データマネジメント試験対策教材４〜データ関連法規・倫理・セキュリティ〜

2027年秋に開催されるとされるデータマネジメント試験の対策教材です。
4回目はデータ関連法規・倫理・セキュリティについて説明をします。

Transcript

1. 第4章 データ関連法規・倫理・セキュリティ 【データマネジメント試験】対策資料
2. 導入 この資料の対象者とゴール 第４章 データ関連法規・倫理・セキュリティ 対象となる方 データに関わる法律・規制やセキュリティ技術を整理したい方 個人情報保護制度やAI関連規制を学びたい実務担当者 この資料のゴール プライバシー保護規制とAI規制の動向を理解する 著作権法やデータ倫理を踏まえたデータ利活用を学ぶ アクセス制御、暗号化、マスキングなどの技術を習得する 2
3. 目次 アジェンダ 前編 4.1 グローバルにおける個人情報保護の動向 4.2 日本の個人情報保護法と安全管理措置 4.3 グローバルにおけるAI規制の動向 第４章 データ関連法規・倫理・セキュリティ 3
4. 目次 アジェンダ 後編 4.4 日本のAI関連法規と著作権 4.5 データ倫理とAIガバナンス 4.6 データセキュリティ技術とインシデント対応 第４章 データ関連法規・倫理・セキュリティ 4
5. 4.1 グローバル個人情報保護 第４章 データ関連法規・倫理・セキュリティ 国際的なプライバシー規制の潮流 一般データ保護規則: EUの厳格な規則で、欧州域外の事業者にも適用 カリフォルニア州消費者プライバシー法: 消費者の権利を保護する米国州法 越境データ移転の課題: 国外へのデータ転送時に安全性を求める規制 💡 ポイント解説 EUの一般データ保護規則のように、自国以外の事業者に規制が適用される域外適用のルールを理解しておき ましょう。 5
6. Q1 確認問題 第４章 データ関連法規・倫理・セキュリティ 【問題】 EUの一般データ保護規則のように、域内に拠点がなくても域内の個人にサービス等を提供する事業者に対 し、法律の義務を適用する原則はどれか。 ア. 最小権限の原則 イ. 域外適用 ウ. オプトアウト エ. リスクベースアプローチ 6
7. Q1 解答と解説 【正解】 イ 【解説】 自国以外の事業者にも効力を及ぼす規定を域外適用と呼びます。 ・アは必要最小限の権限のみを付与するセキュリティ原則です。 ・ウは拒否がない限りデータ処理を行う制度です。 ・エは危険度に応じて規制を変える設計思想です。 第４章 データ関連法規・倫理・セキュリティ 7
8. 4.2 日本の個人情報保護法 定義と分類 第４章 データ関連法規・倫理・セキュリティ 生存する個人に関する情報の分類 個人情報: 生存する個人に関する情報で、特定の個人を識別できるもの 個人識別符号: マイナンバーや指紋など、単体で個人を特定できる符号 要配慮個人情報: 病歴や信条など、差別や不利益を生むおそれがある情報 取得時の事前同意が必須で、オプトアウト提供は原則禁止 💡 ポイント解説 単体で個人を特定できる符号を個人識別符号と呼びます。差別やおそれのある要配慮個人情報は厳格に保護さ れます。 8
9. 4.2 日本の個人情報保護法 利用と提供 第４章 データ関連法規・倫理・セキュリティ 取得目的の特定と外部連携のルール 利用目的の特定: 取得時に利用目的を特定し目的外利用を制限 第三者提供の原則同意: 本人の同意なく第三者へ提供することは禁止 オプトアウト制度: 事前届出により本人要求時に停止する提供方式 要配慮個人情報や不正取得データはオプトアウト対象外 越境移転規制: 同等の保護水準にある国や適切な基準を満たす者へ限定 💡 ポイント解説 第三者提供は本人同意が原則ですが、オプトアウトも可能です。ただし要配慮個人情報はオプトアウトの対象 外です。 9
