CRMのセキュリティについて

Question

・大規模のCRMでクラウドにデータを保存しているとき、暗号化されていることと、暗号化されてないことでは、どちらが多いでしょうか？ほとんど暗号化されてないのでしょうか？

・たとえば、トヨタはアマゾンのクラウドにデータを預けているようですが、トヨタの顧客情報は、アマゾンの社員が見ることはできるのでしょうか？

・また、トヨタの企業秘密のような情報は、暗号化しているのでしょうか？

・開業医が使っているような小規模のCRMでは、暗号化されてないことのほうが普通でしょうか？

よろしくお願いします。

Answer 1

まず大前提として

• 暗号化

と

• 情報にアクセスするための認証基盤

は違います
ということは前置きしておきます

・大規模のCRMでクラウドにデータを保存しているとき、暗号化されていることと、暗号化されてないことでは、どちらが多いでしょうか？ほとんど暗号化されてないのでしょうか？

意識が低いところは生データを上げているようです
実際インターネット上のサーバーから情報が漏洩した事例を探すのに困らないレベルで上がっています

・たとえば、トヨタはアマゾンのクラウドにデータを預けているようですが、トヨタの顧客情報は、アマゾンの社員が見ることはできるのでしょうか？
・また、トヨタの企業秘密のような情報は、暗号化しているのでしょうか？

どのクラウドサービスがとは言えませんが、相当上位の権限がないとストレージに関連するところは触れないと漏れ聞いたことがあります
ので、建前上見られないことになっています
が、最近は聞かなくなりましたが米国愛国者法関連でクラウドサービスは云々と言われていたのはそれです
クラウドサービス会社が見るのではなくアメリカという国が見ちゃうぞ的なやつです

Amazonクラウド、「東京データセンターも、米パトリオット法の対象内」と説明

またこういう案件の時はふつうデータセンターと社内LANを直結します
たとえば
AWS Direct Connect
とか
いくらクラウド上のストレージを暗号化していても、インターネットを経由してどこからでもアクセスできるようだと危なくて仕方ないですからね

あと日本の法規制で国外のデータセンターに持ち出せないデータもあります
AmazonもMicrosoftも日本にデータセンターを置く大きな理由がこれだときいています

・開業医が使っているような小規模のCRMでは、暗号化されてないことのほうが普通でしょうか？

小規模な電カルシステムはわかりませんが、結構大手(パナとか)は外部連携のシステムにはちゃんとVPNを提案しているようです
少なくとも知り合いの開業医さんのところには入っています
あと医師会主導の奴はどうでしょうね
アクセス用の端末にiPadを配ってたと漏れ聞いていますが、電子証明書ログインではなくパスワード認証らしく、ちょっと使うのは怖いなあとのことでした

Comments

[退会済みユーザー]

ありがとうございます。

・以下の2つは矛盾するような気がするのですが、どういう意味でしょうか？ホスティング会社にハードウェアを借りていても、その上のソフトウェア(OSなど)を自社でインストールしていれば、データを暗号化していなくても、ホスティング会社の社員はわからないのでしょうか？

どのクラウドサービスがとは言えませんが、相当上位の権限がないとストレージに関連するところは触れないと漏れ聞いたことがあります

クラウドサービス会社が見るのではなくアメリカという国が見ちゃうぞ的なやつです

別件ですが、小さなweb会社の場合、どのぐらいまで、対策をする必要があるでしょうか？国家相手の対策とかはしなくていいと思うのですが、流出したときのために、暗号化ぐらいはしておいたほうがいいのでしょうか？

よろしくお願いします。

[dojikko]

信義誠実の原則という言葉があります

サービスの提供側と利用側において、その原則が前提でそのサービスは利用されると思います
したがって「相当上位の権限がないとストレージに関連するところは触れない→誰もが中身をみることができるところに預けないですよね」となります
つい最近も一般ユーザーより上位の権限で"rm -rf / "を結構簡単に実行させてしまった事例がありましたよね

またサービスの提供側もどこかの国に属していますので、その国の命令に反することはできないということになります
これが一般的な事柄であれば、提供側と利用側が同一国内であることがほとんどなのでほぼ問題になりません(同一国内法が適用されるため)が、インターネットを介した事柄になると提供側と利用側が同一国内であるとは限らないのもちろん適用される法律も価値観も異なります

