2026年09月04日

【本気のISMS】浄土宗宗務庁様（浄土宗のバックヤード業務）～全国7千の寺院、1万を超える僧侶の情報を守るためにISMSを取得～（個人情報保護メルマガ 922号）

皆さんこんにちは。
プライバシーザムライ中康二です。
（オプティマ・ソリューションズ株式会社・代表取締役）

当社は8月に決算を迎え、9月から新年度が始まりました。

創業以来取り組んできたプライバシーマーク関連コンサルティング、
そして二つ目の柱であるISMS関連コンサルティングに加えて、
昨年度は、AIガバナンスを実現するISO 42001（AIMS）への対応、
サイバーセキュリティ水準を高めるSCS評価制度への対応を開始し、
さらに大手町へのオフィス移転も行うなど、
今後の当社の10年間を形づくる、重要な一年となりました。

こうしたさまざまな活動を展開する中で、
今回ご紹介する浄土宗宗務庁様のISMS認証取得をご支援するという、
当社の今後の展開を象徴する、大変意義深いお仕事にも携わることができました。

これもひとえに、皆様からのご支援と応援のおかげです。
改めて、心より御礼申し上げます。

当社はこれからも、日本全体のサイバーセキュリティ水準の向上を目指し、
皆様が安心してビジネスに邁進できる基盤づくりをお手伝いしてまいります。

今後とも、オプティマ・ソリューションズにどうぞご期待ください。

━━━━━━━━━━━━━━━━━━━━━━━
【本気のISMS】浄土宗宗務庁様（浄土宗のバックヤード業務）
～全国7千の寺院、1万を超える僧侶の情報を守るためにISMSを取得～
━━━━━━━━━━━━━━━━━━━━━━━

浄土宗に属する寺院・僧侶の管理、住職認証・叙任、研修・育成、広報・出版物の制作・出版など、包括宗教法人として浄土宗のバックヤード業務を支えている浄土宗宗務庁。

システムのクラウド化と並行し、浄土宗宗務庁内の職員が情報セキュリティを意識する環境を構築したいと考え、ISO27001（情報セキュリティマネジメントシステム／以下、ISMS）を取得しました。

その取得にあたり、オプティマ・ソリューションズのコンサルティングを利用した背景と効果などについて、浄土宗企画調整室室長補佐西央成氏、同室係長井上昌俊氏に詳しく伺いました。

●浄土宗宗務庁様の概要と主な業務についてお聞かせください。

浄土宗に属する日本全国約7,000の寺院、1万人を超える僧侶を包括的に管理する包括宗教法人が浄土宗宗務庁です。企業でいう人事・総務部の役割を担っており、寺院の寺籍データ、僧侶の僧籍データの台帳管理に加え、寺院の新住職になられる方の承認、位階を授ける叙任業務も我々の業務となります。

このほか、道場や講座などの場を提供して浄土宗の教えや布教活動の技量を高める育成業務、出版物の制作やWebサイト・SNSを活用したプロモーション業務も我々の管轄です。さらに、後継者問題、土地・財産関係、国や行政の手続きなど、寺院におけるさまざまな相談にも対応しています。

我々の業務は、浄土宗に所属する寺院・僧侶の方々が安心して布教活動に取り組めるようにするための下支えです。スポットライトが当たるのは寺院・僧侶であり、我々は裏方として浄土宗を支えることができれば本望だと考えています。

●ISMS取得に至った背景をお聞かせください。

冒頭で申し上げた通り、寺籍データ、僧籍データなどの情報管理は我々の業務の中心にありますので、それらをいかに守っていくかが課題としてありました。さかのぼれば、平成元年ぐらいからオフコンでの台帳管理が始まり、その後、オンプレミスにデータを置きつつ、Web型のシステムに切り替わり、現在はクラウド化を目指す流れとなりました。こうした変化のなかで、重要度が高まってきたのが情報セキュリティのルール化です。
・
・
・
・
・
・
下記URLに全文を掲載しています。
www.optima-solutions.co.jp/voice/jodo-shu/

━━━━━━━━━━━━━━━━━━━━━━━
【定例セミナー】
運用のコツがわかる！Pマーク更新セミナー
（東京国際フォーラムで開催+Web参加も可能）
━━━━━━━━━━━━━━━━━━━━━━━