10. 4.2 日本の個人情報保護法 3種の加工 第４章 データ関連法規・倫理・セキュリティ 利活用を促進する各種データ加工 個人関連情報: Cookieや位置情報。提供先で個人データ化される場合は同意必須 仮名加工情 報: 他と照合しないと特定できない内部分析用データ（第三者提供不可） 匿名加工情報: 復元不可能な加工データ。手続きを経て同意なしで第三者提供が可 能 💡 ポイント解説 内部分析用の仮名加工情報は第三者提供が禁止ですが、復元不可能な匿名加工情報は第三者提供が認められて います。 10
11. 4.2 日本の個人情報保護法 安全措置 第４章 データ関連法規・倫理・セキュリティ 組織に求められる管理と報告義務 安全管理措置の4分類: 組織的・人的: 安全管理規律、体制整備、従業員教育、秘密保持規定 物理的・技術的: 入退室制限、盗難防止、アクセス制御、暗号化の導入 漏えい等報告の義務化: 権利侵害のおそれがある漏えい発生時の報告・通知義務 💡 ポイント解説 安全管理措置は組織・人・物理・技術の4領域から実施します。漏えい発生時の委員会報告と本人通知は義務 化されています。 11
12. 4.2 日本の個人情報保護法 本人の権利 第４章 データ関連法規・倫理・セキュリティ 個人情報の開示や利用停止の請求権 開示請求権: 電磁的記録など本人が希望する方法でのデータ開示を請求可能 訂正・削除請求: 事実と異なるデータの修正や不要データの削除を請求可能 利用停止・消去請求: 不適切利用や漏えい時、および権利利益が害されるおそれがある時に利用停止を 請求可能 💡 ポイント解説 本人の権利として電磁的記録での開示が請求できます。また、法違反がない場合でも権利利益侵害のおそれが あれば利用停止を請求可能です。 12
13. Q2 確認問題 第４章 データ関連法規・倫理・セキュリティ 【問題】 日本の個人情報保護法において、他の情報と照合しない限り特定の個人を識別できないように加工し、社内で のデータ分析を容易にする目的で定義された区分はどれか。 ア. 匿名加工情報 イ. 仮名加工情報 ウ. 要配慮個人情報 エ. 個人識別符号 13
14. Q2 解答と解説 第４章 データ関連法規・倫理・セキュリティ 【正解】 イ 【解説】 他の情報と照合しないと特定できないよう加工したデータは仮名加工情報です。 ・アは復元不可能なデータで、第三者提供が認められています。 ・ウは取得に同意が必須な機微情報です。 ・エは単体で個人を識別できる符号です。 14
15. 4.3 グローバルAI規制 第４章 データ関連法規・倫理・セキュリティ 国際的な規制動向と社会的課題 EU AI法: リスクに応じた適合性評価を求めるリスクベースアプローチを採用 米国の動向: 大統領令や州法による安全確保とバイアス防止の推進 ELSIの視点: 倫理的・法的・社会的課題（ELSI）への体系的な配慮が必要 💡 ポイント解説 EUのAI法に代表されるリスクベースアプローチは、AIシステムの危険度に応じて規制内容を変えるアプローチ です。 15
16. Q3 確認問題 第４章 データ関連法規・倫理・セキュリティ 【問題】 EUのAI法などで採用されている、AIシステムがもたらすリスク（危険性）の段階に応じて規制内容を変える 設計思想はどれか。 ア. エッジコンピューティング イ. ドメイン駆動設計 ウ. リスクベースアプローチ エ. マシンアンラーニング 16
17. Q3 解答と解説 第４章 データ関連法規・倫理・セキュリティ 【正解】 ウ 【解説】 危険性に応じて段階的に異なる規制を適用する手法はリスクベースアプローチです。 ・アは発生源近くで分散処理を行うインフラ技術です。 ・イは業務領域に基づきモデル設計を行う手法です。 ・エはモデルから特定データの影響を削除する技術です。 17
