サマリ
消費者はこれまで以上にデータプライバシーを認識し、懸念しています。 そして、彼らは疑問を持ち始めています：なぜこのブランドは私のインターネット使用状況を追跡したり、個人データを売ったり、許可なく私の顔をマッピングしているのか？ このエピソードでは、ISACAによる約2,000人のプライバシーおよびサイバーセキュリティの専門家を対象とした新しい調査を探り、誰がデータプライバシーを優先しているか、誰がしていないか、そして企業がどのようにより良い「プライバシー・バイ・デザイン」を実践できるかを明らかにします。
ホスト： Doug Thompson、テクニカルソリューションエンジニアリングディレクター兼チーフエデュケーションアーキテクト、Tanium
ゲスト： Safia Kazi、プライバシー専門実務アドバイザー、ISACA
ショーノート
ISACAの調査、およびTaniumの新しいオンラインサイバーニュースマガジンFocal Pointのこれらの記事と、NISTプライバシーフレームワークが公共および民間組織の機密データ保護にどのように役立つかについての限定ウェビナーをご覧ください。
- Privacy in Practice 2023 レポート | ISACA
- データ・プライバシー管理とは何でしょうか？
- Latanya Sweeneyがデータプライバシーについて知っていることはあなたを不安にさせるでしょう
- リモートワークがデータプライバシーへの懸念を高める
トランスクリプト
以下のインタビューは、明確さのために編集されています。
サフィア・カジ： 私はイリノイ州に住んでいます。この州には非常に強力な生体認証プライバシー法があります。 先日、フェイスブックから小切手が届きました。何のためかはわかりませんが、もらっておきます。 しかし、これが意味することは、プライバシーにまったく関心のなかった一般の人々が、今や関心を持ち始めているということだと思います。
ダグ・トンプソン： $650 百万。 これは、フェイスブックの親会社メタが昨年、同社のウェブサイト利用者から違法に生体認証データを収集したとする申し立てを解決するために支払うことに合意した金額です。 そして今冬、イリノイ州最高裁判所は、ファストフード大手のホワイト・キャッスルが、従業員の同意なしに指紋をスキャンしたとされる同様の申し立てに対応しなければならないとの判決を下しました。 このバーガーチェーンは、この判決により$17 十億ドル以上の費用がかかる可能性があると述べました。 それは大量のスライダーです。
こんにちは、ダグ・トンプソンです。本日のLet's Convergeでは、データプライバシーと、それを真剣に考えないことによる公的で痛ましい結果についてお話しします。 強力なデータプライバシー法はヨーロッパで数年前から施行されており、現在、米国のさまざまな州で同様の法律の制定が議論されています。 そして、企業はその対応に追われています。
本日は、情報システム監査・制御協会（ISACA）のプライバシー専門家実務アドバイザーであるサフィア・カジ氏にご参加いただいています。 サフィア氏は、ISACAの新しい調査「Privacy in Practice2023」についてお話しいただきます。この調査では、約2,000名のプライバシーおよびセキュリティの専門家を対象に、データプライバシーを優先している企業とそうでない企業、そして企業がよりよいプライバシー・バイ・デザインを実践する方法を調査しています。 本日のご調子はいかがですか、サフィア？
カジ：元気です。 お招きいただきありがとうございます。
トンプソン：このポッドキャストではセキュリティ侵害についてよく話しますが、多くの人が気づいていないのは、侵害の結果として生じるプライバシーの喪失です。 そこであなたの出番であり、あなたの組織の存在意義でもあります。