Pマークを取得したはいいものの、どう運用したらよいかお困りではありませんか？

当社の経験豊富なコンサルタントが、Pマーク更新のノウハウや運用方法を、分かりやすくお教えするセミナーです。

Pマーク取得済み企業様はぜひご参加ください。

東京国際フォーラムにて開催！（Web参加も可能です）
参加方法を選べるハイブリッドセミナーとして運営しています。
・
・
・
・
・
・
下記URLに全文を掲載しています。
www.optima-solutions.co.jp/seminar/pmark-update-seminar/

━━━━━━━━━━━━━━━━━━━━━━━
当社関連イベントカレンダー
━━━━━━━━━━━━━━━━━━━━━━━

9月10日（木）、10月14日（水）
　運用のコツがわかる！Pマーク更新セミナー
　（東京国際フォーラムで開催し、Web配信も行います）
　www.optima-solutions.co.jp/seminar/pmark-update-seminar/

9月29日(火)、10月27日（火）
　基礎から分かる！ISMS取得セミナー
　（東京国際フォーラムで開催し、Web配信も行います）
　www.optima-solutions.co.jp/seminar/isms_seminar

━━━━━━━━━━━━━━━━━━━━━━━
人気の注目コンテンツ！
━━━━━━━━━━━━━━━━━━━━━━━

【動画配信！】2026年の新常識「ISO 42001（AIMS）」徹底解説セミナー
～AIガバナンスで守りを固め、信頼でビジネスを加速～
　www.optima-solutions.co.jp/seminar/aims-video20260703/

【動画配信】2026年4月開催「ISMS担当者勉強会」
～ISMS運用のコツと、実践的ランサムウェア対策～
　www.optima-solutions.co.jp/seminar/isms_update_video_202604/

【動画セミナー】徹底的にわかる！Pマーク短期取得セミナー
～私はこうして6か月でPマークを取得した～
　www.optima-solutions.co.jp/seminar/pmark_seminar/

【動画配信】2026年1月開催「Pマーク担当者勉強会」
～Pマーク運用のコツと、実践的ランサムウェア対策～
　www.optima-solutions.co.jp/seminar/pmark_update_video_202601/

━━━━━━━━━━━━━━━━━━━━━━━
当社のおススメするサービスのご案内
━━━━━━━━━━━━━━━━━━━━━━━

Pマーク／ISMSのためのE-Learning
　www.optima-solutions.co.jp/e-learning

ランサムウェア対策として注目の集まる標的型攻撃メール演習
　www.optima-solutions.co.jp/targeted_attack_email

見えない脅威を見える化！攻撃される前に備える「脆弱性診断サービス」
　www.optima-solutions.co.jp/information-security

いざという時の安心の切り札「サイバー保険」
　www.optima-solutions.co.jp/insurance_form

プライバシーマーク取得コンサルティング
　www.optima-solutions.co.jp/p-mark-acquisition

プライバシーマーク更新コンサルティング
　www.optima-solutions.co.jp/p-mark-update

ISMS取得コンサルティング
　www.optima-solutions.co.jp/isms-acquisition

ISMS更新コンサルティング
　www.optima-solutions.co.jp/isms-update

AI活用、ルールなしで大丈夫ですか？AIMS取得コンサルティング
　www.optima-solutions.co.jp/aims

━━━━━━━━━━━━━━━━━━━━━━━

今回のご案内は以上です。

ここまでお読みいただきまして、ありがとうございました。

【Youtube】チャンネル登録をお願いします！
　www.youtube.com/user/OptimaSolutionsInc

【X（Twitter）】毎日ポストしています！
　twitter.com/pr_optima

【Instagram】広報部から情報発信！是非フォローお願いします。
　www.instagram.com/pr_optima

【Facebook】最新情報を発信しています。是非いいね！してください。
　www.facebook.com/optima.solutions.jp（公式）
　www.facebook.com/groups/piresearcher（Pマーク／ISMS研究会）

