個人を特定できる情報：定義と例

個人を特定できる情報（PII）を理解する

個人を特定できる情報（PII）とは、単独で、または他の情報と組み合わせることで、個人を識別したり連絡したり、あるいはその所在を特定するのに使用できるあらゆるデータのことです。PII の例には、氏名（フルネーム）、社会保障番号、パスポート番号、運転免許証番号、生体データなどが含まれます。

「personally identifiable information（個人を特定できる情報）」という用語は、政府や組織が、無断でデータを利用することによるリスクを認識するようになったことから、1970年代に米国で注目を集めるようになりました。大きな転機の一つは、米国保健・教育・福祉省（US Department of Health, Education, and Welfare）による1973年の報告書で、これは公正な情報慣行（FIPPs）のための原則を示したものです。これにより data privacy 規制、そして後に PII として知られるようになった概念的な枠組みの基盤が築かれました。

技術の進化に伴い、PII の範囲は拡大しました：

• 1980 — OECDの「プライバシー保護および個人データの越境移転に関するガイドライン」により、国際的な文脈で PII が正式に扱われるようになりました。
• 2000年代 — インターネットと電子商取引の台頭により、オンライン上でデータが露出するリスクが注目されるようになりました。
• 2010年代以降 — 欧州連合（EU）の一般データ保護規則（General Data Protection Regulation（GDPR）や、米国の California Consumer Privacy Act（CCPA）が、PII に該当するものの定義を見直し、理解を広げました。
• 今日 — PII には、単なる静的な識別子だけでなく、オンライン上の行動、位置情報（地理的位置）やデバイス識別子といった動的なデータも含まれます。

PII は、ますますつながりが強まる世界においてプライバシー、安全、そして信頼の土台となるため、非常に重要です。企業、政府、オンラインプラットフォームによる個人データの広範な収集と処理により、なりすまし（ID の盗用）、詐欺、そして データ漏えいのリスクが高まります。PII を強力に保護することは、GDPR や CCPA のような法律への規制対応だけでなく、急速な技術進歩の時代において顧客の信頼を維持し、個人の権利を守るためにも不可欠です。

Personally Identifiable Information（個人を特定できる情報）とは何ですか？

情報が次のいずれかの条件を満たす場合、それは PII に該当します：

• 個人の一意な識別— 情報によって、その個人を直接特定できます。たとえば、社会保障番号（Social Security number）やメールアドレスのようなケースです。
• 関連付け可能性— 情報は、他の入手可能なデータと組み合わせることで、たとえば郵便番号・生年月日・性別を組み合わせるように、個人を合理的に特定できる可能性があります。

情報が PII であるかどうかを判断する際は、文脈が非常に重要です：

• データの集約— 単体では PII でない情報も、他のデータセットと組み合わせることで PII になり得ます。 たとえば、IP アドレス単体では PII ではない可能性がありますが、ユーザーアカウントに紐づくと PII になります。
• 目的とアクセス— データに誰がアクセスできるのか、またそれをどのように利用するつもりなのかが関係します。たとえば、機微性の高い職業（法執行など）の人の位置情報は PII とみなされる可能性があります。
• 非識別化と再識別のリスク — 非識別化されたデータであっても、追加のデータソースを使うことで再識別されて、結果として PII としての状態を再び取り戻す可能性があります。

個人を特定できる情報（PII）の種類

PII は、識別可能性の度合いに基づいて、大きく 2 つの主要カテゴリに分類できます。すなわち、直接識別子と間接（または準）識別子です。

直接識別子

追加のデータを必要とせずに、個人を直接かつ一意に特定できる情報です。直接識別子には次のものが含まれます。

• 法的な正式氏名（例：John A. Smith）
• 社会保障番号（SSN）
• パスポート番号
• 運転免許証または州の身分証番号
• 個人の電話番号
• 個人のメールアドレス
• 生体情報（例：指紋、網膜スキャン、顔認識データ）
• クレジットカードまたは銀行口座の番号
• 正面の写真

間接（準）識別子

これらの情報はそれ自体では個人を直接特定しませんが、他のデータと組み合わせることで特定できる場合があります。ここでは、例とともに一般的な間接的識別子の種類をいくつか紹介します：

• 人口統計情報： 生年月日、性別、民族、年齢、または婚姻状況
• 地理情報：住所（郵送先）、郵便番号、生まれた都市、または渡航履歴
• 学歴： 学校名または取得した学位
• 雇用データ：職種（職位）、会社、オフィスの所在地
• 端末情報：IPアドレス、MACアドレス、端末ID（状況および管轄によって異なります）
• 行動情報：購入履歴、閲覧習慣

新たに注目される PII の種類

技術の進歩により、より新しいタイプの情報がますます PII とみなされるようになっています：

• デジタル識別子：広告ID、MACアドレス
• 行動データ： 閲覧履歴、検索クエリ
• 遺伝情報： DNA プロファイル

センシティブな PII と非センシティブな PII

PII はセンシティブまたは非センシティブのいずれにもなり得ます。

センシティブな PII

機微（センシティブ）なPIIとは、開示または侵害された場合に、個人に重大な危害、当惑、金銭的損失、または法的責任を引き起こし得る情報のことです。例には次のものがあります：

• 社会保障番号
• パスポート番号および運転免許証番号
• 銀行口座情報およびクレジットカード情報
• 医療記録（PHIともみなされます）。たとえば、医療システムにおける糖尿病の診断など
• 法的記録（犯罪歴、移民ステータス）
• 生体データ（指紋、網膜スキャン）
• 正面の写真（特定の文脈において）
• 位置情報（GPS 座標、リアルタイム追跡）

非機微 PII

非センシティブ PII とは、一般に公開されている情報、または開示されても深刻な被害につながりにくい情報のことです。例：

• 氏名（他の識別子なし）
• ビジネス連絡先情報（勤務先の電話番号、会社のメールアドレス）
• 役職名または所属企業
• 一般的な人口統計データ（人種、性別：他の識別子と組み合わせない場合）

非機微 PII は単独ではリスクが低いものの、他のデータセットと組み合わせることでリスクにつながる可能性があります（データ集約）。

組織がセンシティブな PII と非センシティブな PII をどのように異なる扱いにするか

個人を識別できる情報（PII）の例

本人確認でよく使われる代表例

業界固有の例（例：医療、金融）

PII かどうかに関するよくある誤解

PII ではないものとは？

すべてのデータが PII とみなされるわけではありません。非 PII（Non-PII）とは、単独では特定の個人を識別するために使用できない情報のことです。ただし場合によっては、非 PII が他のデータポイントと組み合わさることで PII になることがあります。

個人データと PII の違い

• PII は、個人を一意に識別できるデータです。この用語は主に米国の法律およびサイバーセキュリティ分野で使用されます（例：NIST、HIPAA）。
• 個人データ は PII よりも範囲が広いです。GDPR のような法律では、識別可能な個人に関連するあらゆる情報が含まれ、間接的な場合も含まれます（例：デバイス ID、IP アドレス）。

非 PII の例

以下は通常 PII ではありません（ただし、他の識別データと結び付けられている場合は除きます）。

• ブラウザーの種類またはデバイスの型番
• 郵便番号（世帯を特定できるほど具体的でない場合）
• 年齢層
• 性別
• 匿名のアンケート回答
• 匿名化データ
• 集計された分析データ
• 特定の個人にたどり着けないように作られた、ランダムに生成されたユーザーID

