Empfohlen
Weitere ähnliche Inhalte
Ähnlich wie 20171013危機管理産業展なぜ中小企業がサイバー攻撃に狙われやすいのか
Ähnlich wie 20171013危機管理産業展なぜ中小企業がサイバー攻撃に狙われやすいのか (16)
20171013危機管理産業展なぜ中小企業がサイバー攻撃に狙われやすいのか
- 2. 自己紹介 青山学院大学法学部公法学科卒業、同大学院法学研究科 公法専攻博士前期課程修了、慶應義塾大学大学院法学研 究科政治学専攻博士課程退学 慶應義塾大学講師等をへて、2004年九州国際大学法学部 専任講師、2005年助教授、2007年准教授、2008年教授、 副学長・国際センター長、2011年情報セキュリティ大学院大 学情報セキュリティ研究科教授、2012年学長補佐 九州大学、横浜市立大学、愛知学院大学、慶應義塾大学、 中央大学非常勤講師 情報ネットワーク法学会副理事長、日本セキュリティ・マネジ メント学会理事、日本選挙学会理事、デジタル・フォレンジッ ク研究会理事 ほか ベネッセホールディングス情報セキュリティ監視委員会委員 長代理、総務省情報通信政策研究所招へい研究員 ほか 2
- 3. 背景 3
- 7. 大企業の場合は サイバーセキュリティ基本法 2014年11月12日に公布され、第2章と第4章を除く 部分が即日施行 残された部分も2015年1月9日に施行 目的 サイバーセキュリティに関する施策に関し、基本 理念を定め、国及び地方公共団体の責務等を明 らかにし、並びにサイバーセキュリティ戦略の策 定その他サイバーセキュリティに関する施策の基 本となる事項を定める（第1条） 7
- 8. 関係者の責務 8 国 サイバーセキュリティに関する総合的な施策を策定し、実施 政府は施策を実施するため必要な法制上、財政上又は税制上の措 置その他の措置 地方公共団体 国との適切な役割分担を踏まえ、自主的な施策を策定し、実施 重要社会基盤 事業者 サービスを安定的かつ適切に提供 自主的かつ積極的にサイバーセキュリティの確保 国又は地方公共団体が実施する施策に協力 サイバー関連 事業者 自主的かつ積極的にサイバーセキュリティの確保 国又は地方公共団体が実施する施策に協力 教育研究機関 自主的かつ積極的にサイバーセキュリティの確保 人材の育成、研究及びその成果の普及 国又は地方公共団体が実施する施策に協力 国民 サイバーセキュリティの重要性に関する関心と理解 サイバーセキュリティの確保に必要な注意
- 9. サイバーセキュリティ経営ガイドライン 経済産業省・IPA（（独立行政法人 情報処 理推進機構） 経営者が認識する必要がある3原則 1. セキュリティ投資のリターンの算出はほぼ 不可能 → 自主的に判断 2. 自社＋子会社、系列企業、ビジネスパー トナーも含めた対策 3. 関係者との適切なコミュニケーション 9
- 11. セキュリティ経営 11
- 14. 個人情報漏えい 報道や企業のウェブページ等で公開されてい る情報のみ 実数はもっと多いと想像される 日本ネットワークセキュリティ協会「2015年 情報セキュリティインシデント に関する調査報告書【速報版】」（2016年） 14 年間の漏えい人数 496万0063人 年間のインシデント件数 799件 一件あたりの漏えい人数 6578人
- 21. サプライチェーンのビジネスパートナーやITシステム 管理の委託先がサイバー攻撃に対して無防備であ った場合、自社から提供した重要な情報が流出して しまうなどの問題が生じうる。 自社のみならず、サプライチェーンのビジネスパート ナーやITシステム管理の委託先を含めたセキュリテ ィ対策を徹底することが必要。 • 委託先、再委託先の管理強化が求められ ている • 下請け、孫請け先の企業の管理強化が求 められている
- 23. 法律の制定・改正 23
- 24. 個人情報保護法の改正 24
- 26. 改正個人情報保護法 の内容 個人情報の定義の明確化、「個人識別符号」 現行法のルールの適正化 要配慮個人情報の取扱いについて規定 第三者提供に関するオプトアウトの徹底 共同利用に関する現行法の趣旨の徹底 開示等の請求権について規律 匿名加工情報 主務大臣制 → 個人情報保護委員会 取り扱う個人情報の数が5,000件以下の個人情報 取扱事業者に対する適用除外規定を撤廃 26