━━━━━━━━━━━━━━━━━━━━━━━
□発行：オプティマ・ソリューションズ株式会社
　～会社と社会の安心を守る～　私たちは「情報の新選組」です。
　プライバシーマーク認定事業者（第22000095号）
　ISMS（ISO27001）認証取得済み（IS 696375）
　PIMS（ISO27701）認証取得済み（PM 754001）
□発行責任者：中康二（プライバシーザムライ）
□URL: http://www.optima-solutions.co.jp/
━━━━━━━━━━━━━━━━━━━━━━━

これはまぐまぐで配信している個人情報保護メルマガのバックナンバーです。定期購読を希望される方は下記からお申し込み下さい。
https://www.mag2.com/m/0000136800

2026年05月19日

サイトのURLが変わりました。今後は新サイトをご覧下さい。

サイトのURLがが変わりました。
今後は下記の新サイトでご覧下さい。

2023年10月10日

オプティマ・ソリューションズ株式会社のインボイス登録番号は「T5013301030718」です。

（画像は国税庁適格請求書発行事業者公表サイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

ちまたで大騒ぎになっている国税庁の「インボイス制度」。

国内のすべての法人、個人事業主が対象となるため、あちらこちらで大騒ぎになっています。

インボイス制度の是非はともかく、各事業者や個人事業主に「適格請求書発行事業者登録番号（略して「登録番号」）」という番号が発行され、国税庁の適格請求書発行事業者公表サイト上でそれが公開されていますので、本Blogとしてはまずはそのことを取り上げたいと思います。

10月以降の取引に関する全ての請求書やレシートに、この登録番号を明記しなければならないというのが国税庁の新しいルールになっています。登録番号はマイナンバーとは異なり、秘密として取り扱うものではないとされています。

この登録番号は「T＋数字13桁」というフォーマットになっています。登録番号で検索すると、上記の画像のように正式名称、住所（法人のみ）、登録年月日などを確認できます。このページを表示することができれば、請求書やレシートに記載された登録番号が正しいものであると知ることができます。

------------------------------------------------------------
法人の場合は、登録番号は「T＋法人番号」そのものとなっています。ですから、法人番号検索サイトで社名から法人番号を検索すればそのまま登録番号が分かります。

------------------------------------------------------------
個人事業主はそういうわけにはいかず、新規に発行された「T＋数字13桁」となっています。この番号は一人の個人に関する情報ですから、個人情報となります。つまり、このWebサイトそのものが巨大な個人情報データベース等にあたります。

そのため、個人情報がみだりに目的外に利用されることを防ぐために、いくつかの工夫がなされています。
・個人事業主の場合には、住所は表示されない。
・このWebサイトでは登録番号からしか検索できないようになっており、会社名や個人名を入力して検索することはできない。（法人の場合は法人番号検索サイトで検索可能）
・CSVダウンロードサービスにおいては、個人の場合には登録番号のみとなっており、氏名も住所を掲載しない。

------------------------------------------------------------

国税庁Webサイトにおける適格請求書発行事業者登録番号の紹介
https://www.invoice-kohyo.nta.go.jp/about-toroku/index.html
国税庁の適格請求書発行事業者公表サイトで「オプティマ・ソリューションズ」を検索した結果
https://www.invoice-kohyo.nta.go.jp/regno-search/detail?selRegNo=5013301030718
国税庁の法人番号公表サイト
https://www.houjin-bangou.nta.go.jp/
オプティマ・ソリューションズ株式会社の法人番号は「5013301030718」です。
https://www.pmarknews.info/mynumber/51996177.html

（私のコメント）
法人番号はマイナンバーと異なって一切秘密にする必要はないということで、あっさりしていたのですが、インボイス制度の登録番号は個人事業主も入ってくるために、個人情報となりえますね。ですから個人情報の取り扱いに関して、一定の配慮が必要ということで、かなりややこしい対応になっております。

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2023年09月27日

一連のマイナンバーに関する問題に対して個人情報保護委員会が指導を実施

本ページは下記に移転しました。

https://www.optima-solutions.co.jp/support_article/samurai-20230927/

2023年09月26日

個人情報データベース等不正提供罪で初の逮捕事例～名刺クラウドのIDを不正流用～

本ページは下記に移転しました。

https://www.optima-solutions.co.jp/support_article/samurai-20230926/

2023年09月26日

【Pマークがまた変わる？】JIS Q 15001:2023が9月20日に正式発表されました～JIS検索サイトで無料閲覧できます～

（画像はJIS Q 15001:2023の表紙です）

皆さんこんにちは。
プライバシーザムライ中康二です。

2022年4月の改正個人情報保護法施行を受けて、プライバシーマークの準拠規格となっているJIS Q 15001の改訂作業が行われてきましたが、ようやく作業が完了し、9月20日に「JIS Q 15001：2023（2023年版）」が正式に発表されました！