非PIIがPIIになるとき

非PIIがPIIに変わるのは、たとえば次の場合です。

• 他のデータと関連付けられている場合。たとえば、郵便番号 + 生年月日 + 性別の組み合わせは、個人を一意に特定できることがよくあります。
• 再特定（再識別）が可能です。匿名化されたデータが、外部情報（ソーシャルメディアや公開記録など）を使って再び匿名性を解除できる場合、それはもはや非PIIではありません。
• データの相関が発生します。クリックストリームのような行動データは匿名に見える場合がありますが、分析によって特定のユーザーを特定できます。

PII はどのように収集・保存されるか

組織は、個人を保護し、GDPR、CCPA、HIPAA などの規制を遵守するために、PII を適切に管理する必要があります。

PII の収集方法

PII はどこに保存されるか

ほとんどの現代的な組織は、AWS、Microsoft Entra、Google Cloud（パブリック、プライベート、またはハイブリッド）などのクラウド環境に PII を保存しています。PII は、SaaS プラットフォーム（CRM、HRIS、ERP）に保存されていることもよくあります。

しかし、いくつかの企業では、機密性の高いワークロードに対して今なおローカルのサーバーやデータベースを使用しており、ローカルとクラウドのストレージを組み合わせたハイブリッド システムも運用しています。

保存場所に関係なく、PII は（保存時と転送中の両方で）暗号化され、適切に保護された形でバックアップされ、定期的に監査される必要があります。

PII 収集における同意と透明性

ユーザー同意

GDPR や CCPA のような法律では、個人データを収集する前に、明確で十分に情報を得た上での同意が必要です。これは次を意味します:

• ユーザーはオプトイン（事前にチェックされたボックスではない）する必要があります。
• 同意は、自由意思に基づき、具体的で、十分な情報に基づくものであり、かつ曖昧であってはなりません。
• 同意の撤回も、同じくらい簡単でなければなりません。

透明性に関する要件

組織は次を提供する必要があります：

• 収集するデータの内容、どのように使用するか、どれくらいの期間保持するか、ならびに第三者との共有の有無について明確に示したプライバシーポリシー
• クッキーバナーや文中の免責事項（インラインのディスクレーマー）など、収集の時点で表示する通知
• ユーザーが自分のデータを確認、修正、削除できる簡単な方法

PII が侵害される仕組み

PII は金融詐欺、なりすまし（ID の盗用）、企業スパイ活動に悪用できるため、サイバー犯罪者にとって格好の標的です。PII が侵害される一般的な手口を理解することで、組織や個人がより適切に保護できるようになります。

よくある脅威の侵入経路

攻撃者は、次の手段を使って PII へアクセスすることがよくあります。

• フィッシング — 偽のメールや Web サイトがユーザーをだまし、ログイン情報（認証情報）や個人情報を開示させます。多くの場合、銀行、雇用主、またはサービス提供事業者からの正当な連絡になりすましています。
• マルウェア — デバイスにインストールされた悪意のあるソフトウェア（例：キーロガー、スパイウェア、ランサムウェア）は、キーストロークを捕捉したり、保存されている認証情報やファイルを流出させたり、将来のアクセスのためのバックドアを開いたりする可能性があります。
• ソーシャルエンジニアリング — 攻撃者は、IT担当者になりすましたり、ソーシャルメディアから得た情報を使って信頼を獲得したり、従業員に説得してシステムへのアクセスを許可させる、または手順（プロトコル）を回避させることで、人を操作します。
• 脆弱なセキュリティ運用 — 攻撃者は、パスワード管理が不十分なこと、未パッチまたは古いソフトウェア、安全でない API やサードパーティのサービス、そして誤って設定されたクラウドストレージ（例：公開された S3 バケット）を悪用して、PII にアクセスすることもできます。

データ侵害と実際のインシデント

データ侵害は、権限のない個人が PII にアクセスしたときに発生します。結果は、侵害を受けた組織と、データが危険にさらされた個人の双方にとって深刻になり得ます。

注目度の高いインシデントをいくつか紹介します：

• Equifax (2017) — この攻撃は 1億4700万人に影響し、Social Security numbers、出生日などがさらされました。
• Facebook (2019) — 安全対策の不十分なクラウドデータベースに保存されていたサードパーティーアプリを通じて、5億4000万件のユーザーデータが露出しました。
• Marriott (2018–2020) — ハッカーは、パスポート番号や予約内容などを含む5億人分のゲストデータを盗みました。

攻撃者が盗み取った PII を悪用する方法

盗まれた PII は闇市場で非常に高い価値を持ち、さまざまな方法で悪用できます。少量の PII（例：氏名、生年月日、または Social Security number）であっても、これらの行為を行うのに十分なことがよくあります。

なりすまし（Identity Theft）と詐欺（Fraud）

盗まれた PII により攻撃者は被害者になりすまし、次のような詐欺行為を行うことができます。

• クレジットカードまたは銀行口座の開設
• ローンの申請・借り入れ
• 不正な購入の実行
• 払い戻しを得るために虚偽の確定申告を行う

クレデンシャル・スタッフィング & アカウント乗っ取り

盗まれた PII にユーザー名とパスワードが含まれている場合、攻撃者は自動化スクリプトを実行して、複数のプラットフォーム（銀行、メール、EC）でこれらの認証情報を試すことができます。パスワードの使い回しにより、結果としてアカウントの完全な乗っ取りにつながることが多く、機密データや保存された資金へのアクセスが可能になります。

スピアフィッシングとソーシャルエンジニアリング

個人に関する詳細な PII を入手していると、攻撃者は将来に向けてその人物をより効果的に標的にできます。雇用主や最近の購入などの情報について正確な詳細をもとに、信頼できる連絡先やサービス提供者を装って、被害者に対してさらなる情報の開示や金銭取引を行わせるよう騙すことができます。

医療および保険の不正

盗まれた医療記録や保険情報は、次の目的に使用できます。

• 虚偽の医療請求を行う
• 無許可の治療や処方を受ける
• 誰かの医療IDを盗むと、患者ケアにおける危険な誤りにつながる可能性があります

恐喝（ブラックメール）または脅迫的な金銭要求

非常に機微な PII（たとえば個人的なメッセージや健康履歴）が、身代金を支払わない限り公に暴露すると脅すために悪用されるほか、評判を損なうキャンペーンの標的として個人を狙うためにも使われる場合があります。

ダークウェブでの販売とデータの転売

攻撃者がそれを自分で使うのではなく、PIIを販売することもあります。「Fullz」パッケージ（完全な身元プロファイル）は高値で取引されることがあり、健康記録、パスポート、クレジットカード情報はダークウェブのマーケットプレイスで特に高い価値で売れる傾向があります。

