Status quo of Secure and Fortify Electronic Data Act (SAFE Data Act; H.R. 2577 [112th])

はじめに

メアリー・ボノ・マック議員 (@Facebook, @Twitter, Wikipedia) は、Sony Playstation Network の個人情報流出事件に際して民主党のG・K・バターフィールド議員（Wikipedia）と連名で Sony の完全子会社である Sony Computer Entertainment America の平井一夫（SCEI 代表取締役CEO; Wikipedia）氏に質問状を送ったり、アメリカ合衆国下院のエネルギー・商業委員会に属する商業・製造業・貿易小委員会 (Subcommittee on Commerce, Manufacturing, and Trade) の委員長として Sony に2011年5月4日の公聴会へ出席を求めた（が一旦は断られ、6月2日に SNE のティム・シャーフ社長が公聴会へ出席した）という活動が紹介されている。これらに加えて、マック議員は Secure and Fortify Electronic Data Act (H.R. 2577; 通称 "SAFE Data Act"; Government Printing Office, OpenCongress でも草案は公開されている) という草案 (discussion draft) を2011年6月13日に公開し、データセキュリティに関する法律の整備を提唱している。本稿では、このマック議員による草案が提出されるまでの経緯や提出後の動向を紹介する^*1。

なお、ここでは Sony の情報流出事件は取り上げない。マック議員が商業・製造業・貿易小委員会の委員長として日本でも名前を広く知られるところとなり、SAFE Data Act 草案の提出に至る一つの要因ともなった、PSN をはじめとする Sony グループ企業の（個人）情報流出事件そのものは、もちろん大きな事案である。そして、この事件の背景として、2010年1月22日に George Francis Hotz（ハンドルは geohot。2011年6月27日付の話題として、Facebook に入社したとのこと）が自身のブログで Playstation3 のハッキングに成功したと公表し、2011年1月2日に Sony Computer Entertainment America が Hotz ら数名を DMCA、コンピュータ詐欺、著作権侵害でカリフォルニア州北部地区連邦地方裁判所に提訴したこと等を遠因として説明できるだろう。しかし、現在は Sony グループ企業からの情報流出にまつわる混乱が表面的には収まりつつあることに加えて、Sony グループ内部のマネジメントにまつわる問題あるいはアノニマスや LulzSec の活動という話は、SAFE Data Act に限らず他の通知関連法案が提出されてきた経緯も考慮すれば、寧ろサイドストーリーとも言うべきものであろう。

日本に限らず、情報セキュリティに関する法制や規格といった話題はITゼネコンや大学の研究者あるいはセキュリティ系のコンサルタントだけが詳しく言及したり手がけている感があり、一般企業で情報セキュリティマネジメントや個人情報保護を担当する人々の実務とはかけ離れているようにも見える。しかしながら、国内の法律や JIS の詳細管理策を追いかける「訓詁学」をやっているだけでは、天下り式に降りてくる制度へどうやって対応するのかという発想に終始する、いわば「認証監査対策としてのマネジメント運用」となるか、せいぜい事前にパブリックコメントの募集をきっかけとして検討を始めるくらいの動きしかできなくなる。本来、社内の個人情報保護に関する方針や情報セキュリティポリシーは、法律があればそれに準拠することは言うまでもないが、それらは飽くまでも一つのベースメントであって、「認証を受けるための、あるいは国内に限ったコンプライアンスのための」必要条件にすぎないと見做して構築するのが望ましいだろう。方針ないしポリシーは、それを掲げる本来の目的からすれば、企業活動の中で個人データや情報資産を適正に管理・利用するための十分条件として確立されてこそ、初めてポリシーとしての役割を担いうると考える。そのためには、日本国内の法制度や管轄省庁あるいは業界内の規範に関する動向を追いかけるだけでなく、個人情報、プライバシー、資産、リスクという概念について、日本に限らず様々な国情に基づく法案や制度を照らし合わせれば大いに参考となる筈である。もとより、マーケットが国内に限定されていない企業においては、このような視野で自社のポリシーを構築することはリスクマネジメントの点からも必須であろう。業容や業態にかかわらず、広いマーケットでプレイするからには（それだけ稼ぐチャンスも大きいので）それなりの責任が伴って当然である。マーケットの拡大だけ享受しておいて、責任に関してはアジアの田舎でだけ通用する法律や工業規格に従っていればよいなどという甘えは許されない。いまや中学生でも世界中をマーケットとして小遣い稼ぎに奮闘できる時代であり、彼らはUIを英語表記にして顧客層を広めたならば英語でのクレームやフィードバックに対応しなければならないことを知っており、中学生の方が上記で述べたポイントをよく理解している可能性もあろう。