既に法改正から一年半が経過していますから、待望の規格改訂と言えます。ただし、プライバシーマークの審査は、今回の2023年版の登場を待たず、すでに改正個人情報保護法の内容を盛り込んだ「個人情報保護マネジメントシステム構築・運用指針（いわゆる審査基準）」に基づくものに移行しており、肝心のJIS Q 15001が遅れて登場したということになります。

今回の改訂ポイントを大きくまとめると下記のようになります。

（１）PDCAサイクルに関する規定は規格本文に集約

「個人情報保護方針」「個人情報の特定」「リスクアセスメント」「計画」「運用」「監査」「見直し」などのPDCAサイクルに関する規定は、附属書Aから一掃され、すべて規格本文に集約されました。

（２）附属書Aは個人情報保護法への対応の規定だけに書き換えされました。

附属書Aはこんな感じになりました。
JIS Q 15001：2023 附属書A

今までの表組のものとまったく違いますよね。

こういう体裁で、
A.1 利用目的の特定
A.2 利用目的による制限
A.3 不適正な利用の禁止
A.4 適正な取得
A.5 要配慮個人情報などの取得
A.6 個人情報を取得した場合の措置
A.7 A.6 のうち本人から直接書面によって取得する場合の措置
A.8 本人に連絡又は接触する場合の措置
A.9 データ内容の正確性の確保等
A.10 安全管理措置
A.11 従業者の監督
A.12 委託先の監督
A.13 漏えい等の報告等
A.14 第三者提供の制限
A.15 外国にある第三者への提供の制限
A.16 第三者提供に係る記録の作成等
A.17 第三者提供を受ける際の確認等
A.18 個人関連情報の第三者提供の制限等
A.19 保有個人データに関する事項の公表等
A.20 開示
A.21 訂正等
A.22 利用停止等
A.23 理由の説明
A.24 開示等の請求等に応じる手続
A.25 手数料
A.26 個人情報取扱事業者による苦情の処理
A.27 仮名加工情報
A.28 匿名加工情報
と、個人情報保護法に対応するための規定が記載されています。

（３）附属書Bが規格本文に関する解説、附属書Cが附属書Aに関する解説となりました

附属書B、附属書Cが、かなり詳細な解説文書となっており、いろいろと参考になる内容が含まれているように思われます。

JIS Q 15001：2023は、JSA（日本規格協会）から有償で購入（冊子版、PDFダウンロード）できるほか、JISC（日本産業標準調査会）のWebサイト上で無償で閲覧できます。

また、これに合わせて、プライバシーマーク制度を運用している日本情報経済社会推進協会（JIPDEC）は、個人情報保護マネジメントシステム構築・運用指針の見直しを行うと発表しています。（時期未定）

JSA（JIS Q 15001：2023）
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=JIS+Q+15001%3A2023

JISC（JIS検索）
https://www.jisc.go.jp/app/jis/general/GnrJISSearch.html
（「Q15001」と検索してください。ユーザー登録が必要です）

JIPDECからの案内文書
https://privacymark.jp/news/system/2023/0920.html

（私のコメント）
待望のJIS Q 15001：2023が登場しました。ただしこの内容がどこまで審査で問われることになるのかは、JIPDECが今後発表することになるであろう「個人情報保護マネジメントシステム構築・運用指針（審査基準）」の改訂版を待つ必要があると思います。それまで、まだじっと我慢の子でいるしかないのではないかと思います。

※なお、本ページでご案内している「Pマーク新審査基準2022セミナー」見逃し配信は、以前に開催したものですが、現在のPマーク審査で用いられている審査基準への対応の内容を含むものとなっておりますので、どうぞ参考になさってください。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2023年09月22日