長期的な影響

盗まれたクレジットカードとは異なり、PII は常に簡単に差し替えられるわけではありません。被害者は次のような問題に直面する可能性があります：

• 何年にもわたる監視と法的紛争
• 犯罪者間でデータが流通することで、繰り返し狙われる
• 記録が侵害されているため、信用や就職先の確保が難しくなる

個人を特定できる情報（PII）を規制する規則

PII（個人を特定できる情報）を規制する規則を、米国の法律、国際的な枠組み、そして世界各国での定義や保護の違いを含めて簡単に見ていきましょう。

米国の法律

国際的な枠組み

国や地域による PII の定義および保護の違い

個人を特定できる情報の保護

PII の保護 データ侵害、なりすまし（ID 偽装）、サイバー攻撃による脅威が増加しているため、今日のデジタル時代において非常に重要です。

個人向けのベストプラクティス

企業のデータ取扱いプロトコル

攻撃対象領域を減らす

PII（個人を特定できる情報）を誤って扱った場合の影響

PII（個人を特定できる情報）を誤って取り扱うと、組織と個人の双方に深刻な結果をもたらす可能性があります。

PII（個人を特定できる情報）を誤って扱った組織への影響

罰金および規制上の制裁

データ保護に関する法律に準拠できていない組織は、相当額の罰金を科される可能性があります。例として、以下があります:

• GDPR (EU) — 最大2,000万ユーロ、または世界の年間売上高の4%（いずれか高い方）までの罰金。例には British Airways（£20Mの罰金）や Marriott International（£18.4Mの罰金）があります。
• CCPA (California) — 意図しない違反1件あたり最大$2,500、意図的な違反1件あたり最大$7,500の民事罰金。私人の訴権（private right of action）により、消費者はデータ侵害について訴えることができます。
• HIPAA（米国の医療分野） — 懲⾦は違反1件あたり$100〜$50,000、違反の種類ごとに年間最大$1.5 millionまでです。

集団訴訟（クラスアクション）と和解

データ侵害の被害者は、集団訴訟（クラスアクション）を起こすことがよくあります。和解となると、支払い（補償金）、弁護士費用、運用の変更などで数百万ドルのコストがかかる場合があります。

復旧コスト

侵害（データ侵害）後の費用には、インシデント対応、フォレンジック、公的広報、顧客への通知、クレジット監視が含まれます。IBMの「Cost of a Data Breach Report 2024」によると、侵害1件あたりの平均コストは 445万ドルです。

評判の毀損と顧客の信頼の喪失

• ブランドの毀損 — インシデント（侵害）のニュースはすぐに拡散し、企業の対外的なイメージを傷つけます。このような状況では、信頼や好意（goodwill）の喪失が回復に何年もかかることもあれば、単に取り返しのつかない場合もあります。
• 顧客の離脱 — 顧客は、より安全だと認識される競合他社に乗り換える可能性があります。金融、ヘルスケア、EC（電子商取引）などの業界の事業者は、特に離脱（churn）の影響を受けやすいです。
• 競争上の優位性の喪失 — 漏えいを受けた組織は、営業秘密や専有情報を失う可能性があり、または業務が混乱するおそれがあります。
• 市場価値の下落 — 上場企業は、侵害の発表後に株価が下落することがよくあります。過失が関係している場合は、株主による訴訟が続く可能性もあります。

PII（個人を特定できる情報）が不適切に取り扱われた場合の個人への影響

• なりすまし（ID）詐欺 — 犯罪者は盗まれた PII を使って銀行口座を開設したり、ローンを組んだり、詐欺的な確定申告を行ったりできます。
• 金融詐欺 — 盗まれたクレジットカードや銀行の情報により、不正な取引、資金の損失、信用スコアの悪化につながる可能性があります。
• 感情的および心理的な苦痛 — 被害者は、さらなる被害に遭うのではないかという不安、ストレス、恐怖を抱えることがあります。さらに、アイデンティティを再構築することは、長く、もどかしく、かつ侵入的なプロセスになり得ます。
• 標的型の詐欺とフィッシング — 漏えいした情報は、検知しにくい高度にパーソナライズされた詐欺に悪用される可能性があります。
• 雇用または社会的な影響 — 機微な個人情報が露出すると、仕事上の当惑や社会的なスティグマ（烙印）につながる可能性があります。

事例研究：大規模な PII 漏えい

Equifax の情報漏えい（2017年）

米国最大級の信用情報機関の1つである Equifax は、大規模なサイバーセキュリティインシデントに見舞われ、米国内のおよそ 1億4,790万人分の個人の機微な情報が流出しました——これは同国の人口のほぼ半分に相当します。さらに、カナダや英国の人々にも影響が及びました。この事件は、歴史上でも最大級の機微データ漏えいとして際立っています。

今回の侵害は、2017年5月13日から7月30日の間に発生しました。76日間にわたり検知されず、その間に攻撃者は大量のデータを持ち出すことができました。Equifax は 2017年9月7日にこれを公表しました。攻撃者は、オープンソースのWebアプリケーションフレームワークである Apache Struts に存在する脆弱性（CVE-2017-5638）を悪用しました。この脆弱性は 2017年3月に公表され、パッチも当てられていましたが、Equifax は時間内にパッチを適用できませんでした。後続の報告では、一部のシステムに適切な暗号化やセキュリティプロトコルが欠けていたことが示されています。

侵害されたデータには、氏名、社会保障番号（Social Security numbers）、生年月日、住所、クレジットカード情報（約20万9,000人分）、および個人情報を含む紛争書類（18万2,000人分）が含まれていました。全体として、この侵害はなりすまし（アイデンティティ盗難）や詐欺の重大なリスクをもたらしました。

評判（イメージ）面での損失はさておき、Equifax は今回の侵害に関連して、法的和解金、顧客サポート、セキュリティ改善などを含む 14億ドルの費用を負担しました。和解には、影響を受けた個人に対する無料のクレジット監視と、アイデンティティ盗難の保護も含まれていました。Equifax はサイバーセキュリティ基盤を刷新するために投資せざるを得ず、より強力な暗号化、多要素認証、リアルタイムの脅威監視を導入しました。法的には、規制当局および民間組織から複数の訴訟と調査を受けることになりました。

Facebook—Cambridge Analytica スキャンダル

Facebook—Cambridge Analyticaのスキャンダルは、2018年初頭に明るみに出ました。そこでは、何百万ものFacebookユーザーの個人データが同意なく収集され、政治的な広告目的に利用されていたことが明らかになったのです。この問題の中心は、無害そうに見える性格診断クイズを通じてデータを集めていた第三者アプリにありました。アプリと直接やり取りしたのは約270,000人のユーザーにとどまりましたが、当時のFacebookのAPIにより、そのアプリはユーザー本人のデータだけでなく友人のデータにもアクセスできました。その結果、最終的に8,700万人超のユーザーの情報が損なわれる事態につながりました。こうして得られたデータは、その後、政治コンサルティング会社であるCambridge Analyticaに渡され、同社はプロフィールを用いて心理特性（サイコグラフィック）モデルを構築し、特に2016年の米大統領選挙やBrexit（ブレグジット）キャンペーンの期間中に、非常にパーソナライズされた政治メッセージでユーザーをターゲティングするために活用しました。

Facebookは世界中の各国政府や規制当局から厳しい調査を受け、その結果、CEOのマーク・ザッカーバーグが米国議会および欧州議会で証言することになりました。会社の株価は大きく下落し、評判にも重大な打撃が与えられました。さらに、規制上の措置も続きました。たとえば2019年には、米国連邦取引委員会（FTC）によって50億ドルの罰金が科されており、当時のプライバシー侵害に対する罰金としては過去最大でした。

注目を集めたインシデントから学ぶ教訓

Equifax（エクイファックス）の侵害事件やFacebook—Cambridge Analyticaのスキャンダルのような、注目度の高いデータプライバシー事故から得られた重要な教訓を紹介します。

