ワンストップソリューションが必要、中小企業の個人情報保護対策

中小企業でもAccessやExcelなどを使って顧客情報を利用している。つまり、まとまったリスクを持っているのだ。中小企業でも個人情報の漏えいが起こる原因やダメージは、大企業と変わらない。

[堀哲也，ITmedia]

　1月19日、東京・晴海のホテルは、あるセミナーに参加する中小企業の人たちでにぎわった。当初予定された人数を上回り、立ち見が続出した。大阪で開かれた同じセミナーも満員となり、急遽2回の追加公演を行ったがこちらも満員の状態だった。

　個人情報保護をテーマにしたセミナーが毎日のように開かれている。どのセミナーも似たように盛況だ。マイクロソフトとAIU保険は1月から、特に従業員数100名以下の中小企業をターゲットとした個人情報保護のセミナーを開催している。2001年からマイクロソフトが中小企業のIT化を推進するために開いている「IT実践塾」の一環として行われているものだ。

　「中小企業でもAccessやExcelなどを使って顧客情報を利用している。いまや紙だけで顧客を管理しているところは少ない。まとまったリスクを持っていると考えたほうがいい」。マイクロソフトIT推進統括部ビジネス推進部部長の鈴木龍雄氏はこのように指摘する。

マイクロソフトとAIU保険は現在中小企業の個人情報保護対策を促進するため、共同で啓発活動を行っている。左はAIU保険の中村氏、右はマイクロソフトの鈴木氏

　中小企業でも個人情報の漏えいが起こる原因やダメージは、大企業と大きくは変わらない。大企業であれば、ポリシーを策定し、集中管理するなどしっかりした対策をとり易いものの、中小企業にとってはそこまで手が回りにくいという事情もある。その一方で、受託で仕事をしているケースも多く、必要以上の個人情報を預かっている状態になるともいう。

　「リスクの観点で見れば、受託というのは自分でリスクをコントロールすることができない危険な状態。例えば、必要もないのに本籍の情報まで預かってしまったりする。だからこそ、漏えいさせないための対策が非常に重要になる」と、AIU保険の経営保険業務部部長の中村透水氏は指摘する。

　中小企業においては、必要にかられない限りセキュリティポリシーを作らない場合も多く見られるという。「ポリシーを作ることがコストの面で合理的でないのです。そういう意味で、技術的にデファクトとして漏えいを防止できる機能が必要だし、ワンストップのソリューションが求められる」（鈴木氏）。マイクロソフトでは、このような中小企業の特有のニーズをもとにした情報漏えい対策ソリューションをWindows Small Business Server 2003とOfficeの機能を組み合わせて実現したい、と考えている。

中小企業では難しい事故時の初期対応

　漏えい自体を100％防ぐことできない。その時に求められてくるのが、危機対応ということになる。例えば、被害者やメディア対応といったものが挙げられる。この対応のいかんが、その後の信用に大きく影響してくる。しかし、ここにも大企業とは異なる事情が中小企業にはある。専門家がいないため、そのノウハウがないのだ。

　「大企業だったらそのためのチームが存在するから、いいのです。中小企業だったらメディアが押しかけることはないかもしれませんが、誰に対してどういった対応を行えばいいのか、それだけで思考停止してしまう。事故を大きな危機に変えないためのアドバイスが必要になってくる」（中村氏）

　中小企業に多くの顧客をかかえるAIU保険では、この点に注目した個人情報保護保険を開発した。漏えいによる賠償リスクを補償するだけでなく、危機管理コンサルティングなどをセットにした。風評被害やブランド劣化、集団訴訟といった影響を最小限に抑えるための初期対応をAIU保険が支援する。「事故後の初期対応が勝負なのに、それをサポートしてくれるところがなかった」（中村氏）

　個人情報保護法は企業の情報漏えい対策を促す契機となっている。しかし、その一方で一大ビジネスチャンスともなっており、いささか過熱気味の感もある。今一度、漏えいのリスクを冷静に捉える必要もありそうだ。「4月1日の個人情報保護法で変わるのは、行政罰があるか、ないか。全面施行になったからといって、リスク自体が高まるわけじゃない。リスクは変わらないのに危機感ばかり募っては、肌感覚でリスクを高めてしまうことになる。冷静に対策を継続していくことが重要です」（中村氏）

　マイクロソフトの中小企業IT化支援センターでは現在、個人情報保護対策などの質問を受け付けている。