18. 4.4 日本のAI関連法規 AI推進法 第４章 データ関連法規・倫理・セキュリティ AI推進法による安全性と研究開発の確立 目的と基本理念: 安全性確保と利活用推進の両立。尊厳尊重と公正な競争の担保 事業者の責務: 安全性検証、バイアス排除、適切な情報公開 AI安全研究所: 安全評価手法の調査や技術基準を策定する専門機関 データ整備の促進: 高品質な学習用データ整備・提供を促す国の方針 💡 ポイント解説 AI推進法では安全性と利便性のバランスを重視しており、技術革新を阻害しないガバナンス構築と高品質なデ ータ整備を目指します。 18
19. 4.4 日本のAI関連法規 ガイドライン 第４章 データ関連法規・倫理・セキュリティ AI事業者ガイドラインの適用範囲と責務 開発者の責務: 公平性の確保、不適切な学習データの混入防止 提供者の責務: 利用規約の提示、モデルの出力バイアスの監視 利用者の責務: 入力データの著作権確認、業務適用時の最終確認責任 💡 ポイント解説 ガイドラインでは、開発者、提供者、利用者の3つに分類し、立場に応じたリスク管理の指針を示していま す。 19
20. 4.4 日本のAI関連法規 著作権 第４章 データ関連法規・倫理・セキュリティ 著作権法とAI学習データの関係 著作権法第30条の4: 情報解析目的の非享受利用であれば許諾なく学習利用が可能 例外規定の存在: 著作者の利益を不当に害する場合は無断での学習利用を禁止 💡 ポイント解説 AI学習のためのデータ解析は原則自由ですが、クリエイターの利益を不当に害する場合は著作権侵害となりま す。 20
21. Q4 確認問題 第４章 データ関連法規・倫理・セキュリティ 【問題】 日本の著作権法第30条の4において、AI学習目的で他者の著作物をデータソースとして利用する際の規定とし て適切なものはどれか。 ア. 鑑賞・享受目的でない場合、原則として許諾なく学習に利用できる イ. 商用AI開発であれば、いかなる著作物も制限なく学習利用できる ウ. AI学習に用いるすべてのデータは事前に文化庁の登録が必要である エ. 著作者の利益を不当に害する場合でも無断利用が完全に認められる 21
22. Q4 解答と解説 第４章 データ関連法規・倫理・セキュリティ 【正解】 ア 【解説】 著作権法第30条の4は、データ解析等の非享受利用では許諾なく著作物を利用できると定めています。 ・イは例外に該当する場合侵害となるため誤りです。 ・ウは事前登録制度が存在しないため誤りです。 ・エは不当に害する場合は例外として禁止されるため誤りです。 22
23. 4.5 データ倫理と評判リスク 第４章 データ関連法規・倫理・セキュリティ 信頼されるデータ活用のための設計 評判リスクへの対応: 法令順守だけでなく、偏った判断による差別で社会の信用を 失うリスク プロビナンス情報: 学習データやAI生成物の出所・作成プロセスを保証する透明性 の確保 💡 ポイント解説 法的リスクだけでなく、倫理的に公正な出所管理（プロビナンス）により透明性を高めることが重要です。 23
24. 4.5 データ倫理 マシンアンラーニング 第４章 データ関連法規・倫理・セキュリティ AIモデルから特定の情報を消去する技術 マシンアンラーニング: 特定個人のデータをモデルから選択的に忘却・削除する技 術 再学習の代替: モデル全体の初期化・再学習を避け、短時間で特定の重みだけを修 正 💡 ポイント解説 個人情報削除要求等に応じ、AIモデルから特定データの影響を選択的に削除する技術をマシンアンラーニング と呼びます。 24
