個人情報を預かるということ

レン

会員登録機能を付けたいな。メールアドレスと名前と住所を登録してもらって…

プロクラ

ちょっと待って。それを持つと、キミの立場が変わるよ。自分のデータを守る話ではなく、他人の情報を預かる責任を負うことになるんだ。

レン

責任…？

プロクラ

日本には個人情報保護法があって、個人情報を扱う事業者には義務が生じる。個人でも、事業として扱えば対象になり得るんだ。安全に管理する義務、利用目的を伝える義務、漏れたときに報告する義務などがあるよ。

漏らしたときに起きること

• 対象者への通知と、監督機関への報告が必要になる場合がある
• 信用を失う（技術的な復旧より、こちらのほうが取り返しがつかない）
• 損害賠償を求められる可能性がある
• 問い合わせ対応に、想像以上の時間を取られる

ウィルスン

そしてワタシにとって、個人情報はそのまま価値のある商品だ。名前と住所とメールアドレスが揃っていれば、次の詐欺の材料になる。ゆえに、それを持っているサイトは真っ先に狙われるのだよ。

最強の対策は「持たないこと」

プロクラ

設計の段階で考えてみて。その情報、本当に必要かな。住所が要らないサービスなら聞かない。ログインが要らないなら会員機能を作らない。持っていない情報は、絶対に漏れないからね。

• 集める項目を最小限にする
• 認証を外部サービスに任せて、パスワードを自分で持たない構成にする
• 決済情報は自社で保持せず、決済代行サービスに任せる
• 不要になった情報は削除する。保管期間を決めておく
• プライバシーポリシーを用意し、書いた内容を実際に守る

レン

「持たない」が対策になるって、目からうろこだった。

プロクラ

セキュリティは足し算だけじゃないんだ。引き算のほうが強いこともある。作る前に「これは無くても成立しないか」を一度考える癖をつけると、後の運用がぐっと楽になるよ。