「機密性（Confidentiality）」と「プライバシー（Privacy）」へようこそ！

未来の公認会計士（CPA）の皆さん、ようこそ！いよいよ情報システムとコントロール（ISC）試験の極めて重要なパートに到達しました。「セキュリティ」が外部からの攻撃を防ぐことに焦点を当てているのに対し、機密性とプライバシーは、私たちがすでに保有している機密情報をどのように取り扱うかという点に焦点を当てています。家の玄関に鍵をかけること（セキュリティ）と、親友の秘密を近所の人に漏らさないようにすること（機密性・プライバシー）の違いだと考えると分かりやすいでしょう。

この章では、なぜこれらの概念がビジネスにおける信頼の礎となるのか、そして企業がデータを収集してから削除するまでの間、どのようにデータを保護するのかを学びます。最初は似たような言葉に聞こえて混乱するかもしれませんが、大丈夫です。一つずつ丁寧に紐解いていきましょう！

1. 機密性 vs. プライバシー：その違いは？

多くの受験生がこの二つの用語を混同してしまいます。その違いを理解するための最も簡単な方法は以下の通りです。

機密性（Confidentiality）は、「組織の秘密」を保護することです。これには企業秘密、合併計画、財務予測、知的財産などが含まれます。そのデータが企業に属しており、漏洩するとビジネスに損害を与えるのであれば、それは機密性の問題です。

プライバシー（Privacy）は、「個人情報」を保護することです。これは「生身の人間」に関わるものです。データが顧客、従業員、あるいは患者を特定するもの（社会保障番号や病歴など）であれば、それはプライバシーの問題です。

例え話： あるテクノロジー企業を想像してみてください。未発表の新しいスマートフォンの設計図は機密（Confidential）情報です。そのスマートフォンを購入した顧客の自宅住所やクレジットカード番号はプライバシー（Private）情報です。

クイックレビュー：
  • 機密性：「組織」に焦点を当てる。
  • プライバシー：「個人」に焦点を当てる。

重要なポイント： 保護するために使われるツールは同じこと（パスワードや暗号化など）が多いですが、保護する理由は「誰の情報か」によって異なります。

2. 機密性の保護

企業の秘密を守るためには、特定のコントロールが必要です。ISC試験で最もよく目にするのは以下の通りです：

暗号化（Encryption）

暗号化とは、データを「鍵」を持つ人しか読めないようにスクランブル（複雑化）するプロセスです。試験に向けて、データの次の2つの状態を覚えておきましょう：

  • 保管中のデータ（Data at Rest）： ハードドライブやサーバー上に保存されているデータです。これはディスク暗号化で保護します。
  • 転送中のデータ（Data in Transit）： インターネットやネットワーク上を移動しているデータです。これはブラウザで見かける「https」のようなSSL/TLSプロトコルを使用して保護します。

アクセス制御（Access Controls）

社内の全員がすべての情報を見る必要はありません。そこで最小権限の原則（Principle of Least Privilege）を活用します。これは、業務に必要な最低限のアクセス権だけを従業員に付与するという考え方です。

トレーニングとポリシー

多くの場合、「人」が最も脆弱なリンクとなります。秘密保持契約（NDA）は、従業員やパートナーが秘密を漏らさないようにするための法的契約です。また、トレーニングは、偽の電話などで秘密情報を聞き出そうとするソーシャルエンジニアリングを従業員が見抜く助けになります。

ご存知でしたか？ 多くのデータ漏洩は天才ハッカーによるものではなく、誰かが機密レポートをプリンターに置き忘れたり、「Password123」のようなパスワードを使っていたりしたことが原因で起こります！