カジ：ええ、まったくその通りです。 おっしゃる通りです。 多くの人がセキュリティについて考えていますが、セキュリティ侵害のプライバシーへの影響については必ずしも考えていないかもしれません。 セキュリティとプライバシーの違いは何かと聞かれることがあります。 それらは同義語ではないのですか？ それに対して私は、セキュリティなしにプライバシーは絶対に成り立たないが、素晴らしいセキュリティ対策を講じていても、プライバシーの扱いが非常に不十分な場合もあると答えます。 つまり、プライバシーはセキュリティのサブセットなのでしょうか？ ある意味ではそうですが、必ずしもそうとは言えません。 もちろん、この二つは非常に密接に関連しています。 そして、本日の調査結果についてお話しする中で、プライバシーの専門家とセキュリティの専門家が、貴重な情報を提供している人々のプライバシーを最大限に保護するために緊密に連携していることがおわかりいただけると思います。
Thompson: では、そこから始めましょう。 つまり、毎月のように何らかの企業が罰金を支払っているというニュースが出てきます。 このプライバシーの侵害には、多大な金銭的損失が伴います。
Kazi: 興味深いですね。 米国では、非常に複雑なプライバシー法の寄せ集めがあり、住んでいる州によって、数時間先に住む人よりも多くの保護を受けられる場合があります。 もちろん、これはコンプライアンスとは何か、何をすべきかという目標が常に変動しているため、組織にとっても非常に困難なことです。 つい最近、アイオワ州でもプライバシー法が成立しました。
全体的に見て、取締役会はプライバシーについて考える必要があると理解し始めていると思います。なぜなら、プライバシーを尊重しない組織からの否定的なニュースや、支払わなければならない多額の罰金を私たちは皆目にしてきたからです。 そして、それは彼らの収益に影響を与える評判へのダメージについては何も言及していません。 そこでISACAはプライバシーの現状調査を実施し、昨年と比較して、取締役会がより積極的に取り組んでいることがわかりました。 プライバシーのための資金とリソースが大幅に改善されているようです。 プライバシー担当スタッフの規模が拡大しています。 プライバシー分野で働く人々は、人員不足を感じていると答える可能性が低くなっています。 プライバシー予算が不足していると答える可能性も低くなっています。 そして全体的に、昨年と比べて、取締役会がプライバシーを適切に優先していると考える人が増えているようです。
Thompson: 規模の小さい企業は、リソースが豊富な大企業と比べて、より多くの課題を抱えているのでしょうか？
Kazi: そう思います。 多くの場合、専任のプライバシーチームが存在しません。 セキュリティ担当者が、すべてのセキュリティ業務に加えて、プライバシー対応も担当するよう求められています。 そして、リスナーの皆さんもご存知のように、セキュリティチームはすでに人員不足のプレッシャーを感じており、非常に限られたリソースで多くのことをこなさなければなりません。 そこにプライバシー関連の業務が加わると、さらに複雑になります。 ですから、小規模な組織がこの問題に苦労していることは間違いないと思います。
Thompson: プライバシー・バイ・デザインについてお話しいただいていますが、私はかつてMicrosoftに勤めており、オペレーティングシステムを開発する際にセキュリティ・バイ・デザインについて議論していました。それは本当にゲームを変えるものでしたが、プライバシーについて話す場合、それに伴う技術的なコントロール以上のものがあります。 では、そのデザインの部分について説明してください。 それはどのようなものですか？
Kazi: そうですね。 プライバシー・バイ・デザインとは、ユーザーのことを考えることです。 それが重要なポイントの一つです。 もちろん、構築するシステムのことでもありますが、構築したものを使用するユーザーのことでもあります。 プライバシー・バイ・デザインには7つの重要な原則があり、最初の原則は事後対応ではなく事前対応です。 是正ではなく、予防です。 基本的に、プライバシーは後付けのものではありません。 何かを作り始める前から、それについて考えています。 プライバシーをデフォルト設定にすることが重要です。 人々は、プライバシーを保護する設定にするために何もする必要がないはずです。 それは設計に組み込まれるべきです。 これは、プライバシーの技術的な側面をより深く理解するところです。 また、完全な機能性、ポジティブサム（正和）であり、ゼロサムではないことも重要です。 プライバシーのためにセキュリティを、またはプライバシーのために使いやすさをトレードオフする必要はないはずです。 現実的に、プライバシーを確保しながら他の目標を達成することができます。