冒頭に戻る

SAFE Data Act のステータスと、提出に至った動機

では SAFE Data Act (H.R.2577 in 112th Congress) のステータスから述べると、2011年7月18日に小委員会での投票を通過して(PDF)、8月下旬現在はアメリカ合衆国のエネルギー・商業委員会に委ねられている（"Referred to Committee"）。下院以降のプロセスにまで進むどうかは分からないが、Joshua Tauberer さんの運営する GovTrack というサービスで追跡してくれているため、SAFE Data Act についてステータスを表示するウィジェットを掲載しておく（ページの左上）。但しデータの更新は手動らしいので、エネルギー・商業委員会のサイト（Twitter, Facebook）も併せて確認するのが望ましい。

SAFE Data Act の草案が小委員会で回覧されていることをはじめて報じたのは、恐らく 2011年6月13日に Josh Smith 記者が NationalJournal に投じた記事だろう。この記事の中では、[...] "Mack held hearings last month on enormous data breaches at companies like Sony and Epsilon, she promised to introduce a bill to protect consumer information" と述べられており、マック議員が草案を立てた動機が SCEI や Epsilon によるデータ流出事件にあったことを指摘している。また、マック議員の公式サイトでもデータ流出事件が続いていることを取り上げて、次のように文書を結んでいる。

この草案がいつからどのような過程を経て作成されたのかは不明だが、マック議員のサイトには "Congresswoman Bono Mack’s efforts build on legislation passed by the House in 2009 but not acted upon in the Senate"（マック議員の法制化に向けた活動は2009年に下院を通過したが、上院では可決されなかった） という一節があって、2009年からP2Pアプリケーションにおける個人情報の保護を目的とした草案（"Informed P2P User Act"; H.R.1319 in 111th Congress）を起案し2009年12月8日に委員会を通過するところまで進んでいたことが分かる。もちろん、SAFE Data Act と Informed P2P User Act は中身の違う法案であって、"Most importantly, it reflects the changing landscape of data breaches and data security since that time."（特に [SAFE Data Act で] 重要なのは、データ流出やデータセキュリティにまつわるその後の状況の変化を反映したことである）と自身でも述べている。このため「情報の保護」という漠然とした意味では "build on legislation" に2009年から取り組んできたと言えないこともないが、やはりこの一節は政治家に特有のパフォーマンスであろう。

Sony グループや Epsilon のデータ流出事故・事件は3月末から4月にかけて発生している。そのあと5月の初旬には公聴会を開いているため、4月中は公聴会を開くための折衝や準備をしていただろうから、SAFE Data Act の草案は5月から6月上旬にかけての短期間でまとめられたと推測できる。もちろん、後述するように他の議員も与野党を問わずデータ保護に関する法案あるいは情報流出事故が発生した際の通知に関する法案を提出していたので、それらを（ステータスとしては全てペンディングではあるが）参考にしたかもしれない。

