デジタルトラストの構築に向けたPwCのアクション：クラウド時代のデジタルトラストのあり方（マイクロソフト）

サイバーハイジーンでサイバー空間の「衛生」を保つ

川本：セキュリティの話から始めましょう。マイクロソフトは2020年10月に「Digital Defense Report」を発表しましたね^*1。

片山：はい。たいへんおこがましいのですが、サイバー空間における脅威のトレンドなど、とてもよくまとまっているレポートです。同レポートでは「サイバー攻撃の質的変化」を指摘しています。過去のサイバー攻撃は個人の愉快犯によるものが多数を占めましたが、時が経つに連れて、組織化されたグループによるオンラインバンキングなどを狙った金銭盗取が徐々に目立つようになりました。さらに近年では、国家レベルの組織が関与していると思われる大規模かつ巧妙なサイバー攻撃が顕著になっています。

川本：知的財産の盗取はもちろん、言論の弾圧や他国の重要インフラの攻撃、都市機能の停止を狙ったものまで、さまざまなケースが報告されていますね。

片山：例えば、2017年にランサムウェアの「WannaCry」が猛威を振るいました。これには北朝鮮の関与・帰属が確認されました。また、2018年に世界アンチ・ドーピング機構（WADA）にサイバー攻撃を仕掛けたのは、「Strontium」というロシアのハッキング集団だったと言われています。

川本：これは、大変な問題でしたよね。WannaCryについては、すでにサポートが終了しているOS（Operating System）の脆弱性がトリガーとなって、残念ながら感染が拡大しました。Strontiumの攻撃被害に遭ったユーザーは、誰でも推測できるようなパスワードを利用したということも原因のようです。サイバー空間の脅威と戦うために、マイクロソフトは定期的にセキュリティ修正プログラム（セキュリティパッチ）を提供し、アップデートを呼びかけていますね。

片山：はい。以前、川本さんとお話をさせていただきましたが、「Cyber Hygiene」（サイバーハイジーン）も重要ですね。これは「サイバー空間を衛生的で健康に保つこと」を念頭に、個々のユーザーがウイルスに感染しないよう心掛け、セキュリティ確保に努めるよう行動することです。攻撃手口が巧妙化・複雑化する中、こうした基本的な対策が一層重要になるのです。

*1 Microsoft Digital Defense Report
https://www.microsoft.com/en-us/security/business/microsoft-digital-defense-report （Microsoft.comに移動）

ルールを遵守したデータ保護と利活用が今後ますます重要に

川本：最後にプライバシーについて取り上げます。クラウドに対するトラストを量る上で利用者が気に掛けることとして、事業者のパーソナルデータ（個人情報）の利活用と保護のバランスが挙げられます。欧州の一般データ保護規則（GDPR）が個人データを取り扱う事業者に対して厳格な義務を課しているように、個人情報保護のための適切な運用が今後、ますます求められると考えられます。マイクロソフトのクラウドは、GDPRに対応していますね。

片山：そのとおりです。GDPRは世界中で最も厳格な保護規則を持つと言われています。データ管理者や処理者に向けた多くの義務規定があるほか、データ主体（ユーザー本人）に対しては、アクセス権、訂正権、忘れられる権利、データ・ポータビリティ権など、さまざまな権利が保障されています。デジタル時代の個人情報保護と利活用のバランスの基準となる規則と言えるGDPRに対応することが、トラストを構築する上で非常に重要であると考えています。

川本：日本の個人情報保護法への対応はいかがですか。

片山：日本では2020年6月に、同法律の一部改正が国会で可決されました。これにより、技術革新を踏まえた保護と利活用のバランスや、越境データの流通増大に伴う新たなリスクへの対応が可能な内容になっていると言われています。

川本：越境データに関しては、2019年1月に安倍晋三首相（当時）が世界経済フォーラム年次総会（ダボス会議）で、データ流通に求められる「Data Free Flow with Trust（信頼性のある自由なデータ流通）」を提唱されました。

片山：はい。まさにトラストですね。Data Free Flow with Trustのコンセプトとして、グローバルで自由なデータ流通の重要性が挙げられますが、トラストをもって流通することも大事である、との考え方ではないかとも思います。それを各国の法制度でサポートすることも大切と考えます。

川本：EUは2019年1月、日本に対して「十分性認定の取得（Adequacy Decision）」を行いましたよね。

片山：はい。これはGDPRが求める越境データ移転の仕組みで、日本とEUとの間ではある意味、安心して越境データを扱えるようになったことを指します。実はGDPRが施行された2018年以降、「十分性認定の取得」が行われたのは日本だけです。「日本とEUは個人情報の利活用と保護規則水準が同レベルであり、信頼できる。だからデータを越境させられる」と捉えることができます。日本では2020年6月に、個人情報保護法の一部改正が国会で可決されました。同法が全面施行される2022年に向けて今から準備を進めることも、トラスト構築における大きな役割を果たすのではないでしょうか。

川本：少し法律から話題を変えますが、「アカウンタビリティ」という概念もトラスト構築において大切ではないでしょうか。よく「説明責任」と訳されますが、片山さんはどうお考えでしょうか。

片山：GDPRにもアカウンタビリティに関する条文がありますし、重要だと思います。アカウンタビリティを保障する方法の一つとして、国際規格への準拠が有用です。例えば「ISO/IEC 27701 プライバシー情報管理システム（PIMS: Privacy Information Management System）」です。GDPRなどを含むさまざまなプライバシールール・規制に対応できる包括的な運用・管理の概要を示しています。

川本：お話を伺っていると、アカウンタビリティは「説明責任」に留まらないように感じます。

片山：説明責任に相当する英語は「Liability」ですから、意味が異なりますね。「Accountability」をそのまま「アカウンタビリティ」と解釈していただくことが適切だと思います。

川本：クラウドを安全に利用する上でのセキュリティを検討し、コンプライアンスとトランスペアレンシーを実証しながら、プライバシーさらにはアカウンタビリティもしっかりと担保する。こうした価値観を利用者と事業者で責任として共有することが、クラウド時代のトラスト構築に大切であると実感しました。本日はありがとうございました。