米国のローファームJeffer Mangels Butler & Mitchell LLP (JMBM)から「カリフォルニア州は、2017年1月1日から個人情報漏洩時の通知義務法の一部改正法案AB2828を可決、施行」という記事が届いた。
カリフォルニア州は、2002年に米国で初の「データ漏洩通知法」 (注1) (注2)を可決して、その法律がアメリカ合衆国にデータ保護法の最前線に残ることを確実とするために、一貫して働いてきた。ジェリー・ブラウン州知事が法案AB 2828 （エド・チャウ(Ed Chau)議員が法案を起草）に署名したとき、カリフォルニア州は2016年9月13日に、この評判をさらに磨き上げた。この法律は、危殆化した個人情報を持つ企業の告知の必要条件に重要な変化をもたらすことによって、カリフォルニア州の「データ漏洩通知法（民法典1798.82条ほか）」を一部改正したものである。
AB 2828の改正前には、カリフォルニア州は他の大部分の州と同様、「暗号化された」情報が漏洩されたことを明らかにすることを企業に要求していなかった。AB 2828(注3)は、暗号化されたデータがその個人情報を読めたり使用が可能となる「暗号化キー(encryption key)」または「セキュリティ証明書(security credential)」と共に漏洩したときは、暗号化された情報が無権限の漏洩にあたるとして、2017年1月1日付けでその漏洩を通知することを企業に要求するものである。
今回のブログは、カリフォルニア州司法省のリリースとJMBMのブログ記事を集約したかたちでまとめた。いずれにしても、IT技術の変化は激しい。迅速な法改正の例として、紹介するものである。
１．従来の法律の暗号化データにおける通知適用の例外規定(いわゆるセーフ・ハーバー規定)の問題
暗号化された個人データに関する通知義務法の例外規定は、従来のカリフォルニア法の一部であった。しかし、それには潜在的に重大な欠陥があった。
たとえば、ハッカーや他の犯罪者によって閲覧可能であったり、暗号化されたデータの暗号化キーが明らかになったとしても、企業は漏洩通知を影響を受けた個人にその旨の情報を提供する義務はなかった。換言すると、暗号化された情報が、実際は閲覧可能であったとしても、企業はその漏洩に事実を報告することは要求されていなかった。その結果、個人情報の漏洩が明らかにされなかった一部の個人が通知を受け取り、彼らの金融取引情報またはアイデンティティを保護するために適切な処置をとることはできなかった。
米プライバシー問題擁護団体である「電子フロンティア財団(Electronic Frontier Foundation：EFF」は、AB 2828を支持して、「AB 2828は、カリフォルニア州の現行のデータ漏洩通知義務法の重要な隙間を埋めた。不注意にも、解読パスワードを端末機器に付けたメモに加えて、泥棒は暗号化されたラップトップ自体を盗むかもしれない。または、泥棒は遠隔で暗号化されたデータを盗むかもしれず、セキュリティ証明書を得るために、後でソーシャル・エンジニアリング (注4)を使うかもしれない。これらと多くの他の状況では、不正行為者は、暗号化された個人情報とその暗号化データを解読する力を身につける。そのような状況では、データ主体である人々は、彼らが個人情報を不正使用している不正行為者の危険にさらされていると通知されなければならない」と述べた。
２．カリフォルニア州司法省・司法長官サイトにみるデータ保護漏洩通知に係る法改正、施行と企業の新たな取組み課題
(1) 改正法の内容
カリフォルニア法は無権限の第三者が得たか、または得たと合理的に信じうる暗号化されていない個人情報についてすべてのカリフォルニア州の住民にでも通知することをビジネス企業または州機関に要求する（カリフォルニア州民法典1798.29条(a)［州の機関についての規定］ (注5)、およびカリフォルニア州民法典1798.82条(a)［個人または企業についての規定］ (注6)参照。
(2) ビジネス事業者へのさらなる挑戦的課題
今回の漏洩通知法の一部改正は、企業にとって挑戦的な内容である。データ漏洩は「都合のいい」時間にめったに起こらない。そして、企業は、実際開示すべき一連の出来事かどうかを決定するために各種問題に対処しなければならない。
とりわけ、企業はどんな情報が敵陣からこっそり脱出されたかについて決定しなければならない。すなわち、1)被害者である個人の位置(location)はどこか、2)規制・監督機関および法執行当局にどのような通知を行うべきか、3)サイバー保険会社から求められる内容はどのようなものか、4)どのように、漏洩は修正されるべきか、などである。
企業は、漏洩事件の処置の経験がある弁護士、技術専門家、広報関係の支援者、ならびにしばしば規制面の要件などの考慮すべき事項につき迅速に取り組まねばならない。同時にこれらの仕事は、大きなプレッシャーのもとで達成されなければならない。たとえ同社が特定のタイミング要求を受けなかったとしても、企業はすぐに彼らの顧客、従業員や他の影響を受ける人に通知するよう努めなければならない。
データ漏洩はめったに明らかとならないし、あるいは明確でない点を思い出されなければならない。最も難しい仕事の1つは、ある程度の信頼度をもって、どんな情報が漏洩したかを決定することである。ハッカーや他の悪人どもは、彼らの行動を隠すためにしばしばいろいろな処置をとるので、情報の個々の部分を決定するのが簡単でない場合がある。企業が「データ・キー」や「管理の証明書」が危うくされたかどうかを直ちに決定することができるかどうかは疑わしいといえる。