【ISMS規格改訂】JIS Q 27001:2023が9月20日に正式発表されました～JIS検索サイトで無料閲覧できます～

（画像はJIS Q 27001:2023の表紙です）

皆さんこんにちは。
プライバシーザムライ中康二です。

昨年10月にISMS認証の審査基準である国際規格ISO27001が改訂され「ISO27001:2022」となりました。これを受けて、日本産業規格のJIS Q 27001の改訂作業が行われてきましたが、ようやく作業が完了し、9月20日に「JIS Q 27001：2023」が正式に発表されました！

なお、JIS Q 27001：2023の正式名称は
------------------------------------------------------------
情報セキュリティ，サイバーセキュリティ及びプライバシー保護－
情報セキュリティマネジメントシステム－要求事項
JIS Q 27001：2023（ISO/IEC 27001：2022）
------------------------------------------------------------
となりました。今回から、「情報セキュリティ」「サイバーセキュリティ」「プライバシー保護」が目指すものの3本柱となるようです。

内容としては、理論上ISO27001：2022と同じものですので、既に発表されているISO27001：2022またはその対訳版と変わってはいません。主な改訂ポイントは

（１）規格本文は微調整のみです。

ISO27001は前回から「共通テキスト」と呼ばれる上位規格に合わせるものとなっており、今回もその見直しを反映して微調整されているだけです。

（２）附属書Aが全面的に書き換えされました。

最新の情報セキュリティの動向に対応するため、新たな管理策を11個盛り込みました。
既存の項目を再整理し、総数を114個→93個に絞り込みました。
管理策（セキュリティ対策の項目）が、「組織的」「人的」「物理的」「技術的」の4つに再構成されました。

となっています。

JIS Q 27001：2023は、JSA（日本規格協会）から有償で購入（冊子版、PDFダウンロード）できるほか、JISC（日本産業標準調査会）のWebサイト上で無償で閲覧できます。

JSA（JIS Q 27001：2023）
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=JIS+Q+27001%3A2023

JISC（JIS検索）
https://www.jisc.go.jp/app/jis/general/GnrJISSearch.html
（「Q27001」と検索してください。ユーザー登録が必要です）

（私のコメント）
待望のJIS Q 27001：2023が登場しました。これで日本語での表記も固まり、皆様の移行対応もさらに加速できるのではないかと思います。

※なお、本ページでご案内している「ISO27001：2022年版対応セミナー」見逃し配信は、3月に開催したものですが、今回のJIS改訂対応の内容も含むものとなっておりますので、どうぞ参考になさってください。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2023年09月06日

認証取得して17年。ビックカメラの担当者様がプライバシーマークを語る

（画像はプライバシーマーク公式Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

プライバシーマーク公式Webサイトでは、
マーク制度創立25周年を記念して特設ページを開設しています。

その中でビックカメラさんの取り組みが紹介されていますので、
皆様にもご紹介いたします。

ビックカメラさんと言えば、大手量販店の中ではかなり積極的に
プライバシーマークに取り組んでおられる印象があります。

東京国際フォーラムでセミナーを開催している時、
「うちは店舗なんですが、プライバシーマークは取れますか」というような
質問をいただくことがよくあり、そのたびに、
「お隣のビックカメラさんがプライバシーマークお持ちなので、
どのように個人情報を保護しているか、帰りにでも見ていってください」
とお答えしていたことを思い出します。

大規模な店舗でどのように個人情報保護を実践し、
プライバシーマークを維持しているか、是非記事をご覧になってみてください。

プライバシーマーク25周年特設サイト
https://privacymark.jp/lp/25th/
付与事業者の取組事例 > 株式会社ビックカメラ
https://privacymark.jp/project/publicity/interview/12-a.html

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2023年08月30日

「プライバシーマーク・ISMS担当者サミット 2023」を開催します！（9月20日＠東京国際フォーラム）

皆さんこんにちは。
プライバシーザムライ中康二です。
（オプティマ・ソリューションズ株式会社・代表取締役）

当社も創業から18年となり、コンサル実績は2000件以上となりました。その間、多くのことを経験させていただいて、たくさんのノウハウと知見を得ることができました。

今年から「情報の新選組」というキャッチフレーズを採用し、日本全体の会社と社会の安心を守る存在になりたいと考え、社員一同、日々切磋琢磨しております。

今回はそれらの活動の集大成として、プライバシーマーク、ISMSの担当者の皆様にお集まりいただく、リアルイベントを開催したいと思います。

名付けて「プライバシーマーク／ISMS担当者サミット 2023」！！
東京国際フォーラムの最高の会場をご用意いたしました。

前半のセッションでは、
●プライバシーマークの最新動向（新審査基準になって何が変わったのか？）
●ISMSの最新動向（ISO27001：2022年版への対応方法を解説）
について、当社コンサルタントより最新の情報を共有いたします。

