「機密性（Confidentiality）」と「プライバシー（Privacy）」へようこそ！
未来の公認会計士（CPA）の皆さん、ようこそ！いよいよ情報システムとコントロール（ISC）試験の極めて重要なパートに到達しました。「セキュリティ」が外部からの攻撃を防ぐことに焦点を当てているのに対し、機密性とプライバシーは、私たちがすでに保有している機密情報をどのように取り扱うかという点に焦点を当てています。家の玄関に鍵をかけること（セキュリティ）と、親友の秘密を近所の人に漏らさないようにすること（機密性・プライバシー）の違いだと考えると分かりやすいでしょう。
この章では、なぜこれらの概念がビジネスにおける信頼の礎となるのか、そして企業がデータを収集してから削除するまでの間、どのようにデータを保護するのかを学びます。最初は似たような言葉に聞こえて混乱するかもしれませんが、大丈夫です。一つずつ丁寧に紐解いていきましょう！
1. 機密性 vs. プライバシー：その違いは？
多くの受験生がこの二つの用語を混同してしまいます。その違いを理解するための最も簡単な方法は以下の通りです。
機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。
機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。
機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。
クイックレビュー：
- 機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。
機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。
2. 機密性の保護
企業の秘密を守るためには、特定のコントロールが必要です。ISC試験で最もよく目にするのは以下の通りです：
暗号化（Encryption）
暗号化とは、データを「鍵」を持つ人しか読めないようにスクランブル（複雑化）するプロセスです。試験に向けて、データの次の2つの状態を覚えておきましょう：
- 保存データには適切な暗号化と鍵管理を、通信中のデータには安全に設定した現行のTLSを使用します。SSLは廃止された方式であり推奨しません。暗号化だけで認可・アクセス制御・鍵管理を代替することはできません。
アクセス制御（Access Controls）
社内の全員がすべての情報を見る必要はありません。そこで最小権限の原則（Principle of Least Privilege）を活用します。これは、業務に必要な最低限のアクセス権だけを従業員に付与するという考え方です。
トレーニングとポリシー
多くの場合、「人」が最も脆弱なリンクとなります。秘密保持契約（NDA）は、従業員やパートナーが秘密を漏らさないようにするための法的契約です。また、トレーニングは、偽の電話などで秘密情報を聞き出そうとするソーシャルエンジニアリングを従業員が見抜く助けになります。
ご存知でしたか？ 多くのデータ漏洩は天才ハッカーによるものではなく、誰かが機密レポートをプリンターに置き忘れたり、「Password123」のようなパスワードを使っていたりしたことが原因で起こります！
3. プライバシー：個人情報の保護
プライバシーは、法的リスクを伴うため公認会計士にとって非常に重要です。プライバシーを理解するには、まず何を保護しているのかを特定する必要があります。
PIIとPHI
- PIIは個人を識別できる、または個人に結び付けられる情報です。HIPAAのPHIは、対象事業者または業務提携先が保持・伝達する個人識別可能な健康情報であり、一定の雇用・教育記録などの法定除外があります。個人の健康に関する情報がすべて自動的にPHIになるわけではありません。
プライバシー枠組み：現行TSCと旧GAPP
旧GAPPの10原則は、管理、通知、選択・同意、収集、利用・保持・廃棄、アクセス、第三者開示、セキュリティ、品質、監視・執行です。歴史的背景として扱います。現行SOCではAICPA Trust Services Criteriaを用い、P1～P8は通知、選択・同意、収集、利用・保持・廃棄、アクセス、開示・通知、品質、監視・執行を扱います。関連する共通規準も適用します。同意や個人の権利は適用法と約束に依存し、同意だけが常に唯一の適法根拠ではありません。
- 旧GAPPの10原則は、管理、通知、選択・同意、収集、利用・保持・廃棄、アクセス、第三者開示、セキュリティ、品質、監視・執行です。歴史的背景として扱います。現行SOCではAICPA Trust Services Criteriaを用い、P1～P8は通知、選択・同意、収集、利用・保持・廃棄、アクセス、開示・通知、品質、監視・執行を扱います。関連する共通規準も適用します。同意や個人の権利は適用法と約束に依存し、同意だけが常に唯一の適法根拠ではありません。
通知は収集情報と目的を示し、選択・同意は適用法・約束が求める選択や同意を扱い、アクセスは情報の確認・訂正手段を提供します。旧GAPPと現行TSCの双方に含まれますが、枠組み全体ではなく、同意があらゆる処理で唯一の法的根拠となるわけではありません。
4. データライフサイクル
データは単にそこに留まっているわけではなく、「ライフサイクル」を通って動いています。このサイクルを理解することで、どこにコントロールが必要かを見極められます。
ステップ1：収集（Collection） – データを集める。（必要か？通知したか？）
ステップ2：保存（Storage） – データを安全に保つ。（保存中も暗号化されているか？）
ステップ3：利用（Usage） – ビジネスのためにデータを使う。（顧客に伝えた目的以外に使っていないか？）
ステップ4：共有（Sharing） – パートナーにデータを提供する。（安全に保つための契約はあるか？）
情報は正当な業務・法令・契約目的のために保持します。過剰保持は漏えいリスクと影響を増やし、早すぎる削除も保存義務・法的保全に違反し得ます。保持期間、安全な廃棄、記録された例外を定めます。
ステップ6：廃棄（Destruction） – データを処分する。（書類をシュレッダーにかけたか？ハードドライブを適切に消去したか？）
ファイル削除後も復元可能なデータが残ることがあります。NIST指針に従い、媒体と機密度に適した検証済みのClear、Purge、Destroyを選び、結果を確認します。複数回の上書きは特にSSDでは万能ではなく、条件を満たす暗号学的消去が適切な場合もあります。廃棄前に保存義務や法的保全を確認します。
重要なポイント： プライバシーと機密性は、ライフサイクルのすべてのステージにおいて管理されなければなりません。開始時だけでは不十分です。
5. まとめとクイックレビュー
専門用語に怖気づく必要はありません。結局のところ、この章は信頼についての話です。公認会計士として、あなたは組織が秘密を守り、顧客の個人的な生活を尊重していることを保証する役割を担います。
クイックレビュー：
- 機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。 保存データには適切な暗号化と鍵管理を、通信中のデータには安全に設定した現行のTLSを使用します。SSLは廃止された方式であり推奨しません。暗号化だけで認可・アクセス制御・鍵管理を代替することはできません。 旧GAPPの10原則は、管理、通知、選択・同意、収集、利用・保持・廃棄、アクセス、第三者開示、セキュリティ、品質、監視・執行です。歴史的背景として扱います。現行SOCではAICPA Trust Services Criteriaを用い、P1～P8は通知、選択・同意、収集、利用・保持・廃棄、アクセス、開示・通知、品質、監視・執行を扱います。関連する共通規準も適用します。同意や個人の権利は適用法と約束に依存し、同意だけが常に唯一の適法根拠ではありません。
最後に一言： ここまでよく頑張りました！ISC試験のこのセクションは、すべてがリスクを最小限に抑えることだと分かれば、非常に論理的です。これらの定義を繰り返し確認していけば、自然と身についていきますよ！