IT分野における異なる脅威（ransomware (注7)、lockerware (注8)、スピアー・フィッシング(spear phishing) (注9)など）の拡大は、AB 2828によって強要される変化と組み合わされた。回避不能なデータ漏洩に備える必要を補強すべきである。潜在的セキュリティ隙間を確認して、データ漏洩を防止するために最高の実践を行うためスタッフを教育訓練して、効果的データ漏洩プロトコルが存在することを確実しておくことは、法令遵守と不遵守の差となる。
(3) 漏洩通知の具体的要件や具体的様式など
セキュリティ・システムの１回あたりの違反の結果として500人以上のカリフォルニア州の住民にセキュリティ違反通知書を交付することを要求されるいかなる個人またはビジネス企業は、個人識別情報を除き、そのセキュリティ違反通知につき１つの見本コピー形式により、州司法長官に電子的に提出しなければならない（カリフォルニア州民法典1798.29条(e)［州の機関の場合］ (注10)、およびカリフォルニア州民法典1798.82条(f) (注11) ［個人またはビジネス企業の場合］）
A.あなたがビジネス企業または州機関である場合
データ保護違反通知サンプルを提出するために、司法省のオンライン・フォームを使ってください。
(一部抜粋)
B.あなたが州の居住者である場合
州民は司法省事務局に提出されて発表されたデータ漏洩事件をオンライン検索しうる。また、司法省への漏洩事実の告発様式により連絡しうる。
a)司法省事務局に提出され公表されたデータ漏洩事件の検索画面
(一部抜粋)
B)州民の漏洩事故に関する司法省へのオンライン告発登録画面
(一部抜粋)
*****************************************************************************************************
(注1) 改正法案(SB.1386：PEACE法案)は2002年9月25日に成立、施行は2003年7月1日施行された。
Senate Bill No. 1386は、カリフォルニア州の民法典第915節に1798.29条,1798.82条および1798.84条を追加する法案である。米国内で個人情報の漏洩時のデータ主体などへの通知義務を初めて定めたものとして有名である。
(注2) 1事件あたりの漏洩通知の対象は、被害者数は500名以上の場合である。1798.29.条 (e) がその根拠規定である。
(e) Any agency that is required to issue a security breach notification pursuant to this section to more than 500 California residents as a result of a single breach of the security system shall electronically submit a single sample copy of that security breach notification, excluding any personally identifiable information, to the Attorney General. A single sample copy of a security breach notification shall not be deemed to be within subdivision (f) of Section 6254 of the Government Code.
(注3) AB2828法案の要旨(SUMMARY)原文を引用する。
Expands data breach notification law, which currently requires consumer notice for compromised unencrypted personal information, to include encrypted information if the encryption keys have also been compromised. Specifically, this bill:
1)Requires a public agency, person, or business that owns or licenses computerized data that includes personal information to notify any California resident whose encrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person, if at any time before or after the breach the encryption key or security credential has, or is reasonably believed to have been, acquired by an unauthorized person.
2)Defines "encryption key" and "security credential" to mean any information that could be used by an unauthorized person to access or decrypt encrypted personal information contained in a data system.
