極楽せきゅあブログ

ときどきセキュリティ

個人情報保護法って使えるのか？

中間

使えないかも（笑）。
情報ネットワーク法学会で夏井先生がお話されていたのは、会社さんなどに「わたしの個人情報、持ってるヤツ全部出して」という請求ができるのか？というお話ですた。もしそういう請求が出来たとしたら、言われた側は「はい？持ってるヤツ全部と言われても・・・」と組織内をぐるーりと検索して、そこらじゅうに点在する情報を収集しなきゃならないわけで、こりゃもうたいへーん（苦笑）。
では持ってるヤツ全部、ではなくもっと具体的に、「2003年11月6日に登録した住所氏名年齢職業電話番号がどこでどんなふうに使われているのか教えて」と言えばいいんですけど、そうすると、「その他に何かないですか？」という聞き方が出来なかったりするわけで。こそっと出回っているブラックリストに載っている情報とかを請求するのが難しくなるかも。
その前にそもそも開示請求そのものが可能なのか、という論点も有り（笑）、そうなるとこの法律をどう使えばいいのか、うーん、というお話でした。
しかし、情報を集めて使いたい側が管理責任を負わされるのは当然っちゃ当然で、少なくとも「ちゃんと管理してますよ。こんなふうに」というくらいは開示してもらわないと困るっすよねー。それも企業秘密とかって言われたら、そんなとこには情報上げないだけでなく、そこのブツは買わないとかするしかないんでしょうか。
でもその不買運動とかは、この法律とは関係が無いわけで（苦笑）。

インシデントレスポンス

堅

ISO/IEC TR 18044「Information Security Incident Management」とか、ISO/IEC 17799のインシデント管理パート追加とか、時代はまさにインシデントレスポンスになってきてますねー。
いつまで寝てらっしゃるおつもりですかー（笑）？＞某Sさん。
今議論されているのはこれまでに事例が無いイベントが起きたときどうするの？というところのようですが、メジャーなリスクはできるだけ減らしておいて、それでも何かあったら都度対応ってことにしかならないような気もします。