Kazi: エンドツーエンドのセキュリティとライフサイクル全体にわたる保護についても重要です。 これは、私たちが保有するデータについて考える際に非常に重要です。 どのくらいの期間、データを保持するのでしょうか？ どのようにデータを保護するのでしょうか？ 使用が終わった後も、データを保持し続ける必要があるのでしょうか？ これは可視性と透明性に関することであり、明確にコミュニケーションを取り、組織内の全員とデータを提供する人々が何をしているかを把握できるようにすることです。 そして最後の原則（私のお気に入りの一つ）は、ユーザーのプライバシーを尊重するという考え方です。 ユーザー中心を維持することです。 ユーザーのことを考えれば、プライバシーの観点から扱いやすいシステムを開発することができます。 そして、残念ながらいつかは起こりうる情報漏洩が発生した場合でも、デフォルトでプライバシーを保護し、過剰な情報を収集していないため、被害を大幅に限定することができ、これは侵害されたデータ主体を本当に助けることができます。
Thompson: 調査を読んでいると、少なくとも60%の企業が、少なくとも頻繁にこのプライバシー・バイ・デザインを実践し始めていることがわかりました。 常にとは言えないかもしれませんが、他の統計と比較すると、正しい方向に向かっているように思えます。 しかし、「めったにない」または「まったくない」というカテゴリーに属する人々はどうでしょうか？彼らの障壁は何でしょうか？ それは参入障壁なのか、それとも単に、岩の下に隠れているだけなのか、それとも何なのでしょうか？
Kazi: 岩の下に隠れている人もいると思いますが、正直なところ、その多くはリソースの不足だと思います。 多くの人は、できる限りプライバシー・バイ・デザインを実践すべきだとわかっていても、実際にはできないのだと思います。
Thompson: セキュリティやビジネス継続性についても同様で、バックアップや災害復旧計画はあっても、テストされていなければ、ほとんど意味がありません。 では、プライバシーの場合も同様に、シナリオを設定して、テーブルトップ演習のようなものを行うことはできるのでしょうか？ 例えば、データ漏洩が発生したとします。 そのような方法はあるのでしょうか？
Kazi: 可能性はあります。 自分の組織がプライバシーに関するテーブルトップ演習を行おうとしていると言う人たちの話を聞いたことがあります。 個人的には、もっと大きな課題があると思います。 私たちはアンケート回答者に、重大なプライバシー侵害を経験したことがあるかと尋ねました。 そして、ほぼ20%が「わからない」と答えました。 それは私にとって、自分たちのデータを把握していないことを示しています。 つまり、セキュリティ侵害があったことはわかっているが、それがどのようなデータだったのかということだと思います。 個人情報だったのでしょうか？ 何が持ち出されたのでしょうか？ 何が閲覧されたのでしょうか？ ですから、侵害発生時の対応方法を理解するという観点から、まず自分たちのデータを把握することが重要だと思います。そうすれば、システムが侵害された場合に、どのデータが侵害され、データ主体にどのような影響が及ぶ可能性があるかを把握できます。
Thompson: それはそのデザインの部分に戻ります。 データがどのサイロにあり、どのエリアにあるか、そしてそこに何があるか、どのような種類のデータかを把握していれば、あの調査で何を失ったのかを三角測量するのが少し楽になります。 もちろんです。 コンサルタントのような形で入ってきて支援してくれる組織を雇うことはできますか？
Kazi: もちろんです。 調査回答者の多くは、プライバシー関連のタスクを支援するために外部のコンサルタントや請負業者に頼っていると回答しています。 これは役立つと思います。 組織が行っているもう一つのことは、特定の技術や特定のシステムの専門家であるがプライバシーの専門家ではない人材が社内にいるかどうかを確認し、職場内訓練を受けられるかどうかを検討することです。 これは、求人票を掲載して、適切な人材を見つけるために6ヶ月を費やすことを心配しなくて済む、非常に優れた方法になり得ます。 しかし、はい、プライバシー関連のタスクを支援できるコンサルティング会社は確実に存在します。
