システム面+αでセキュリティ対策を

お世話になっております。

「BtoBとBtoCに向けた物販」ということですが、B2B/Cの事業を行っている企業に向けた物販・または単に法人・個人の双方と取引のある物販事業の両方が考えられますが、顧客情報の管理につきましては、いずれも同様として以下に続きます。

まずは参考までに、個人情報保護法案の詳細及びガイドラインが、内閣府の個人情報保護トップページから参照できます。目的と対象、個人情報取扱業者の意味などが曖昧でしたら、ご参照をお勧めします。

では、第一のシステム関連のセキュリティー強化ですが、電子化された情報の閲覧権限・ECを構築しているNetwork環境・OS以下ソフトのバージョン管理に留意して下さい(字数上、具体策は割愛します)。これらは外部からのクラックや意図せぬ動作による情報の漏れなどへの対策です。

しかし、システム面で本当に大事なのは「運用面」=情報の管理に携わる「人」です。情報の流出はシステムに近い立場の人間が遠因となる場合があります。例えば、ノートPCに顧客情報をコピーして自宅作業する・自宅からVPNなどで基幹システムにアクセスできる等の運用では、事故の可能性が高くなります。出来れば、コーポレートガバナンス(内規)を定めて運用する方が良いかと存じます。日本のIT担当者はモラルが高いですが、海外では次のようなニュースも耳にしました。
“San Francisco Held Cyber-Hostage?...”
blog.wired.com/27bstroke6/2008/07/insider-tech-at.html ※英文

続いて第二の、法人と個人でセキュリティの注意点に差異があるかという点ですが、取引相手が個人・法人という取引先種別から、セキュリティ意識や実務の違いを導き出すことは、私は難しいと考えます。セキュリティ面におけるリスク評価は、取引先種別に係わらず等価であるように存じます。

--
コンサルティング業務 契約 CBSS