- 27. 企業のマイナンバー対応 27
- 28. 課されている義務 段階 義務・責務と、関係条文 1 取得 個人番号の提供の要求（第14条） 個人番号の提供の求めの制限、個人番号を 含む情報（＝特定個人情報）の提供制限 （第15条、第19条、第29条第3項） 収集・ 保管制限（第20条） 本人確認（第16条、国税庁ガイドライン） 2 保管 収集・保管制限（第20条） 3 利用 個人番号の利用制限（第9条、第29条第3項、 第32条） 個人番号を含むファイル（＝特定個人情報 ファイル）の作成の制限（第28条） 4 提供 個人番号の提供の求めの制限、特定個人情 報の提供制限（第15条、第19条、第29条第 3項） 5 利用停 止 第三者提供の停止に関する取扱い（第29条 第3項） 6 廃棄 収集・保管制限（第20条） 28 【安全管 理措置】 委託の取扱 い（第10条、 第11条） 安全管理措 置（第12条、 第33条、第34 条） 安全管理措 置（個人情報 保護委員会ガ イドライン）
- 36. GDPR 一般データ保護規則（General Data Protection Regulation：GDPR） http://ec.europa.eu/justice/data- protection/reform/files/regulation_oj_en.pdf これまでEU加盟国に適用されてきた1995年デー タ保護指令（個人データ取扱いに係る個人の保 護及び当該データの自由な移動に関する1995 年10月24日の欧州議会及び理事会の指令」 (Directive 95/46/EC)に替わり、新たに採択 2018年5月施行予定 36
- 46. オランダ データ処理及びサイバーセキュリティ通知義 務法義務法(Data processing and Cybersecurity Notification Act) 2016年11月23日可決 イギリスのEU離脱とEUによる一般データ 保護規則（GDPR）の施行を踏まえる セキュリティに関する新たな国内法制度を 制定し、オランダのサイバーセキュリティの 競争力強化 46
- 47. 第1章 総則 第1条 定義 第2条 必須事業者の義務 第3条 個人データ 第4条 データ提供要請 第2章 通知義務 第5条 適用範囲 第6条 必須事業者のセキュリティ侵害通知義務 第7条 データ提供義務 第8条 別の定め 第9条 秘密データの取扱い 第3章 附則規定 第10条 施行日 第11条 法律名の略称 47
- 48. Data breach nofiticationから、cyber security notificationへ 必須事業者（第1条） vital operator 製品またはサービスの事業者であって、その可 用性及び信頼性がオランダ社会にとって必須の 重要性を有しているもの マルウェア感染その他のインシデントの発生時に 治安・法務省の下にある国家サイバーセキュリテ ィセンター(NCSC)に届け出ると共に、必要なデ ータを提供することを義務づけ 48
- 49. アメリカの動き 49
- 51. 連邦法 健康保険ポータビリティ及び説明責任法 Health Insurance Portability and Accountability Act, P.L. 104-191, 110 Stat. 1936 (1996), codified in part at 42 U.S.C. §§ 1320d et seq. アメリカ復興・再投資法の一部である経済的・ 客観的な健康情報技術に関する法律 American Recovery and Reinvestment Act of 2009, P.L. 111-5, codified at 2 U.S.C. 661 et seq. グラム・リーチ・ブライリー法 Gramm Leach Bliley Act , Pub.L. 106-102, 113 Stat. 1338. 51
- 58. まとめ 58
- 59. サプライチェーンの一部としてサイバーセキュリティ の強化が求められる 中小企業も、個人情報保護法とマイナンバー法の 遵守が求められ、違反した場合、制裁を受ける可能 性がある 法的制裁・行政からの制裁 社会的な制裁 企業活動における制裁 サプライチェーンの上流企業は、チェーン全体のセ キュリティ対策が必要 59