2016-12-02最近、情報漏洩がおおいですね。今年だとJTB、最近だと陸上自衛隊の内部情報(これは否定されてますが)とか。いや、他人事ではないんですけど。いう"漏洩"を通知すればいいのかとはいえ、昨今その空気が非常に強すぎる気がしていて、"情報漏洩の痕跡っぽいのがありました"レベルの公開情報が多い気もしています。なると、その間ユーザーは進捗と被害範囲に気をもむし、運用者は広報支援でドタバタして調査に集中できないのではないでしょうか。これぐらいのレベルだったら公開しなくてもええで?みたいな基準がないものかな、と考えていました。アメリカ医療業界にこける最近?情報漏洩通知ルールを見つけたので、それを紹介させていただきます。(HIPAA)というものです。セキュリティとプライバシー(PHI)を保護することを意図した一連の標準が確立されました。Rule)というものが定められていました。通知とは一体なにをさすのでしょうか。entity)・事業提携社は、以下の要素においてPHIが侵害された(compromised)場合には、漏洩(Breach)していると定義しています。mitigated.なぜ日本語訳してないかというとめんどくさかった法律も絡むコンテキストでの適切な表現がわからなかったからです。いうわけで、Breachが発生したら関係人物・監督庁?(Secrecy)への通知が義務づけられ、場合によってはメディアへの公開も必要になります。Breachの定義には以下の例外があります。belief)では、この例外にあたらないPHIの漏洩は、全て通知対象になるのでしょうか。ここまで黙っていましたが、実は重要な前提があります。この通知義務はアンセキュアなPHIが漏洩した時のみ発生するものなのです。guidance"直訳すると、アンセキュアなPHIとは"HHSのガイダンスで指定した技術・手法によって、利用できない・可読性のない・解読できない状態になってない"PHIのことになります。そのガイドラインは以下に公開されています。https://www.hhs.gov/hipaa/for-professionals/breach-notification/guidance/index.htmlそのガイドラインによると、以下の一つ以上の組み合わせの技術・手法が組み合わされば、利用できない・可読性のない、解読できない状態のPHIと定義できます。これにより、仮に例えば、AESアルゴリズムによって暗号化されたPHIのみが漏洩したとしても、通知自体は企業の判断に委ねられて、原因の追究だけにフォーカスできる状況がうまれる可能性もあるということです。ちなみにAES鍵が漏れてたらダメです。日本では?ここで業界は違いますが、日本の金融庁における決まりを見てみましょう。EncryptionされたPCを紛失したとしましょう。(おそらく)HIPAA法の下では、PHIは完全に暗号化されていてセキュアなPHIになるだろうから、通知義務は発生しないと思われます。金融庁の"(5)業法の体系における不祥事件届出"によると、情報の状態に関係なく、報告義務があるそうです。うーん...残念...最後に散文的ですが、色々なところに間違いがあるかもしれませんが、これを元に、何を公開情報のケースとするか、などを考えていければな〜、と思っています。普段なれない法律系の、しかも英文を読んでたのでシンドかったです。余談ですが、次かくものはコードベースにします。個人データや加工方法などの情報が、高度な暗号化などで秘匿化されていたり、第三者に閲覧されないうちに全てを回収したりして実質的に外部に漏洩していないと判断される場合などは、報告不要まだ、パブコメ募集段階ではありますが、タイムリーですね。各省庁から独立した内閣総理大臣所轄の委員会なので、ここから各省庁に落としこむ形となるでしょう。その場合、しばらくは委員会には報告しなくてよくても、監督庁には報告しないといけない漏洩インシデントがありそうです。なると、やっぱり事業者側としては「後から怒られない様に、とりあえず報告しとけ!」対応になるんじゃないかな〜、と思ってます。この様に行政が進化しているのはいい流れだと思います。