Thompson: 調査を見ていて思い出したのですが、プライバシーに対して誰が責任を持つかについて話していて、もちろんチーフプライバシーオフィサーがその役割を担っていましたが、私が気づかなかったのは、それがセキュリティのようなものだということです。 それは本当に全員の仕事ですよね？
Kazi: 全くその通りだと思います。 つまり、その一部は組織の構造や、誰が誰に報告するかによって異なるでしょう。 でも、私は完全に同意します。 プライバシーはある意味、全員の仕事だと思います。 小規模な組織について話していましたが、彼らは苦労するかもしれません。では、何ができるでしょうか？ 組織内の全員にプライバシー意識向上トレーニングを提供することです。 小さなことに思えるかもしれませんが、年に一度、個人情報を取得しようとしている場合は、電話をかけてきた相手を確認しましょうと伝えるだけで、データ主体のプライバシーを守る上で大きな効果をもたらすことができます。
Thompson: 調査で驚いたことはありましたか？
Kazi: 本当に驚いたのは、プライバシー関連のタスクにAIを使用する予定だと答えた人がもっと少なかったことです。 回答者の11%が実施していると回答し、20%が今後12ヶ月以内に実施する予定と回答しました。興味深いことに、昨年も20%が同様の回答をしていました。 同じ人々かどうかはわかりませんが、38%がこの機能においてAIの導入予定はないと回答しました。 それは意外でした。AIと聞くと、AIを検索したときに出てくるロボットが歩き回るような安っぽいストック画像を思い浮かべる人もいるかもしれません。 しかし、生年月日などの個人情報や機密情報を検出するシステムにAIを活用していないということが本当にあるのでしょうか？ 特に、一部の組織が直面している人員配置の課題や、データ主体のアクセス要求の増加を考えると、AIに頼っている、あるいはすでにAIに頼っていると答える人がもっと多くいないことに本当に驚きました。
Thompson: スカイネットのようなディストピア的なものは避けたいですし、あなたがおっしゃったように、もう一方は小さなロボットのイメージですね。 では、逆の観点から見てみましょう。調査結果の中で励みになったことは何でしたか？
Kazi: プライバシーに携わる人々が、昨年のこの時期ほど圧倒されていないと感じていることがわかったのは、本当に励みになることだったと思います。 また、資金調達も改善され、人員配置も改善され、すべてが少し良くなっているようです。 改善を望む点の一つは、プライバシー意識向上トレーニングについて話していたことです。 意識向上トレーニングの質をどのように評価しているかを尋ねました。 事前・事後テストを実施していると回答した人は、回答者の4分の1未満でした。 ほとんどの人は、何人が受講したかを[記録する]という、形式的なチェックボックスの作業として扱っています。 それは良い指標だとは思いません。 それは良いトレーニングなのでしょうか？ 誰かが何かを学びましたか？
また、プライバシーに関する苦情の件数やプライバシーインシデントの発生件数を確認している人もいますが、それは私にとってはその時点では反応が遅すぎると思います。 被害はすでに発生しています。プライバシー意識向上トレーニングを改善するために、何か悪いことが起きるまで待ってしまったのです。 ですから、私たちがもう少し成熟していきたい分野の一つは、プライバシー意識向上トレーニングの有効性をどのように評価するかという点で、もう少し積極的に取り組むことだと思います。
Thompson: そうですね、何を基準に測定するかという指標を得ることが大切ですね。 それは常に、ある種の芸術と科学が伴うものであり、組織や業種などによって異なります。 州や地方政府にいる人は、商業的な場所にいる人とは少し異なる状況になるでしょう。 例えば、私が小規模な組織にいて、プライバシーをある程度掌握したいと思っているとします。うまくできていないことはわかっているのですが、上層部からの支援が必要です。 リーダーとしてその役割を担い、その課題に立ち向かうために活用できる良いリソースや取り組みにはどのようなものがありますか。