後半のセッションでは、サイバーセキュリティ総研の山口智氏をゲストに迎え
●プライバシーマーク／ISMS取得事業者として今後取り組むべき情報セキュリティ対策のキモ
について、プライバシーザムライと対談していただきます。

途中には、コーヒーブレイクを長めに設定しておりますので、ぜひ皆様同士でも交流を深めていただければと思います。

また、せっかくのリアルイベントです。皆様に喜んでいただける／楽しんでいただける／お役に立つ様々な特典を準備しております。

特典① 当社のPマーク／ISMS規程文書ひな形最新版を手に取ってご覧いただけます。
特典② Pマーク審査対応チェックリスト／ISMS適用宣言書を全員に配布！
特典③ 休憩時間に当社コンサルタントに自由にご質問していただけます。

他にもあれこれ計画中！

プライバシーマーク、ISMSの担当者の皆様どうぞお集まりください。

※本イベントは、オプティマ・ソリューションズ株式会社と株式会社サイバーセキュリティ総研の共同開催です。

講師紹介
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
2023-08-31_15h34_51

プライバシーザムライ中康二(なかこうじ)
オプティマ・ソリューションズ株式会社・代表取締役
ソニー出身
プライバシーマークとISMSの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
遠藤さんサムネ画像

遠藤朝永
オプティマ・ソリューションズ株式会社・取締役シニアコンサルタント
システム開発出身
プライバシーマークの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
2023-08-31_15h31_10

小田一茂
オプティマ・ソリューションズ株式会社・コンサルタント
広告代理店出身
ISMSの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
2023-08-31_15h29_44

山口智氏
サイバーセキュリティ総研・主任コンサルタント
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

タイトル：「プライバシーマーク／ISMS担当者サミット 2023」

日時：2023年9月20日（水）
　15時00分～17時30分（14時30分　受付開始）
場所：東京国際フォーラム・ガラス棟会議室（JR有楽町駅より徒歩1分）
内容：
・Pマーク／ISMSの最新情報を知ることができる。
・Pマーク／ISMS取得事業者として今後取り組むべき情報セキュリティ対策のキモが分かる。
・Pマーク／ISMS担当者同士で交流ができる。
講師：プライバシーザムライ中康二・シニアコンサルタント遠藤朝永
　　　コンサルタント小田一茂・サイバーセキュリティ総研山口智氏
参加対象者：
　プライバシーマーク・ISMS取得事業者の役員、担当者の方
　または上記の認証取得を検討中の役員、担当者の方
参加費：無料（一社2名様まで）

主催：オプティマ・ソリューションズ株式会社・株式会社サイバーセキュリティ総研

※恐縮ですが、弊社と同業になるコンサルタントの方は参加ご遠慮ください。

参加される方は下記のボタンから登録してください。

　　　　⇓⇓⇓⇓⇓⇓⇓⇓
　　　　⇓⇓⇓⇓⇓⇓⇓⇓
　　　　⇓⇓⇓⇓⇓⇓⇓⇓

皆さまとお会いできるのを楽しみにしております！
プライバシーザムライ　中康二

2023年08月24日

【鉄則】ChatGPTなどの生成AIには個人情報を入力しないこと

皆さんこんにちは。
プライバシーザムライ中康二です。

ChatGPTをはじめとする生成AIの登場は、私たち人類社会にとって、
まさに彗星が落ちてきたようなインパクトを持ち、
社会の在り方を一変する可能性まで秘めているのではないかと考えられています。

その変革のさなかにいる私たちとして、
最も気を付けるべきことが一つあります。

------------------------------------------------------------
それは「生成AIには個人情報を入力しない」ということです。
------------------------------------------------------------