冒頭に戻る

SAFE Data Act に対する批評

日本の報道メディアで初めてこの草案を報じたのは、恐らく13日付のロイターの記事であり、僕の知る限りオリジナルのソースから報じていた国内メディアはロイターだけである^*2。また、今日に至っても日本語のリソースとして参照できるページは殆どない。そもそも国内のセキュリティ関係者は原発事故、改正刑法、マイナンバーといった国内の話題だけで手一杯だったようでもあり（末端の技術者は主に LulzSec やアノニマスの動向を追いかけるのに忙しかったようだが）、あの「セキュリティホールmemo」においてすら SAFE Data Act は取り上げられていなかったようである。このようなわけで、ここでは主に海外のリソースを参照する。

さて、6月13日に草案が回覧に付されたことが報道された後の反応として早々と上がっていたのが次の短評であった。

上記のように評したカナダの人物からすると、データ流出事故を引き起こした外部からの侵入者はもちろんのこと、企業側の対応にも問題があるという見方が伝わってくる。実際、SCEI は商業・製造業・貿易小委員会が2011年5月4日に開いた公聴会を欠席し、そのあとで本稿の冒頭でも述べたように翌月になってようやく公聴会へ出てきている。また、消費者への告知を最初に行ったのが自社のブログだったという点にも6月の公聴会では批判が上がった。要するに、こうした情報公開や通知のしくみが整っていないせいで、情報流出が起きても「メールで一斉に通知するよりも、まずはブログで小出しに開示しつつ反響を見る」といった対応の是非を問うときの基準がなく（是非については一概に言えないが、基準がないのは困る）、個々の事案に際して指摘したり検討するだけにとどまってしまう恐れがある（なお Sony 関係者らを呼んだ公聴会は、元々は SCEI からの情報流出という個別の事案について Sony を責めるために開かれたのではなかった）。更に、個別に公聴会で吟味するとして、何らかの基準となる考え方を聞くために招致したセキュリティ企業の参考人によっては、それぞれ考え方が異なる可能性もある。それでは参考人そのものを替えて再び公聴会を開く必要が生じるかもしれず、時間と公聴会運営予算の浪費とも言える。

アメリカの企業が起こしたセキュリティ事故・事件が報じられる際に、彼らの対応が場当たり的に見えたり、周りで論評している人々の見解も専門家から素人まで色々あるように見えるのは（個々の企業では一貫したルールに基づいていても、企業ごとにルールが異なるため、外から見れば場当たり的に見える。そしてこれは周りであれこれ論じている人々にも言えることだ）、基準となる連邦レベルのルールがないからだと言いうる。現状ではそれぞれの州が強力な州法を立てていることは事実だが、州際通商あるいは国際的な市場を相手に個人情報を扱う企業に対しては州法ごとに要求が異なる場合もあり、「パッチワーク」と揶揄されることも多い。もちろん本稿では JIS 規格のような任意のルールではなく法案を取り上げているため、ルールの内容については業界の規格よりも良し悪しを慎重に議論する必要があり、ましてや連邦レベルの法律は州法に優越するため、更に既存の州法の拘束力を帳消しにしないかどうかも検討すべきだろう。しかし、情報流出に際して州法だろうと連邦法だろうと企業がどのような行動をとるべきかという問いについて、基準となる何らかのルールが必要なのかどうかという点まで疑うべき強い理由はないだろう。もし、企業が何らかのしかるべき行動をとるべきであるという前提を受け入れるなら、まさにそう主張するための根拠として何らかの規範を予め確立しておくことは当然だし、それは立法府の責任そのものである。

次に、SAFE Data Act が slashdot.org で取り上げられた際のコメントを読むと、まず草案の Section 3. "REQUIREMENTS IN THE EVENT OF A BREACH OF SECURITY" について取り上げられている。ここで該当するセクションを簡単に説明すると、商業活動に関連する個人情報を含む電子形式のデータを所有し州際通商に従事する者が、そうしたデータを含むシステムのセキュリティが侵害されていることを発見した後で遂行するべき要求事項を掲げている。それらの要求事項を一つずつ挙げてゆくと、(1) (A) セキュリティの侵害を発見してから遅くとも48時間以内にしかるべき執行当局へ通知する、(B) それが従業員等の不注意によるものだと判明したら訂正も48時間以内に行う、(2) セキュリティ侵害の規模や原因を見積り、更なる侵害や漏洩が発生しないような対策を採る、(3) (2) で採った対策を完了してから遅くとも48時間以内に (A) エネルギー・商業委員会へ通知し、(B) 影響を被る合衆国市民あるいは住民それぞれに対して速やかに通知する。このような内容となっている。