3. プライバシー：個人情報の保護

プライバシーは、法的リスクを伴うため公認会計士にとって非常に重要です。プライバシーを理解するには、まず何を保護しているのかを特定する必要があります。

PIIとPHI

  • PII（個人識別可能情報）： 特定の個人を識別するために使用できるあらゆるデータ。例：氏名、社会保障番号、運転免許証番号、IPアドレスなど。
  • PHI（保護されるべき医療情報）： PIIのサブセットで、身体的または精神的な健康状態、医療の提供、または医療費の支払いに関する情報。

10のプライバシー原則（GAPP）

AICPAとCICAは、一般に公正妥当と認められるプライバシー原則（GAPP）を策定しました。細部まで暗記する必要はありませんが、以下の10の領域の意図を理解しておきましょう：

  1. 管理（Management）： 企業が明確なプライバシーポリシーを持ち、責任者がいること。
  2. 通知（Notice）： 企業が何を収集し、なぜ収集するのかを説明していること。
  3. 選択と同意（Choice and Consent）： データの使用について「イエス」か「ノー」を選択できること。
  4. 収集（Collection）： 実際に必要なデータのみを収集すること。
  5. 利用、保持、廃棄（Use, Retention, and Disposal）： 明示された目的のためにのみ使用し、不要になったら削除すること。
  6. アクセス（Access）： 本人が自分のデータを確認し、誤りを修正する権利があること。
  7. 第三者への開示（Disclosure to Third Parties）： 同じルールに従う相手としか情報を共有しないこと。
  8. セキュリティ（Security for Privacy）： ロックや暗号化を使用して個人情報を保護すること。
  9. 品質（Quality）： 保持しているデータが正確であることを保証すること。
  10. 監視と強制（Monitoring and Enforcement）： ルールが守られているか自らチェックすること。

暗記のヒント： 「通知、選択、アクセス（Notice, Choice, Access）」を覚えましょう。これらは顧客が最も気にする3つの主要事項です。「何をしようとしているか教える（通知）、選択させる（選択）、見せてあげる（アクセス）」と覚えましょう。

4. データライフサイクル

データは単にそこに留まっているわけではなく、「ライフサイクル」を通って動いています。このサイクルを理解することで、どこにコントロールが必要かを見極められます。

ステップ1：収集（Collection） – データを集める。（必要か？通知したか？）

ステップ2：保存（Storage） – データを安全に保つ。（保存中も暗号化されているか？）

ステップ3：利用（Usage） – ビジネスのためにデータを使う。（顧客に伝えた目的以外に使っていないか？）

ステップ4：共有（Sharing） – パートナーにデータを提供する。（安全に保つための契約はあるか？）

ステップ5：保持（Retention） – データを保管する。（法律で定められた期間を超えて保管していないか？）

ステップ6：廃棄（Destruction） – データを処分する。（書類をシュレッダーにかけたか？ハードドライブを適切に消去したか？）

よくある間違い： 多くの学生は「ファイルを削除」するだけで十分だと考えがちです。高度なセキュリティが必要なデータの場合、メディアをワイプ（何度も上書き）するか、物理的に破壊（シュレッダーや溶解）しなければ、復元されてしまう可能性があります。

重要なポイント： プライバシーと機密性は、ライフサイクルのすべてのステージにおいて管理されなければなりません。開始時だけでは不十分です。

5. まとめとクイックレビュー

専門用語に怖気づく必要はありません。結局のところ、この章は信頼についての話です。公認会計士として、あなたは組織が秘密を守り、顧客の個人的な生活を尊重していることを保証する役割を担います。

クイックレビュー：
  • 機密性 = ビジネスの秘密
  • プライバシー = 人の情報（PII/PHI）
  • 暗号化 = データをスクランブル化（保管中 vs. 転送中）
  • GAPP = プライバシーのための「10の道路標識（ルール）」
  • 保持 = データを永遠に持たないこと。負債になります！

最後に一言： ここまでよく頑張りました！ISC試験のこのセクションは、すべてがリスクを最小限に抑えることだと分かれば、非常に論理的です。これらの定義を繰り返し確認していけば、自然と身についていきますよ！