• データセキュリティとパッチ管理を最優先にしてください。 組織は、最新の脆弱性管理プログラムを維持し、可能な限りパッチ配布を自動化する必要があります。
• 透明でタイムリーなコミュニケーションは欠かせません。 十分に準備されたインシデント対応およびコミュニケーション計画があると、信頼を維持でき、危機の際にも規制順守を確実にできます。
• どんなデータを持っているのか、そしてその理由は何かを把握しましょう。 データの最小化と保管（保持）に関する原則を採用してください。必要なものだけを収集し、その目的と法的根拠を明確に定義します。
• アクセス制御と社内の監督を強化してください。 ロールベースのアクセス制御（RBAC）を導入し、最小権限の原則を徹底し、データアクセスをリアルタイムで監視します。
• ユーザーの同意は、十分に理解できる形で、かつ細分化された形で行われる必要があります。 データの収集および共有について、明確で具体的なオプトイン（事前の同意）を確実に取得してください。プライバシーポリシーの中に埋もれた分かりにくい用語の使用は避けましょう。
• 規制の遵守は、任意ではありません。 GDPR、CCPA およびその他のデータ保護に関する法律に違反すると、大規模な罰金や訴訟につながる可能性があります。プライバシーの遵守を、チェックボックスの作業ではなく、事業の中核機能として扱ってください。データ戦略の策定には、プライバシー責任者、法務担当（法律顧問）、IT を関与させましょう。
• システムを定期的にテストし、監査してください。 多くの組織は、インシデントが発生してからようやく弱点に気づきます。攻撃者より先に脆弱性を特定するために、定期的なセキュリティ監査、ペネトレーションテスト、リスク評価を実施することがベストプラクティスです。
• 信頼は脆く、継続的に獲得しなければなりません。 一度失ってしまうと、信頼 — 顧客、パートナー、規制当局いずれからのものでも — を取り戻すのは非常に困難です。プライバシー・バイ・デザイン、透明性、倫理的なデータ利用を示し、長期的な信頼性を構築しましょう。
• プライバシー教育と文化に投資しましょう。 人為的なミスは、データの取り扱い不備において依然として大きな要因です。定期的なトレーニング、啓発プログラム、リーダーシップの関与を通じて、プライバシーを最優先する文化を育むための取り組みを行ってください。

職場における PII とベンダー契約

職場およびベンダー契約における PII の管理について、第三者との交渉の場で PII を特定する方法、従業員の責任、ベンダーのリスク管理に重点を置いた詳細なガイドです。

第三者との交渉の場で PII を特定する

ベンダーのリスク評価とコンプライアンス手順

PII と PHI の違い：何が異なるの？

PII と保護された健康情報（PHI）は、いずれもデータのプライバシーとセキュリティにおける基本的な概念です。以下は、その2つの違いを見分けるのに役立ちます。

個人を識別できる情報（Personally Identifiable Information）

PII（Personally Identifiable Information：個人を識別できる情報）とは、氏名、社会保障番号、メールアドレス、電話番号、パスポート番号、運転免許証番号などのように、直接または間接的に特定の個人を識別・連絡・所在確認するために使えるあらゆる情報です。PIIは、金融、教育、小売など幅広い分野にわたって適用されます。

保護された健康情報（Protected Health Information）

PHI（Protected Health Information：保護された健康情報）は、PIIのうち、個人の健康状態、医療行為、または医療サービスの支払いに特に関係する情報の一部です。PHIは、米国では HIPAA に基づいて定義され、規制されています。PHIの例には次が含まれます:

• 医療記録
• 検査結果
• 保険情報
• 医師のメモ
• 予約スケジュール

PII と PHI の重複

PHIはPIIの一部ですが、すべてのPIIがPHIというわけではありません。たとえば名前はPIIですが、名前に医療診断や保険番号が組み合わさるとPHIになります。

法的な区別

双方が適用されるユースケース

• ユーザー名やメールアドレス（PII）と、予約記録や処方箋（PHI）を保存する遠隔医療アプリ
• ログイン情報（資格情報）や連絡先情報（PII）を収集し、さらに請求履歴や治療内容（PHI）も扱う健康保険ポータル
• インセンティブ追跡のための人口統計データ（PII）と、健康リスク評価および検査結果（PHI）を収集する従業員ウェルネスプログラム
• 同意書および連絡先情報（PII）を使用し、さらに患者の聞き取りと検査から得られる健康データ（PHI）も扱う研究・臨床試験

PIIの未来：トレンドと新たな課題

PIIに関する注目すべきトレンドと課題をいくつか紹介します。

AI とビッグデータの影響

AI とビッグデータ分析は PII 管理を変革していますが、同時にリスクも増幅させています。主な懸念事項には次のようなものがあります:

• 急増するデータ量 — AI システムは大量のデータセットを学習・利用の材料としており、そこにはセンシティブな個人データが含まれていることがよくあります。匿名化されたデータであっても、十分な補助情報があれば再識別される可能性があります。
• プロファイリングと推論 — AI は一見無害に見えるデータから、センシティブな情報（たとえば政治的見解、健康状態）を推論し、「derived PII（派生PII）」という新たなカテゴリを生み出す可能性があります。
• 自動化された意思決定 — AI モデルは、雇用、融資、医療などの分野における重要な判断に影響を与えます。懸念点には、公平性と説明可能性があります。
• データ最小化の課題 — AI は大規模なデータセットでこそ活躍しますが、それは「必要なデータだけを収集する」という原則と矛盾します。

主な課題は、革新性とプライバシーのバランスを取ること、そして PII（個人を識別できる情報）を含む AI 主導の意思決定において適切な監督を確保することです。

生体認証用の識別子の台頭

生体データ（顔認識、虹彩スキャン、指紋、声紋、DNA）は、認証、監視、パーソナライゼーションの用途でますます使われるようになっています。たとえば、このデータはスマートフォンのセキュリティ、空港の入出港手続き（クリアランス）、職場へのアクセス、ヘルスケアで活用されています。

リスクには次が含まれます：

• 取り返しのつかなさ — パスワードと違い、万一侵害（漏えい）された場合に顔や指紋を変更することはできません。
• 大規模な監視 — 政府や企業による顔認識の利用は、市民の自由に関する懸念を引き起こしました。
• データ侵害 — 生体認証データは価値が高く、いったん漏えいすると取り返しがつかないため、格好の標的になります。

重要な課題は、生体情報を倫理的に使用・保存するための法的および技術的なセーフガードを整備することです。

統一されたグローバルなプライバシー・フレームワークの要請

多くの国（加えて米国の各州）でそれぞれ独自のプライバシー法が整備されており、複雑さが増しています：

• 整合性のない法律は、国際的なデータ転送とグローバルなビジネスを妨げます。
• 多国籍企業は、コストのかかる重複したコンプライアンス対応に直面しています。

これらの懸念に対処するための枠組みの草案を作成する取り組みが進められています。内容は次のとおりです:

• 標準化に向けた OECD と ISO の取り組み
• デジタルプライバシーに関する国連の提案条約
• 「Global Privacy Accord（グローバル・プライバシー協定）」や国際的なデータ保護条約に関する議論