slashdot.org では「どうして利用者にまず通知せよと書かないのか」という疑問が示され、"Notifying *customers* is the one thing they can do that might actually make a difference"（「利用者」に通知することこそ、彼らが何かを実際に変えうる唯一の手段だ）と書かれたり、すぐ公開すると別の攻撃者にも知らせることになるという意見については "You are asserting that vengeance is more important than security. I disagree"（そのような意見はセキュリティよりも報復を優先すると言っているに等しく、同意できない）と言われている。しかし、どちらの意見を採るのであれ、基本的なポイントとして押さえておく必要があるのは、この通知は議会や執行当局にセキュリティ対策を教えてもらったり脆弱性を直してもらうために要求されているわけではないということだ。勘違いしているコメントも見受けられるが、連邦議会の委員会や FBI にスキルがあるかどうかなど問題ではなく、この法案の主旨でもない。ここで取り上げている「通知 (notification）」はソフトウェアの脆弱性情報を公開する話とは別であり、被害者としての企業がとるべき指針について論じているのである^*3。だからこそ、自社内での瑕疵やミスによって起きた「事故」の場合には事件ではないと訂正せよと書かれているのだ。

セキュリティ事件やデータの流出が発生したときに企業へ開示を義務付けることは、総論としては好ましいしそうすべきであると言える。ブルース・シュナイアーは、その理由として三つ挙げており、研究の役に立つという理由はともかく、残りの二つを検討してみよう。まず、当該のサービスを利用する全てのエンドユーザはデータが失われたり盗まれた場合の潜在的な被害者であるため、通知はセキュリティの実務として望ましいと言われている。ここで「通知 (notify)」とか「公開 (disclose)」と言っているのは、字義的にはエンドユーザであれ管轄省庁であれFBIであれ誰でも知りうる状態にすることであろう。したがって SAFE Data Act のように、まず当該企業を管轄する連邦レベルの委員会へ報告し、対策してからエンドユーザへ通知するという優先順位をつけると、マック議員自身が SCEI に公聴会への出席を断られた事例と同様に、「対応中である」としてエンドユーザへの情報公開が後回しにされてしまう可能性がある（もちろん、真っ先にエンドユーザへ通知しても違法ではないのだろう）。したがって、シュナイアーの見方では恐らく SAFE Data Act のように段階を追ってセキュリティ・インシデントを公開するのではなく、当局への通知とエンドユーザへの告知を同時にやれと指示する方がよいのだろう。実際、SAFE Data Act が対象としている企業の業容は特定されておらず、ノースダコタの自営業者であろうとニューヨークの巨大企業であろうと一律に規制の対象となるが、セキュリティ侵害の証拠が48時間以内に揃った時点でエンドユーザへの告知と当局への通知を同時に行えないというのは想像し難いであろう。業容が小さければどちらへ通知するにしても大した手間ではなかろうし、巨大企業であれば人が幾らでもいるというわけだ。業容に応じてそれぞれ責任をもって対処すればよいことであり、個人情報を預かるエンドユーザが200人であろうと200万人であろうと、メールで通知すればよいことだ（さもなければインターネット企業として事業を営む資格などなかろう）。