実は生成AIは、日々日々私たちが使うたびに、
そのやり取りでの成功と失敗を記録し、学習データとして
それ以降のやり取りに活かすようになっています。

ですから、「山田太郎さん（仮名）は、カレーライスが好きだ」
という情報を生成AIに入力すると、それを学習する可能性がありますし、
その情報を他の人とのチャットにおいて、出力する可能性があるのです。

現在のChatGPTは、個人情報を出力しないように
プログラミングされているようです。

しかし、学習してしまう可能性は否めないのです。

このことについては、
日本のPPC（個人情報保護委員会）をはじめとする
世界のプライバシー当局が注目しており、
ChatGPTを運営するOpenAI社に対して
「個人情報を学習しないように」と指導しているという実態もあります。

ですから、とにかく私たちとしては、生成AIを使う際には
個人情報を入力しないようにしましょう。

また、当然のことですが、機密情報も同じように
入力しないようにしましょう。

このことさえ徹底すれば、生成AIは私たちの仕事や生活を
大いに改善してくれる可能性がありますから、
どんどん活用してよいと思います。

（補足）大企業や自治体など、公式に生成AIを導入している場合の多くは、
有料の特別な契約を結んだり、自前のシステムを用意したりすることで、
上記のリスクを抑えている場合も多いようです。（それでも安心はできないです）

東京都の文章生成AI利活用ガイドライン
https://www.digitalservice.metro.tokyo.lg.jp/ict/pdf/ai_guideline.pdf

（過去の記事）
個人情報保護委員会がChatGPTに関する注意喚起を公表
https://www.pmarknews.info/privacy/52172923.html

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2023年07月26日

社労士向けクラウド「社労夢」が不正アクセスに関する調査結果を正式発表

（画像は同社のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止していた件に関して、同システムを運営しているエムケイシステム（本社：大阪市）は、7月19日付で、これまでの調査で明確になった事実を取りまとめて正式に発表しました。

結果的には「一切の情報漏えいは確認できなかった」ということになりました。特にマイナンバーは別管理をしていたから漏えいの可能性は一切ないという発表です。

以下、同社の公表内容を要約します。

6月5日　同社の複数のサーバー上のデータが暗号され、システムが停止
　　　（ユーザー数3400）
　　　　ランサムウェアによる被害と判明、ネットワークを遮断して対処
　　　　外部の情報セキュリティ専門会社に対応要請
6月6日　大阪府警に連絡
　　　　Webサイトに情報を掲載①
6月8日　個人情報保護委員会へ速報
6月9日　Webサイトに情報を掲載②
6月21日　Webサイトに情報を掲載③
6月30日　一部サービスを再開
7月19日　個人情報保護委員会へ確報
　　　　Webサイトに情報を掲載④

外部の第三者による侵入経路、不正アクセスの影響を受けたサーバー機器、侵害状況と漏えいの恐れのある情報範囲については、いずれも調査の結果判明しているとのことですが、「今後のことを考慮して」非公表としています。

また、情報が外部に漏えいした可能性は完全には否定できないものの、これまでの調査の結果では漏えいの痕跡は確認できておらず、またダークウェブなどにも掲載されていないとのことです。

エムケイシステム社
「当社サーバへの不正アクセスに関する調査結果のご報告（第３報）」
https://contents.xj-storage.jp/xcontents/AS97180/813d570f/5138/4bc7/a113/f4837598df38/140120230719524126.pdf

（以前の記事）
6月13日付　社労士向けクラウド「社労夢」が不正アクセスを受けサービス全面障害～1000万人マイナンバーは無事か？～
6月20日付　社労士向けクラウド「社労夢」不正アクセス事件の続報～1000万人マイナンバーは無事と弁明～
7月6日付　社労士向けクラウド「社労夢」がサービス再開～情報流出はなかったらしい～

（私のコメント）
「1000万人マイナンバーが危機にさらされているのかも知れない」と、大きな危惧を持ってこの事件に注目してきましたが、一応の収束を得ました。情報漏えいはなかった、特にマイナンバーに関しては漏えいは確実になかったとのことで、ホッとしました。（侵入してデータ暗号化までしておいて、持ち出さなかったとは、攻撃者が初心者でミスしたのかもしれません）