課題は、国家主権や文化の違いを尊重しながら、プライバシーの権利と執行メカニズムを世界規模で整合させることです。

これから

注目すべき新たなトレンド

• プライバシー・バイ・デザイン（Privacy by design） — 製品開発において、最初からプライバシーを組み込むこと
• ゼロトラスト アーキテクチャ — 従来の境界型セキュリティを超えて、アイデンティティ中心のモデルへ
• 合成データ — AIが生成したデータセットを使って、実際の PII を使わずにモデルを学習する
• 分散型アイデンティティ（DID） — ブロックチェーンなどの技術を用いて、ユーザーが自分のアイデンティティを制御できるようにする

主な課題

• 高度に接続された世界で信頼を維持する
• 革新と個人の権利のバランスを取る
• 監視資本主義とデジタル独裁主義を防ぐ

Netwrix Data Classification について

PIIを特定し保護することは、高額な侵害を回避し、厳格な データセキュリティ規制（GDPRやHIPAAなど）を確実に遵守するうえで不可欠です。とはいえ、PIIはしばしばさまざまなデータ環境に分散しているため、手動での識別は難しく、かつ誤りが起きやすくなります。

Netwrix Data Classification は、組織が PII を含む機密データを正確に特定、分類し、保護できるよう支援します。このプロセスにより、データに関連するリスクを低減し、コンプライアンスを確保し、運用効率を向上させることができます。PII に関連する主な機能には以下が含まれます：

• 自動検出 — 従来から用意された、またはカスタマイズ可能なルールを使用して、オンプレミスのファイル共有、SharePoint、クラウドストレージなどに存在するさまざまな種類の PII を検出します。
• データ分類 — 機密性とコンテンツの種類（たとえば財務データ、医療データ）に基づいてファイルにタグを付けることで、リスクに応じて保護の取り組みを優先順位付けしやすくします。
• 規制マッピング  — PII を法的要件に対応付け、監査やレポート作成を効率化することで、GDPR、CCPA、HIPAA などの規制へのコンプライアンスを支援します。
• リスク低減 — 過度に露出した、または適切に管理されていない PII（例：パブリックフォルダーに保存されたデータ、広く共有されているデータ）を特定し、Netwrix Auditor およびその他の DLP/IRM ソリューションと連携することで是正を支援します。
• データ主体によるアクセス要求（DSARs）のプロセス — 加速 DSAR 複数のリポジトリにまたがる、特定個人に関連するすべての PII をすばやく特定することで、DSAR の対応を効率化します。

よくある質問

個人を特定できる情報（PII）の最適な定義とは何ですか？

PII（個人を特定できる情報）とは、個人の身元を明らかにし得るデータのことです。以下の定義は、米国の国立標準技術研究所（NIST）などのプライバシーに関するフレームワークや、GDPR や CCPA のような国際的な規制によって広く受け入れられていますが、用語はわずかに異なる場合があります：

直接または間接を問わず、特定の個人を識別したり、連絡を取ったり、位置を特定したりするために使用できるあらゆる情報。

PII の例にはどのようなものがありますか？

PII の一般的な例には次のようなものがあります:

• 氏名（Full Name）：Jane Smith、Ahmed Khan
• 政府発行のID（Government IDs）：社会保障番号（SSN）、パスポート番号、運転免許証のスキャン
• 連絡先（Contact details）：メールアドレス、電話番号、郵送先住所
• 生体データ：指紋、顔認識、網膜スキャン
• 金融情報：クレジットカード番号、銀行口座の詳細
• デジタル識別子：国民ID、納税者ID番号、学生ID

PIIには2種類あるのですが、それは何ですか？

• 直接識別子 は、それだけで個人を一意に特定できます。例には、氏名（フルネーム）、パスポート番号、電話番号、クレジットカード番号などがあります。
• 間接識別子 単独で使用しても個人を特定できない一方、他のデータと組み合わせると特定できる場合があります。間接識別子の例には、人口統計情報、雇用データ、デバイス情報などがあります。

詳細は「Personally Identifiable Information の種類」セクションを参照してください。

PII（個人を特定できる情報）を保護する法律にはどのようなものがありますか？

PII（個人を特定できる情報）を保護する規制は国や業界によって異なりますが、いずれも共通の目標は、個人が自分の個人データをコントロールできるようにし、組織がPIIを責任をもって取り扱うことです。ここでは、よく知られている法律の例を紹介します。

詳細は「Personally Identifiable Information を規定する規制」セクションを参照してください。

非機微（非センシティブ）データは PII になり得ますか？

はい。個人を特定、所在確認、または連絡可能にする形で、他のデータと組み合わせられる場合、非機微（非センシティブ）データも PII になり得ます。たとえば、郵便番号単体は PII ではありませんが、生年月日や性別と組み合わせることで、その人を一意に特定できる可能性があります。

個人を識別できる情報（PII）を理解する

個人を識別できる情報（PII）とは、単独で、または他の情報と組み合わせて、個人を特定したり連絡したり、所在を確認したりするために使用できるあらゆるデータのことです。PII の例には、氏名、社会保障番号、パスポート番号、運転免許証番号、バイオメトリクスデータ（生体データ）などがあります。

「personally identifiable information（個人を識別できる情報）」という用語は、政府や組織が、無許可のデータ利用に伴うリスクを認識するようになったことを背景に、1970 年代の米国で注目されるようになりました。画期的な出来事の一つが、米国の保健・教育・福祉省（US Department of Health, Education, and Welfare）による 1973 年の報告書です。この報告書は、公正な情報取扱い（FIPPs）に関する原則を示していました。これにより データ・プライバシー の規制、そして PII として知られるようになった概念的な枠組みが形作られる土台となりました。

技術の進化に伴い、PII の範囲は拡大しました：

• 1980年 — OECDの「プライバシーの保護および個人データの越境移転に関するガイドライン」が、国際的な文脈でPIIを正式に扱いました。
• 2000年代 — インターネットと電子商取引の台頭により、オンライン上でのデータ露出リスクが注目されました。
• 2010年代以降 — 欧州連合（EU）における一般データ保護規則（GDPR ）や、米国のカリフォルニア州消費者プライバシー法（CCPA）が、PII を構成するものの理解を再定義し、さらに広げました。
• 現在 — PII は、固定的な識別子だけでなく、オンラインでの行動、ジオロケーション、デバイス識別子などの動的なデータも含みます。

PII は、ますますつながりが強まる世界において、プライバシー、安全、そして信頼を支えるため、非常に重要です。企業、政府、そしてオンライン プラットフォームによる個人データの広範な収集と処理は、ID 詐欺、詐欺行為、 データ侵害 のリスクを高めます。PII を強力に保護することは、GDPR や CCPA のような法律に対する規制順守だけでなく、技術の進歩が急速に進む時代において顧客の信頼を維持し、個人の権利を守るためにも欠かせません。

個人を特定できる情報とは何ですか？

PIIとは何かを知ることは、そのアクセスを管理する第一歩であり、答えは文脈によります。郵便番号と生年月日はそれぞれ無害に見えても、一緒になると一人の個人を特定できるからです。

PIIは個人識別情報(personally identifiable information)の略で、単独またはその人にリンクされている、またはリンク可能な他の情報と組み合わせて、特定の個人の身元を識別または追跡できる情報を指します。