公開法を企業へ義務づけるべきもう一つの理由は、次のような推測である。"the potential cost of the notification and the associated bad publicity naturally leads companies to spend more money on protecting personal information -- or to refrain from collecting it in the first place"（通知にかかる潜在的なコストと自社に対する悪評を考慮すれば、個人情報を保護するために企業がもっと費用をかけたり、あるいは最初から個人情報の取得を控えるようになるのは当然だ）。この点については、さきほど見た shashdot.org のコメントにも「通知するまでの所要時間が長すぎる」というものがあり、昨今のセキュリティ侵害が大規模かつ "sophisticated" であることを考え合わせれば、企業には SAFE Data Act が課している内容を越えた厳しい条件を課してもよいと言いうる。ただし攻撃が "sophisticated" であるということは、そもそもセキュリティ対策にまともなオーダーの費用を投じていない企業においては、データ漏洩の証拠固めや対策を講じるべきフォレンジック技術者やセキュリティ技術者がいないという明白な現実を指し示している。したがって、通知に要する条件を必要以上に厳しくすれば、経済活動なり起業家のクリエイティビティやデザイン志向経営とやらの自由を侵害するという、利いたふうな口応えも起きるだろう。

このように、企業へセキュリティ侵害の通知を義務づけることは総論としては望ましいが（もちろん、Chicago Sun-Times の記事のような、或る意味では軽率あるいはマッチョな動機でそう言っているわけではない）、実際にそれを制定した場合の効果として、企業が個人情報の無駄な取得を控えたり、セキュリティ対策の予算にマネジメントレベルでコミットするかどうかと言えば、単に情報漏洩保険への加入件数が増えるだけであったりするかもしれない。

そしてシュナイアーは、SAFE Data Act についても当てはまる懸念として、それが連邦法であることに着目している（シュナイアーが論じている記事は2006年に公開されているので、彼は実際には Data Accountability and Trust Act (DATA; 最新版は H.R.1707 in 112th Congress) を念頭に置いている）。

この指摘は確かに SAFE Data Act へも当てはまり、現にマック議員と共に Sony へ質問状を送ったノースカロライナ選出の G・K・バターフィールド議員ですら、7月27日に THE HILL で公開されたブログ記事において、SAFE Data Act は一部の個人情報しか保護しないと批判しながら、"Passage of the bill will not make consumer data safer. Instead, it preempts important state laws in this area and leaves a weak federal one in their place"（この法案の文言では、消費者のデータを安全にすることはできない。それどころか消費者を保護する重要な州法を出し抜いてしまい、弱い連邦法だけが残るという結果になる）と指摘し、"We should not preempt stronger state laws for the sake of uniformity"（我々は、画一性を実現する [などという空疎な目的だけの] ために強力な州法を出し抜くべきではない）と結んでいる。

冒頭に戻る

付記（2011-08-22）

他方、7月20日にアメリカ商工会の政府担当 vice president である R・ブルース・ジョストンがマック議員とバターフィールド議員に送った公開書簡では、逆に "This lack of full preemption could create a confusing patchwork of requirements and enforcement regimes that could undermine the effectiveness of this legislation"（[州法に対して] 完全に優越していないと、要件と執行体制がパッチワークのようになってしまい、この法律の有効性が損なわれるだろう）と指摘している。

付記（2011-08-29）

更に、マーケティング・リサーチ協会のディレクターであるハワード・フィンバーグ（Google+ Profile）は、FTCが「個人情報」の定義を拡張・変更する権限を有するという点について疑義を表し、「消費者から情報を収集して分析するような組織の従業員を混乱させるものだ」と述べている。

冒頭に戻る

おわりに

本稿は SAFE Data Act の提出をきっかけとして、データセキュリティや個人情報保護に関するアメリカ連邦議会の動向や関連分野からの批評を紹介した。現状では SAFE Data Act には議論の余地が多く、先に述べたとおり企業側へ何らかの責任を要求すべきであることは（総論としては）確かであろうと思うのだが、アメリカの州法と連邦法の関係という特殊な事情も考慮すれば、現行の州法を出し抜いてしまいかねない連邦法が制定されると事態は余計に深刻となろう。SAFE Data Act がペンディングのまま第112議会で消え去るのかどうかは分からないが、他にも数多くの草案が出ては消えている現状を見ると、連邦議会における動向は SAFE Data Act に限らず注視し続ける必要がある。

冒頭に戻る