Kazi: 優れたプライバシー意識向上トレーニングについて述べましたが、もう一歩踏み込む必要があると思います。個人情報は保護されるべきだと言うだけでなく、もう少し現実的なものにすることが大切です。 ストーキング被害を受けたり、あまりにも多くの情報が流出したりすることで実際に被害を受けた人々の実例を見ることができます。 これにより少し興味深いものになりますが、プライバシーがなぜそれほど重要なのかを人々が理解するのにも役立ちます。 それはウェブページ上のプライバシー通知に過ぎないのではなく、実際には人間とその生活、そして家族を表すデータに関するものです。 プライバシーをそのような観点から見始めると、プライバシーの分野で働いていない人でさえ、それは自分たちが気にすべきことだと思い始めるでしょう。 なぜなら、人によっては、それが生死を分けることになりかねないからです。
それがどれほど劇的に聞こえるとしても、Googleで素早く検索するか、あるいはChatGPTで素早く検索するだけで誰についても入手できる情報がこれほど多くある中で、私たちについて膨大な情報が存在することを理解することは非常に重要です。 そのため、組織として、データ主体にもたらされる可能性のある害を制限できる方法で行動できれば、大きな競争上の優位性を持つことになります。 特に、足場を見つけようとしていたり、多くの競争に直面している組織にとって、プライバシーを守り、ユーザーを真に優先する組織であれば、それは最終的に大きな競争上の優位性となるでしょう。
Thompson: それは私の妻と私にとっての購買基準です。つまり、どのようにサービスを利用するかを考えます。なぜなら、過去にデータをきちんと管理していなかったサービスは利用しないからです。
Kazi: 私はイリノイ州に住んでいますが、ここには非常に強力な生体認証プライバシー法があります。つい先日、Facebookから小切手が届きました。何のためかはわかりませんが、ありがたくいただきます。 しかし、これが意味することは、プライバシーにまったく関心のなかった一般の人々が、今や関心を持ち始めているということだと思います。 友人たちから、Facebookから小切手が届いたけど、あれは何だったの？と聞かれました。 そして、小切手を受け取ることには問題がないかもしれませんが、プライバシーについて考え始め、ソーシャルメディアサイトが自分の顔のマッピングを持っていて、それについて聞かれなかった、あるいは知らされなかったとしたら、それはどういう意味なのかと理解し始めています。 ですから、一般の人々はますます気にするようになると思います。
Thompson: 世代的な観点から、私が以前考えたことのなかった点を指摘してくれました。 インターネットが登場する前に育った人々や、インターネットを構築してきた人々は、私の子供や孫とは異なるプライバシーの見方を持っています。 それは、どのような規制が設けられるかにどう影響するのでしょうか？ これは将来的な問題なのか、より大きな問題になるのか、それともどうなるのでしょうか？
Kazi: 可能性はあります。 一般的に、子供たちは十分に保護されていないと感じています。 18歳以上だと言ってソーシャルメディアアカウントを作成することを、8歳の子供が行うのを止めるものは何もありませんよね？ 実際、確認手段がありません。 また、より広い問題もあると思います。なぜなら、今や生まれる前から、つまり親が妊娠を知った瞬間にFacebookに投稿し、生まれた時や主要なマイルストーンのすべてがオンラインに記録されるという、人生全体がオンラインで育った世代が存在するからです。 そして、それがどのような意味を持つのか、正直なところ私にはわかりません。 つい最近、YouTubeのファミリー系の子どもが、子ども時代の生活がオンラインで公開されたことに対して損害賠償を求めようとしたケースがあったと思います。 とはいえ、私の知る限り、子どもの頃にこのような形でオンライン上に生活をさらされ、親がその決定を下している人々を保護する法律や規制は、実際にはほとんど存在していません。 ですから、それはおそらく変わるべきことだと思います。なぜなら、わずか数年後にその影響がどうなるかさえ、まだわからないからです。
