失するリスクを軽減することが可能です。ただし、システムの冗長化にはサーバの導入、オプションサービスの契約などといった追加のコストが発生するため、自社の予算に応じて導入を検討すると良いでしょう。

データ保護においては、適切な権限に基づいてデータへのアクセス権を制御することも重要です。

企業が扱うデータは、経営層以上がアクセスできるもの、システム管理者のみが扱えるものなど多岐にわたります。たとえば、システム管理者のみが参照できるはずの個人情報が、外注の作業者でもアクセスできる状態になっていると、個人情報が外部に漏洩するリスクが大幅に高まるでしょう。

このような事態に未然に防ぐには、データごとに適切なアクセス権を付与するしくみや運用が求められます。近年はデータの性質に応じて効率的にアクセス権を付与できるサービスも提供されているため、必要に応じて導入を検討しましょう。

万が一、不正アクセスやサイバー攻撃によってデータを盗まれるようなことがあっても、データの暗号化が十分になされていれば、攻撃者にデータを解読されるリスクを下げることができます。

しかし、データ暗号化の手段は多岐にわたり、暗号化を破る手段も日々開発されているため、セキュリティ技術の進歩と攻撃者のいたちごっこになっています。専門のセキュリティ人材を育成できるような大企業でもなければ、自社のみの取り組みで暗号化を行うことは難しいでしょう。

多くのクラウドサービスでは、個人情報をはじめとしたセンシティブとされるデータには、最新の暗号化技術を使った処置を施すしくみが整っています。データ保護に関するサービスを選定する際は、データの暗号化をどれだけ効率的に実施できるかという観点を持つことも重要です。

社会全体で進みつつあるデジタル化にともない、顧客の個人情報をはじめとしたセンシティブな情報を預かるケースが増え、データ保護の重要性が年々増しています。

一方で個人情報を狙ったサイバー攻撃や不正アクセスも後を絶たず、企業にはより一層のセキュリティ対策が求められています。また、グローバルに事業展開する企業であればGDPRをはじめとした厳格な法令や規則への対応も同時に進めていかなければなりません。

企業で有効なデータ保護を行うためには、データのバックアップ、暗号化といった作業を効率的かつ自動的に行えるサービスを導入することが重要です。また、サービス選定は組織の目標や費用対効果の試算に基づいて実施する必要があります。

今回の記事を通してデータ保護に関する理解を深め、ビジネスで活用できる知見を得ていただけると幸いです。