そして、同社は事件発覚から1か月半で、個人情報保護委員会への確報までたどり着いていて、振り返ってみると意外と短い期間で収束させたということになります。しかし、その過程において、今回の事件ほど混乱と不透明性が伴ったことはないという感想を持ちました。これは何だったのでしょうか？

それは同社の広報体制が「最低限のことしか公表しない」「報道機関の取材にも協力しない」というスタンスであったことにあると思います。

「これは事件であり、捜査にも影響するから今は言えません」「マイナンバーは別システムで管理しており、今のところ攻撃された痕跡は確認されていません」というようなことだけでも対外的にきちんと説明していれば、もう少し不安は解消されたと思います。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

2023年07月14日

トヨタ自動車の漏洩事案に関して、PPCが個人情報保護法に基づく指導を実施～何が個人情報だったのか？～

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会（PPC）は、今年5月に発覚したトヨタ自動車株式会社（愛知県豊田市）での個人情報漏洩事案に関して、個人情報保護法第147条に基づく指導を行ったと7月12日付で発表しました。

今回の事件は、トヨタ自動車の利用者向けサービスである「T-Connect」「G-Link」に関するもので、約10年間にわたり、合計230万人分の下記の情報がインターネット上から閲覧できる状態にあったとのことです。

T-Connect　車載機ID、車台番号、車両の位置情報、時刻
G-Link　　　車載機ID、更新用地図データ、更新用地図データの作成年月日等に関する情報

また、この業務は関連会社のトヨタコネクティッド株式会社に委託されていたとのことです。

PPCが指摘したポイントは下記の３点です。
①これらの情報が個人情報であるとの認識がされていなかったこと
②サーバーの設定に不備があり、意図せずインターネット上に公開されていたこと
③委託先の監督が不十分であったために、事態が放置されていたこと

PPCは、トヨタ自動車に対して再発防止策を立案し、実行することを指導しました。

https://www.ppc.go.jp/news/press/2023/230712_01/

（私のコメント）

今回の事案は「名前」が含まれていない個人情報の漏洩事案であり、少し珍しい事態です。どこが個人情報と認識され、PPCが指導したのでしょうか？

ここでもう一度、個人情報の定義に立ち返ってみたいと思います。個人情報の定義は、「生存する個人に関する情報であって、特定の個人を識別できるもの」です。これには「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」とされます。では今回、漏洩したとされる情報のどこが個人情報なのでしょうか？

それは「車台番号」に秘密があるように思います。車台番号というのはメーカーが自動車を製造した際に発行される通し番号だそうです。車台番号は車検証に記載されているほか、クルマの室内の見えにくいところに刻印されており、所有者でない限り容易には見れないようになっています。ただし、この車台番号をメーカーのWebサイトなどに入力すれば、どの車種のどのグレードなのかなどが容易に分かるようになっているとのことです。

では、今回漏洩したと言われる情報を使って、どのように本人を特定できるのか、シミュレーションをしてみたいと思います。

自分が探偵であり、ある特定のターゲットの動向を追いかけているとします。その人は高級なトヨタ車に乗っており、「T-Connect」サービスに加入しています。そうすると、今回漏洩していたデータからその地域にいるクルマをざっと検索し、車台番号から車種とグレードを調べることで、ターゲットは数台に絞り込まれます。しばらくそのクルマの移動を追いかけて、絞り込んだ数台の位置情報と照合すれば、いつかはそのクルマの車台番号を特定することができるでしょう。そして、いったん車台番号を特定してしまえば、そのあとはそのクルマが「いつ」「どこ」を走っていたのかをいくらでもインターネット上で知ることができるようになります。

これが「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」に含まれるのかどうかは、個人的には少し疑問があります。しかし、今回のPPCの指導からひも解くとすれば、この解釈くらいしかないのではないかなと思いました。

今回のPPCの指導の裏側にある事情は私は知りません。海外ではダイレクトに個人情報が漏洩していた事案も発生していたようです。今やトヨタ自動車といえば、日本経済を支える最大の企業グループですから、しっかりしてほしいという考えもあるのかもしれません。同社が再発防止を行い、このような事案を起こさない体制を作られることを私も望みます。

（参考記事）
【用語集】個人情報の定義は何ですか？どこまで含まれるのですか？
https://www.optima-solutions.co.jp/dictionary/kojin_joho/

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

↑このページのトップヘ