(注4) ソーシャル・エンジニアリングとは、人間の心理的な隙や、行動のミスにつけ込んで個人が持つ秘密情報を入手する方法のこと。ソーシャル・ワークとも呼称される。あるいはプライベートな集団や政府といった大規模な集団における、大衆の姿勢や社会的なふるまいの影響への働きかけを研究する学問である(社会工学)。元来は、コンピュータ用語で、コンピュータウイルスやスパイウェアなどを用いない（つまりコンピュータ本体に被害を加えない方法）で、パスワードを入手し不正に侵入（クラッキング）するのが目的（Wikipediaから抜粋、引用)
次のような解説例もある。「人をだましてある行動をさせたり、内密の情報を漏らさせたりすること。通例、だます側とだまされる側が面と向かうことはなく、電話で別人になりすましたり、うその電子メールを送ったりすることをいう」
(注5) CALIFORNIA CIVIL CODE 1798.29.条(a) の原文を引用する。
(a) Any agency that owns or licenses computerized data that includes personal information shall disclose any breach of the security of the system following discovery or notification of the breach in the security of the data to any resident of California whose unencrypted personal information was, or is reasonably believed
to have been, acquired by an unauthorized person. The disclosure shall be made in the most expedient time possible and without unreasonable delay, consistent with the legitimate needs of law enforcement, as provided in subdivision (c), or any measures necessary to determine the scope of the breach and restore the reasonable integrity of the data system.
(注6) CALIFORNIA CIVIL CODE 1798.82.条(a) の原文を引用する。
(a) A person or business that conducts business in California, and that owns or licenses computerized data that includes personal information, shall disclose a breach of the security of the system following discovery or notification of the breach in the security of the data to a resident of California whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person. The disclosure shall be made in the most expedient time possible and without unreasonable delay, consistent with the legitimate needs of law enforcement, as provided in subdivision (c), or any measures necessary to determine the scope of the breach and restore the reasonable integrity of the data system.
(注7) ランサムウェア（Ransomware）とはマルウェアの一種である。これに感染したコンピュータはシステムへのアクセスを制限される。この制限を解除するため、被害者はマルウェアの作者にransom（身代金）を支払うよう要求される。数種類の形態のランサムウェアは、システムのハードディスクドライブを暗号化し（暗号化ウイルス恐喝）、また他の幾種類かは単純にシステムを使用不能にし、ユーザーに対して身代金を支払うようにそそのかすメッセージを表示する。(Wikipediaから一部抜粋)
Ransomware is a type of malware that prevents or limits users from accessing their system, either by locking the system's screen or by locking the users' files unless a ransom is paid. More modern ransomware families, collectively categorized as crypto-ransomware, encrypt certain file types on infected systems and forces users to pay the ransom through certain online payment methods to get a decrypt key.(Trend Microの解説 )
(注8) CryptoLockerについて多くの解説があるが、あえてKasperskyのサイトをリンクさせる。
なお、対抗策なども記載されている。
2016.11.2 Kaspersky「How to protect against the CryptoLocker malware」
CryptoLocker is a malware which encrypts files on a computer and demands ransom for decrypting them. Files (documents, images, videos, etc.) are encrypted with a complex cryptographic code, which requires a key located on the malefactors' servers. As a rule, the ransom must be paid within the certain period of time, after which the decryption code claims to be deleted from the servers and restoring the files becomes impossible.
(注9) 「スピア・フィッシング」とは、特定の人物を狙い、偽のメールを送ったりウイルスを仕込んだりしてパスワードや個人情報などを詐取する詐欺。もとは魚釣りの用語で、銛（もり）や水中銃で魚を突き刺す釣り方のこと。
大手銀行のオンラインバンキングなど有名なサービスの不特定多数のユーザを狙う通常のフィッシングとは異なり、対象の素性を調査した上で、その個人に合わせた手法が個別に考案されるのが特徴である。例えば、大企業の支店に勤務する社員に「本社の情報システム部の者だが調査に必要なのであなたのパスワードを教えてほしい」といったメールを送り、だまされた社員から聞き出したパスワードを使ってその企業のネットワークに不正侵入するといった手が使われる。他にも、上司や取引先に成りすまして業務上の機密情報や知的財産を詐取するといった事例が報告されている。(IT用語辞典 から一部抜粋)
(注10) 1798.29条(e)［州の機関の場合］の原文を引用する。
(e) Any agency that is required to issue a security breach notification pursuant to this section to more than 500 California residents as a result of a single breach of the security system shall electronically submit a single sample copy of that security breach notification, excluding any personally identifiable information, to the Attorney General. A single sample copy of a security breach notification shall not be deemed to be within subdivision (f) of Section 6254 of the Government Code.
(注11) 1798.82条(f)［個人またはビジネス企業の場合］の原文を引用する。
(f) For purposes of this section, “breach of the security of the system” means unauthorized acquisition of computerized data that compromises the security, confidentiality, or integrity of personal information maintained by the agency. Good faith acquisition of personal information by an employee or agent of the agency for the purposes of the agency is not a breach of the security of the system, provided that the personal information is not used or subject to further unauthorized disclosure.
************************************
Copyright © 2006-2017 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．