データプライバシー法は さまざまな場所で境界を定めているため、あるデータセットが一つの規制の対象となり、別の規制では免除されることがあります。

個人識別情報（PII）のほとんどの漏えいはアクセスから始まります。機密データ漏えいの75％は、侵害されたIDまたは誤設定された権限から始まると、Netwrix 2026 Data and Identity Security Reportによると報告されています。

リンクされたリンク可能な情報

単一のシステムにこれら三つすべてが含まれることがよくあります。例えば、遠隔医療アプリは名前やメールアドレス（PII）を予約記録や処方箋（PHI）の隣に保存し、EUユーザーのデータはGDPRに基づく個人データでもあります。

名前、Social Security番号、または生体認証記録は単独で個人を特定できますが、生年月日や郵便番号は他のデータと組み合わせた場合にのみ個人を特定します。識別可能性は周囲のデータセットに依存するため、同じフィールドがある文脈ではPIIであり、別の文脈では無害であることがあります。

米国管理予算局はこの定義を2007年の覚書で使用し、国立標準技術研究所（NIST）はこれをSP 800-122というPII保護のガイドに引き継いでいます。

SP 800-122はPIIを2つの部分に分けて定義しており、最初の部分は名前、社会保障番号、生体認証記録など、個人を識別または追跡できる情報を含みます。2つ目は医療、教育、財務、雇用情報など、個人に関連付けられるまたは関連付け可能なその他の情報を含みます。

非PIIとPIIになる時

このガイドは、ラベルをデータがどれだけ簡単に個人を特定できるかにも結び付けています。名前、指紋、社会保障番号は個人を一意かつ直接的に識別しますが、郵便番号や生年月日は間接的に識別したり、大規模なデータセットを絞り込むのに役立ちます。

情報は、単独または他の情報と組み合わせても個人を識別または追跡できなくなった時点でPIIではなくなります。NISTは、匿名化情報を、以前は識別可能だった情報で、再識別のためのコードやその他の関連付けが残っていないものと定義しています。

状況によって重要性が変わります。NISTの例が示すように、名前、住所、電話番号など同じフィールドを持つ2つのリストを比較すると、1つはニュースレターの購読者リストで、もう1つは法執行機関で潜入捜査を行う人々のリストです。そのため、それぞれの情報漏えいは個人と組織に非常に異なる影響を与えます。

匿名化には限界があります。NISTは、匿名化された情報も再識別される可能性があると指摘しています。データセットを組み合わせることもこれを無効にする可能性があり、別々のシステムで無害に見える郵便番号と生年月日が一致すると、一人の人物を特定できる場合があります。

PII、個人データ、およびPHIの比較

1980年にOrganization for Economic Co-operation and Developmentは、プライバシー保護と国境を越えたpersonal dataの流れに関するガイドラインを採用し、より広い用語であるpersonal dataを使用しました。

個人を特定できる情報という用語は、2007年の連邦ガイダンス、上記の覚書、および2010年4月に発行されたNIST SP 800-122に登場します。

PIIの例と種類

PHIは、対象組織またはそのビジネスアソシエイトが保有し、HIPAAによって規制されている、個人を特定できる健康状態、ケア、またはケアの支払いに関する健康情報です。名前だけはPIIですが、名前と診断や保険番号が組み合わさると、対象組織またはビジネスアソシエイトが保有する場合にPHIとなります。

GDPRの下で、個人データは識別された、または識別可能な個人に関するあらゆる情報を含み、第4条1項は個人を識別可能にするオンライン識別子を挙げています。したがって、狭い米国PIIテストを通過したデータセットでも、EUでは規制対象の個人データとなる場合があります。

PIIは米国の用語であり、その歴史は3つの定義が異なる理由を説明しています。1973年の米国保健教育福祉省の報告書「Records, Computers, and the Rights of Citizens」は、公正な情報慣行の規範を提案し、議会はこれを用いてPrivacy Act of 1974を起草しました。

PIIの一般的な例としては、氏名、社会保障番号、パスポート番号、運転免許証番号、指紋などの生体認証データがあり、これらはすべてNISTの例に含まれています。

表の各フィールドは、個人を識別する方法とその露出によって生じる可能性のある損害の大きさによって分類されており、評価は組織や管轄によって異なります。

直接および間接識別子

社会保障番号は名前がなくてもPIIとみなされます。NISTによると、これは個人を独自かつ直接的に識別するため、電話番号や郵便番号よりも敏感です。

名前と姓はNISTの定義では個人を区別するために重要ですが、NISTのインシデント対応名簿の例は、公開されている名前や勤務先の連絡先情報がほとんどリスクを増加させないことを示しています。生年月日だけでは個人を特定できませんが、郵便番号と組み合わせると可能です。

直接識別子は補助データなしで1人の個人を指します。NISTは、名前、指紋、社会保障番号を個人を一意かつ直接的に識別する情報の例として挙げています。

機微および非機微なPII

間接識別子は、他のデータと組み合わせた場合にのみ個人を指します。NISTは郵便番号や生年月日を例として挙げており、これらは個人を間接的に特定したり、大規模なデータセットを絞り込むのに役立ちます。追加のフィールドが増えるほど対象者はさらに絞り込まれるため、分類プログラムはどのフィールドが一緒に識別するかを評価する必要があります。

機微なPIIとは、その露出が重大なプライバシー、財務、または法的損害を引き起こす可能性のあるPIIです。NISTのガイドは、機密性の影響レベルを低、中、高に分類し、PIIが不適切にアクセス、使用、または開示された場合の個人および組織への潜在的な損害を示しています。

社会保障番号、医療履歴、または金融口座情報は、通常、電話番号や郵便番号よりも機微な情報であると指摘しています。

PIIを規制する法律および規則

NISTはリスクベースのアプローチを推奨しており、影響度の高いPIIにはより強力な保護策が必要です。推奨事項にはアクセス制御、保存情報の暗号化、PIIの機密性に影響を与えるイベントの監視が含まれます。

Netwrix Access Analyzerは、ネストされたADグループとSharePointの継承を解決し、過剰に公開された機密データを明らかにします。デモをリクエストしてください。

NISTの名簿例にある名前や勤務先連絡先のような影響の少ないPIIも、他のフィールドと組み合わせられることから保護が必要です。組み合わせたフィールドは機微なデータの識別につながる可能性があります。

支払いカードのデータは、カード保有者のデータを保存、処理、または送信する組織に適用されるPayment Card Industry Data Security Standard（PCI DSS）の対象でもあります。

1974年プライバシー法

すべての目的に対してPIIを定義する単一の法律はありません。米国の規制は部門別で、連邦機関、医療、金融、教育および州法に基づく消費者向けに別々の法律があり、EUとオーストラリアは個人情報に国家の枠組みを適用しています。

プライバシー法は、個人に自分に関する記録へのアクセス権と不正確な記録の訂正を受ける権利を与え、連邦機関に対して合法的かつ許可された目的のためにのみ記録を収集し、それらを保護することを要求します。連邦機関のみが対象です。

California Consumer Privacy Act と California Privacy Rights Act

HIPAA

CPRAは法律を改正し、消費者の権利と企業の義務を追加し、2023年1月1日に施行されました。

CCPAはカリフォルニアの消費者に、企業が収集する個人情報を知る権利、削除する権利、不正確な情報を訂正する権利、販売や共有を拒否する権利を与えます。

カリフォルニア州で事業を行い、収益、取り扱うカリフォルニア消費者の数、または個人情報の販売・共有による収益のいずれかの基準を満たす営利企業に適用されます。

Gramm-Leach-Bliley法

HIPAAは対象となる機関に適用され、これには健康保険、医療クリアリングハウス、および標準取引で健康情報を電子的に送信する医療提供者とそのビジネスパートナーが含まれます。