Thompson: そして、変化について話し、最初の質問に戻ると、これらはおそらく近い将来に訪れるものの一部だと思いますが、すぐにとか、私たちが望むほど早くではないかもしれません。 しかし、より大きな障壁となりそうなものとして、近いうちに何が来ると思いますか？
Kazi: もう一つ、最近よく見られるようになってきているのは、プライバシーに関するダークパターンへの取り締まりだと思います。 それらは、本来そうしないような行動を取らせるように仕向けるものです。例えば、あの紛らわしいクッキーの通知で、承認するか、詳細を確認するためにクリックするかを選ぶ必要があり、「追跡しないでください」と言うために何千回もクリックしなければならないようなものです。 それがダークパターンの一例です。 「承認」を「拒否」よりもクリックしやすくすれば、十分な数の人がただ「承認」をクリックするでしょう。 多くのプライバシー法や規制は、それについて具体的に言及していません。 しかし昨年、いくつかの州の司法長官が、Googleマップにおけるダークパターンと、どのようなトラッキングが行われているかについての透明性の欠如を理由に、Googleを提訴しました。
多くのプライバシー法や規制が人々の同意を得ようとする点では良い仕事をしていると思いますが、一部の組織は人々を騙して同意を得ることに頼るようになっています。 そして、プライバシーダークパターンへの注目がさらに高まり、人々がトラッキングへの同意を与える際に、何に同意しているかを理解し、組織が明確にコミュニケーションを取ることが求められるようになるでしょう。
Thompson: しばらくの間、クリックなどの操作において私を悩ませてきたものに名前をつけてくれて嬉しいです。エンドユーザーライセンス契約のようなもので、8,000ページもあって誰も読めないし、ただクリックして通り過ぎるだけで、何も分からないんです。 こういったものをシンプルにして、非常に明確にする必要があります。たとえば、5年生にも分かるように説明してほしい、これが何なのかを理解させてほしい、ということです。 私はそれに大賛成です。 そういったことを変えるために力を尽くしましょう。 なぜなら、彼らには必要ないと思うものがいくつかあるからです。 でも私は、貯蓄口座の通帳をまだ持っていた世代なんです。 ご存知のように。
Kazi: そうですね、昨年、法案がありました—どうなったかわかりませんが—基本的に栄養成分表示のようなプライバシー情報を作成するための法案がありました。 つまり、私たちが追跡しているものはこれで、非常に素早く、わかりやすいものです。 それは素晴らしいことだったと思います。 なぜなら、おっしゃる通り、すべての利用規約を実際に座って読むには、全員が2週間仕事を休まなければならないでしょう。 つまり、現実的ではありません。
Thompson: わかりました。 あなたの経験とこの調査についてのさらなる洞察を共有していただきありがとうございます。 何が起きているかをより深く理解できることは素晴らしいと思いますし、あなたの時間とあなたとあなたの組織が行っていることに感謝します。
Kazi: お招きいただきありがとうございます。
Thompson: ISACAのプライバシー専門実務アドバイザーであるSafia Kaziと話してきました。
データプライバシーについてさらに詳しく知りたい方は、Focal Point、Taniumのオンラインサイバーニュースマガジンをチェックするかーショーノートにいくつかの記事へのリンクがありますーtanium.comをご覧ください。 今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話をお聞きになるには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。 それは本当に認知度を高めるのに役立ちます。 このエピソードが気に入ったら、ぜひ5つ星評価をお願いします。
ご清聴ありがとうございました。 次回のLet's Convergeのエピソードでも、さらなるサイバーインサイトをお届けできることを楽しみにしています。
