bugbirdの日記： Pマーク終了のお知らせ

大日本印刷の時の危惧が現実のものになったということだね ＜ MDIS の P マーク付与認定更新(pdf)

よくわからないが

[xan (25964)]

交通事故をおこした人から運転免許を剥奪しないなら、免許制度なんてなくていいという話ですか？

Re:よくわからないが

[bugbird (4706)]

メタファーとして最悪だなぁ。

飲酒運転で死亡事故を起こせば、取り消し＆失格が確定だよね？　免許はそういうもの。

で、そもそも、認証制度・認定制度は免許じゃないんだよね。そこのところも突っ込みどころ満載。まぜるな危険w　確信犯で突っ込んでいるのならかなり凶悪。

--
--- Toshiboumi bugbird Ohta

Re:よくわからないが

[xan (25964)]

>で、そもそも、認証制度・認定制度は免許じゃないんだよね。そこのところも突っ込みどころ満載。まぜるな危険w　確信犯で突っ込んでいるのならかなり凶悪。

いや、単に何故終了なのか意味が分からなかっただけです。

>飲酒運転で死亡事故を起こせば、取り消し＆失格が確定だよね？　免許はそういうもの。

その後も情報漏洩系のストーリーが幾つも立ちましたが、社外に情報を持ち出すのは情報漏洩じゃないとかいう論調が多かったんですよね。

Pマークを取得してない企業は実は情報漏洩しまくってても表に出てこないだけなんじゃないかと思うのですが、どうでしょうか。

Re:よくわからないが

[bugbird (4706)]

それは

「コントロール」がちゃんとできているのであれば、社外に個人情報を持ち出すことは漏洩とは考えない」

ということ。…でないと、個人情報を利用する社外での仕事（保険の契約とかでは必須でしょ？）は事実上できなくなってしまうから。もちろん業種や業務形態によっては『社外での仕事一切禁止』と徹底することも不可能じゃないし、そうしている所も少なくない。こう云う個人情報の管理規則を決めてきちんと運用してます（キリッ AA省略）という組織ですよ…　ということで、Pマークの使用が認められるわけだ。

で、そういう個人情報を持ち出す場合に『「コントロール」できている』とする根拠は、予め許可されている関係者だけが利用し、きちんと回収または破棄されて、それらの記録が残っている事となる。つまり、これらが成立してない持ち出しは「漏洩」とされる。従って、紛失や盗難は「漏洩」決定。

ただし、個人情報保護法に関わる監督省庁のガイドラインでは『個人情報が暗号化されていて、その復号に非現実的な時間が必要な状態であれば、

「漏洩」としての対応（情報主体（本人）などへの告知などによる二次被害の防止）を取らなくても良い。』

ということになっている場合が多い。

で、現実問題として Pマークを取得していようがいまいが、漏洩は起きるときは起きる。ただし、その時にPマーク使用の認定取得事業者としてふさわしい対応ができることも期待されているわけだ。

だから、そう云う意味で MDIS の漏洩に至る個人情報の管理状態や漏洩後の対応があまりにも杜撰だったから認定の更新は無理だろ？　と思ってたら『更新しましたがなにか？』で、個人情報の保護に関わっている識者全員の顎がガッポリと外れた状態 ＜ いまここ

というわけだね。ちなみに、情報が漏洩したという事実は、漏洩させた事業者が事態に気が付くよりも、漏洩した情報が悪用されたことで発覚する場合の方が圧倒的に高い。そういう意味では『Pマークを取得してなければうやむや』というのはまず無い。いずれにせよ『漏洩させちゃいましたごめんなさい』というのは当事者にしか通知しないわけだから（「これこれの人の個人情報漏らしちゃいました」って広報自体が個人情報の漏洩になっちゃうw）、世の中では目立たないからうやむやにしているようには見えるかもね。

--
--- Toshiboumi bugbird Ohta

Re:よくわからないが

[xan (25964)]

>「コントロール」がちゃんとできているのであれば、社外に個人情報を持ち出すことは漏洩とは考えない」

うーん、その時の一連のコメントはコントロールされてないようにしか読めなかったのですが、記憶違いでしたか。なお、社外＝会社の管理外、という意味で書きました。

>そういう意味では『Pマークを取得してなければうやむや』というのはまず無い。

うやむや云々もそうですが、流出に至らなくとも防止の意味でも社員の教育が大事ですからね。どんな優れたシステムでも結局は人が運用しますので。何が情報流出にあたるのかを把握していなければ、防ぎようがないんじゃないかと。

まぁ、さすがにスラド住民がそんなにセキュリティ意識が低い訳なかったですね。すいません。