45 CFR 164.306に基づき、彼らは作成、受信、保持、または送信する電子保護健康情報の機密性、完全性、および可用性を確保しなければなりません。45 CFR 164.404に基づき、対象組織は保護されていないPHIの侵害を発見後遅滞なく、かつ60暦日以内に影響を受けた個人に通知しなければなりません。

GLBAは、ローン、金融または投資アドバイス、保険などの金融商品やサービスを消費者に提供する企業を対象としています。プライバシールールでは、顧客に情報共有の慣行と特定の第三者との共有を拒否する権利について通知することを義務付けています。セーフガードルールは、顧客情報を保護するための情報セキュリティプログラムを要求します。

家族教育権利およびプライバシー法

一般データ保護規則

オーストラリアプライバシー法1988年

FERPAは、米国教育省のプログラムの下で資金を受け取る教育機関および機関に適用されます。これは、学生に直接関連し、機関またはその代理者によって管理される教育記録を保護します。

オーストラリア情報コミッショナー事務局によると、Privacy Act 1988は、オーストラリア政府機関、年間売上高が300万AUDを超える組織、およびその他の一部の組織が個人情報を取り扱う方法を規制しています。

PIIがどのように露出するか

オーストラリアの13のプライバシー原則は、個人情報の収集、使用、開示、情報の完全性と訂正、個人のアクセス権をカバーしています。

記録されたインシデントは、欺瞞的なメッセージ、未パッチのシステム、第三者のアクセスという3つの繰り返される経路に従います。

GDPRは、第3条に定められた領域的適用範囲を持ち、EU内の個人に関する個人データの処理を対象としています。個人には権利（アクセス、訂正、削除、データポータビリティ）が与えられ、第37条はデータ保護責任者の任命を規定しています。

フィッシング

警告の兆候には、緊急または感情的な言葉遣い、個人情報や財務情報の要求、信頼できない短縮URL、誤ったメールアドレスやリンクが含まれます。

フィッシングは、犯罪者が人々に有害なリンク、メール、または添付ファイルを開かせようとする際に発生します。餌はメール、テキスト、ダイレクトメッセージ、または電話で届き、信頼できる人物や組織からのもののように見せかけられています。

未パッチのソフトウェア

サードパーティアクセス

2017年のEquifaxの侵害は パッチの見逃しのコストを示しています。Apache Strutsプロジェクトは2017年3月7日にCommon Vulnerabilities and Exposures（CVE）エントリCVE-2017-5638を発表しパッチをリリースし、国土安全保障省は翌日にEquifaxに警告しましたが、Equifaxはシステムを完全にパッチしませんでした。

によると、House Oversight Committeeの報告書、攻撃者はネットワークに76日間滞在し、名前、社会保障番号、生年月日、住所、運転免許証番号を含む約1億4800万人の個人情報にアクセスしました。

Equifaxは後に、少なくとも5億7,500万ドル、最大で7億ドルの連邦および州の規制当局との和解金を支払うことに同意しました。

FacebookとCambridge Analyticaの事例は、第三者のアクセスがPIIを露出させることを示しています。連邦取引委員会（FTC）は主張しました 開発者Aleksandr Koganが作成したFacebookアプリがユーザーに性格やその他の質問をし、Facebookの友達に関する情報も収集したと。

PIIが誤って扱われた場合に起こること

罰金および規制制裁

さらに、Cambridge Analyticaが得られた性格スコアを米国の有権者記録と照合し、プロファイリングとターゲット広告に利用したと主張されました。

結果はデータを保持していた組織と、その組織が特定する人々に及びます。

修復および運用コスト

HIPAAの民事罰は違反ごとに145ドルから始まり、過失の度合いに応じて増加します。是正されていない故意の怠慢には最低73,011ドルが科されます。これはHHSの2026年1月のインフレ調整によるものです。

GDPRの第83条に基づき、罰金は最大2,000万ユーロまたは全世界の年間総売上高の4％のいずれか高い方まで科されます。CCPAでは、2025年の調整により、違反1件あたり最大2,663ドル、故意の違反1件あたり最大7,988ドルの行政罰金が認められています。

Facebookは最大8700万人の情報をCambridge Analyticaと不適切に共有した可能性があると述べました。2019年、FTCはFacebookに対して50億ドルの罰金を科し、消費者のプライバシー違反に対して企業に科された中で最大のものでした。

和解金はEquifaxの場合のように数億ドルに達することがあります。CCPAの下では、消費者は特定のデータ侵害について訴訟を起こし、1件あたり消費者1人につき107ドルから799ドルの法定損害賠償、またはそれ以上の実損害賠償を回復できます。

公共の信頼と市場価値の喪失

個人情報の盗難と金融詐欺

IBMのCost of a Data Breach Report 2026によると、世界の平均的なデータ侵害コストは過去最高の499万ドルに達しています。NISTのガイドは、組織が被る可能性のある被害として、修復コスト、管理負担、財務損失を挙げています。

NISTは組織の被害として公共の信頼喪失と法的責任を挙げています。Equifaxが侵害を発表した後、最初の週に株価が35％下落し、下院監視委員会の報告によると60億ドルの市場価値が消失しました。

個人に対する恐喝やその他の被害

FTCによると窃盗犯は盗んだ個人情報を使って被害者名義で新しいクレジットカードを取得し、ローンを申し込み、返金を受け取るために不正な税申告を行い、医療サービスやMedicareの給付を受けることがあります。NISTは個人に対する被害の中で身元盗用を最も重要なものとして挙げています。

PIIを保護する方法

NISTはリスクベースのアプローチを推奨しているため、以下の各コントロールは特定のリポジトリおよびそのリポジトリが保持するPIIの影響レベルに紐づける必要があります。

NISTは、PII漏えいの潜在的な被害として恐喝、恥辱、身体的損害、差別、精神的苦痛を挙げています。機密情報の暴露は、金銭的損失をはるかに超える被害をもたらす可能性があります。

PIIを検出して分類する

知らないPIIは保護できないため、まずはどこに保存、処理、送信されているかを把握してください。ファイル共有、データベース、クラウドアプリ、バックアップ、そして人々がそこからエクスポートするスプレッドシートを含めてください。

PIIにアクセスできる人を制限する

収集を減らし、スケジュールに従って削除する

次に、データを分類します その露出による被害の程度に基づいて、NISTが機密性影響レベルと呼ぶもので、社会保障番号の表はスタッフディレクトリよりも強力な保護を受けます。コピーやエクスポートはPIIを一度の監査よりも速く拡散するため、定期的にインベントリを繰り返してください。

収集するすべてのフィールドは保護すべきフィールドです。各フィールドがどの決定を支援するかを確認し、支援しないものの収集はやめましょう。各PIIカテゴリの保持期間を設定し、削除は時折のクリーンアップではなく、スケジュールされたジョブとして実行してください。