個人的には会社の規模が大きかろうが小さかろうが「漏洩した際に影響が大」と思うデータは外出しすべきではないと考えています
もちろんどのレベルを影響が大と考えるかはそれぞれの価値観なので、売上明細のデータを外に出さない会社もあれば、外のサービスに売上明細のデータを投げて分析させる会社もあります

極端な話、気づいてか、気づかずか、アクセスキーとかシークレットキーをオープンなリポジトリに上げてしまったりなんてこともありますし

vf53g3g43さんはこのトピックで「暗号化ぐらいは」とよく書かれていますが、vf53g3g43さんとって暗号化とはなんですか？
ストレージの暗号化ですか
通信路の暗号化ですか

それで「漏洩した際に影響が大」と思うデータを守れますか？

[退会済みユーザー]

素晴らしい回答をありがとうございます。

ストレージの暗号化
通信路の暗号化

この2つは基本的に、行うつもりはありません。そのような能力もありません。金融機関など、本当に重要な取引先は、大体httpsになっているということもあります。

暗号化は、データだけを行うつもりです。7zipのようなオープンソースで信用できて、簡単に利用できるソフトで、暗号化するつもりです。

[退会済みユーザー]

スタンドアローン - Wikipedia
https://ja.wikipedia.org/wiki/%E3%82%B9%E3%82%BF%E3%83%B3%E3%83%89%E3%82%A2%E3%83%AD%E3%83%BC%E3%83%B3

コンピュータネットワークに繋がってない事から、それを経由して外部に情報漏洩が生じるの恐れが少ない（ただし、コンピュータを直接操作した場合は除く）。機密データなどを保存する情報システムの多くは、スタンドアローン方式の場合が多い。

[退会済みユーザー]

1.
質問ですが、中小企業や開業医が倒産したときは、データはどのように扱われるのが一般的でしょうか？

法律的な視点と、実際に行われている現実的な視点と、両方教えてていただけると、なお助かります。

[退会済みユーザー]

2.
企業のCRMに蓄積された個人情報に興味を持ったきっかけは、自宅や事務所にやたらと不要なDMが来るようになったからです。

名簿業者については、あんまり詳しくないのですが、住所・電話番号・氏名などの個人情報は、今の日本では法律は無視されてしまい、当たり前のように、売買されていると思ったほうが良いでしょうか？

[退会済みユーザー]

3.
専門知識がないので、以下のように対策しています。

・ネットサーフィンをするPCと、金融機関にアクセスするPCなど重要なPCは使いわける。したがって、PCは何台も用途ごとに使いわける。

・さらに金融機関(https)にアクセスするPCには、専用の回線(simフリーのdocomo回線のルーター)を割り当てる。

・ネットサーフィンをするPCは、最悪ハッキングされても、しょうがない。ソフトの更新、ノートンインターネットセキュリティの導入など、最低限の対策はしますが、定期的に、再セットアップや買い替える。

・重要なデータは、スタンドアローンで管理する。データを取り出すときは、スタンドアローンのパソコンは、一生ネットにつながないので、Windowsの更新も行わない。データを取り出すときは、フォーマットしたばかりのUSBで取り出す。

このようにしているのですが、専門家の方からみて、弱い部分や、突っ込みどころはあるでしょうか？

小さなweb制作会社をやっている程度ではありますが、クライアントのデータや自分のデータは守りたいと考えています。

よろしくお願いします。

[dojikko]

2016/04/22 14:06以降の質問は別トピック(スレッド？)と立てられてみては？
きっといろいろな意見がもらえるような気がします

ちなみにあくまで私見ですが..
1.は廃業ではなく倒産のシチュエーションですよね
この場合データは保全されない事が多いんじゃないでしょうか？
実際の話し債権者が持って行っちゃったり(差し押さえ的な)しますしね
なのでストレージの暗号化が重要だと個人的には思っています
思うんですけどデータの暗号化は暗号化したまま使用できない事が多くないですか？
使うためにアーカイブを解かなきゃならない
解いたものを消し忘れ、キャッシュされていて等々

2.は個人情報保護法以前は完全にザル それ以降でもどこまでが個人情報にあたるのかが曖昧だったりするのでやはり目が少し細かくなったザル
実際個人情報保護法以降にあたるベネッセの時には某社が買っていたわけですし..

3.は少しやりすぎな感が..
でもまあ各個人で折り合いがつくところでやればいいと思います
私もPCは分けていませんが、用途に応じて仮想環境を使い分けてはいます
いろいろ同時に使い分けたいので、ノートは16GB、デスクトップは32GBがデフォです

[退会済みユーザー]

ありがとうございました。