個人ではなく役割ベースのグループを通じてアクセスを割り当てることで、役割の変更が一箇所でアクセスを更新するようにします。可能な場合は、ユーザーがどのレコードやフィールドを閲覧できるかを制限するアプリケーションを通じてPIIにアクセスさせ、生のデータベースやファイルにはアクセスさせないようにします。

各人にその役割に必要なアクセスのみを付与し、最小権限の原則に基づいて定期的に見直してください。採用時に適切だったアクセス権限が、2つの役割変更後には不適切になることがあります。

PIIを暗号化して監視する

システムを迅速にパッチ適用する

誰も使わないデータも、侵害時には露出したとみなされます。保存するデータを減らすことで、被害の可能性と規模の両方を減らし、最小化はデータライフサイクル管理の重要な部分となります。

通常よりもはるかに多くのファイルを読み取るアカウントや、PIIがリムーバブルメディアに保存されるパターンを検知し、データが流出する前に各アラートを調査します。ファイルアクセス監視はファイル共有の記録を提供します。

サーバー、ノートパソコン、バックアップに保存されているPIIを暗号化し、システム間の通信でも暗号化することで、盗まれたディスクや傍受された接続から読み取れる情報を防ぎます。暗号化は権限のあるアカウントによるデータの閲覧を防げないため、誰がPIIを開き、コピーし、移動したかの監視と組み合わせてください。

スタッフがアクセスする前にトレーニングを行う

パッチ適用は、実行している内容を把握し、各修正が適用されたことを確認できる場合にのみPIIを保護します。インターネットに公開されているソフトウェアや、自社アプリケーション内のオープンソースフレームワークやライブラリの在庫を管理してください。知らないコンポーネントにはパッチをキューできません。

攻撃者がすでに脆弱性を悪用しているかどうかと深刻度に応じて期限を設定し、悪用されているものには最短の期限を設定してください。CISAは組織に対し、その Known Exploited Vulnerabilities catalog を優先順位付けの参考にするよう推奨しています。

トレーニングを最初の月のタスクではなく、PIIを保持するシステムへのアクセスを許可するステップに完了を結びつけてアクセス条件にしてください。仕事でPIIをどう扱うか、認識方法、保存・共有場所、廃棄方法、保持スケジュール、誤用時の制裁について説明します。

インシデント対応計画を準備する

次にスキャンで確認し、スキャンもチェックしてください。Strutsの警告後、Equifaxのオープンソースコンポーネントスキャンは、Strutsがリストされているサブディレクトリではなくルートディレクトリに対して実行されたため脆弱なバージョンを見逃し、2番目のスキャナーは958の外部IPアドレスをチェックしましたが何も見つかりませんでした。

訴訟および和解

PIIの侵害は、標準的なセキュリティインシデント計画では省略される決定を追加し、インシデント前にそれらを行う必要があります。誰がPII侵害を宣言できるか、誰が対応チームに参加し、誰が規制当局、影響を受けた人々、報道機関と話すかを決めてください。

HR、給与、顧客記録を扱うサポートチームなど、最も機微なPIIを扱う人々に役割別のトレーニングを追加してください。PIIインシデントを認識し、いつでも報告する場所を教え、最新の詐欺や最近の侵害を例にして定期的にトレーニングを更新しましょう。

スタッフにいつでも利用できる1つの報告チャネルを提供し、何が失われたか、どのシステムと記憶媒体からか、何人が影響を受けているか、法執行機関に連絡したかなど、毎回同じ事実を収集します。

CISAの基本的な実践は個人にも適用されます。

自分のPIIを保護する

• 強力でユニークなパスワードを使用し、パスワードマネージャーに保存してください。

NISTは証拠として保持するかどうか決定するまで、メディアからPIIを削除する前に証拠を保存することを推奨しています。侵害をシミュレートするテーブルトップ演習で計画をテストし、学んだ教訓ごとに更新してください。

• 提供されているすべての場所で多要素認証（MFA）を有効にしてください。

通知の計画を事前に立てます。通知が必要かどうか、どのくらい早く行うか、誰が送るか、内容、クレジットモニタリングなどの支援を提供するかどうかを含みます。GDPR Article 33に基づき、管理者は違反を認識してから72時間以内に監督当局に通知しなければならず、可能な限り、その決定を事件後まで待つことはできません。

• 個人情報を共有する前にフィッシングを認識して報告しましょう。
• ソフトウェアの更新を迅速にインストールしてください。

NetwrixがPIIを保護する方法

ファイルサーバー、SharePoint、およびデータベース全体でPIIを見つける

Netwrix製品は4つのPII作業を処理します：位置特定、規制へのマッピング、アクセス権の確認、エンドポイントでの停止。

分類されたPIIをGDPR、HIPAA、およびPCI DSSにマッピング

Netwrix Access Analyzer は、パターンベースおよびコンテキストベースのルールと組織固有のデータに対するカスタムルールを使用して、ファイルサーバー、SharePoint、データベース、Amazon S3のPII、PHI、および支払いカードデータをスキャンします。

誰がPIIを開けるか、誰が所有しているかを確認してください

ルールベースのPII検出は、構造化データおよび非構造化データの事前定義されたパターンに一致し、Access Analyzerがそれらのパターンにコンテキストを追加します。チームは分類ルールをさまざまな方法で調整して、機密データをより正確に特定できます。

で Forreston State Bank は、Auditor が連邦金融機関検査評議会（FFIEC）および GLBA の要件を継続的に遵守させ、監査準備に週8時間の節約をもたらします。

USBおよびウェブアップロードによるPIIの流出をブロック

Access Analyzerは分類されたPIIをGDPR、HIPAA、PCI DSS、その他のフレームワークにマッピングします。Netwrix Auditorはアクティビティを監査し、GDPR、HIPAA、PCI DSS、SOX、およびCybersecurity Maturity Model Certification（CMMC）向けの事前構築済みコンプライアンスマッピングを含みます。

最も大きな被害をもたらすPIIから始めましょう

Access Analyzerは権限を分析し、過剰に公開されたデータを特定し、データ所有者を決定し、アクセス権レビューのワークフローをサポートします。そのEffective Access Reportは、ネストされたグループを含むグループメンバーシップから実効アクセスを計算し、古いトラスティアカウントをフラグします。

Netwrix Endpoint Protectorはコンテンツ認識型のデータ損失防止 ポリシーをエンドポイントで強制します。USBストレージデバイスを制御し、ブラウザの転送を監視し、ChatGPTやMicrosoft CopilotなどのAIツールおよびクラウドストレージへの機密データのアップロードをブロックします。

NISTのガイダンスは明確な作業順序を設定しています。環境内のすべてのPIIを特定し、その露出が引き起こす可能性のある被害に基づいて各リポジトリを評価し、評価が最も高い場所に最も厳しい保護策を適用します。アクセス失敗がほとんどの露出を引き起こすため、まず誰がこれらのリポジトリにアクセスできるかを厳しく制限してください。

新しい組み合わせを再分類イベントとして扱うチームは、保有するデータに合わせてコントロールを維持します。

評価は時間とともに変わります。これはNISTが組織に対して、PIIフィールドの感度を組み合わせて評価するよう求めているためです。単独では影響が低いと思われたデータセットも、郵便番号と生年月日が組み合わさると、新たな評価が必要になります。

デモをリクエストして、Netwrix Access Analyzerがファイル共有、SharePoint、データベースでPIIを検出し、誰がアクセスできるかを表示する様子をご覧ください。