25. Q5 確認問題 第４章 データ関連法規・倫理・セキュリティ 【問題】 個人情報削除要求や不適切な学習データの影響を排除するため、AIモデルから特定データの影響を選択的に忘 却・削除する技術はどれか。 ア. ディメンショナルモデリング イ. エンティティレゾリューション ウ. マシンアンラーニング エ. データリネージ 25
26. Q5 解答と解説 【正解】 ウ 【解説】 特定データの影響を削除する技術はマシンアンラーニングです。 ・アはDWHのスキーマ設計手法です。 ・イはデータの名寄せを行う技術です。 ・エはデータの処理ルートや来歴を可視化する仕組みです。 第４章 データ関連法規・倫理・セキュリティ 26
27. 4.6 セキュリティ アクセス制御 第４章 データ関連法規・倫理・セキュリティ 権限管理のモデルと設計 ロールベースアクセス制御: 役職や職務などの役割（ロール）に基づき権限を付与 属性ベースアクセス制御: ユーザーの所属、IP、時間帯、重要度などの属性で動的に 判定 最小権限の原則: 業務上必要な最小限の権限だけをユーザーに付与する基本原則 💡 ポイント解説 役割で決めるロールベースと、接続環境等の動的条件も加味する属性ベースの定義の違いを整理しておきまし ょう。 27
28. 4.6 セキュリティ データの暗号化 第４章 データ関連法規・倫理・セキュリティ 保存時と通信時のデータ保護 保存時暗号化: ストレージやDBファイルを暗号化し、持ち出しや紛失時の漏えいを 防止 通信経路暗号化: ネットワーク上の通信をTLS/SSL等で暗号化し、盗聴や改ざんを 防止 💡 ポイント解説 保管データの暗号化（保存時）と、通信データの暗号化（通信経路）の双方が重要です。 28
29. 4.6 セキュリティ データマスキング 第４章 データ関連法規・倫理・セキュリティ 機微情報の隠蔽と秘匿化 静的マスキング: 開発環境等への提供前に、機微な情報を永続的に塗りつぶす処理 動的マスキング: クエリ実行時、ユーザーの権限に応じてリアルタイムに表示を伏せ る処理 💡 ポイント解説 あらかじめ加工する静的マスキングと、閲覧権限に合わせて動的に伏せる動的マスキングの違いを抑えましょ う。 29
30. 4.6 セキュリティ インシデントと監査 第４章 データ関連法規・倫理・セキュリティ 異常検知と不正運用の検証体制 インシデント対応: 連絡網整備、原因システムの隔離、CSIRT体制との連携 監査ログの取得: DBへのアクセス・変更ログを改ざん防止対策の上で確実に保管 💡 ポイント解説 防御技術だけでなく、不正を検知・追跡する監査ログの保管と、緊急対応を行うCSIRTの連携が不可欠です。 30
31. Q6 確認問題 第４章 データ関連法規・倫理・セキュリティ 【問題】 機微情報に対し、アクセスするユーザーの所属やIPアドレス、時間帯等の環境情報を組み合わせて動的にアク セス権限を判定・制御する手法はどれか。 ア. ロールベースアクセス制御 イ. 属性ベースアクセス制御 ウ. 静的マスキング エ. 保存時暗号化 31
32. Q6 解答と解説 第４章 データ関連法規・倫理・セキュリティ 【正解】 イ 【解説】 属性や環境情報を組み合わせて動的に判定する方式は属性ベースアクセス制御です。 ・アは職務（ロール）のみを基準にする方式です。 ・ウはデータをあらかじめ変換して隠蔽する技術です。 ・エはストレージ上のファイルそのものを暗号化する技術です。 32
33. 総括 第4章のまとめ 第４章 データ関連法規・倫理・セキュリティ 個人情報保護の国際規制: GDPR等のグローバル規制と、日本の個人情報保護法を 順守。 AI関連の法規と倫理: AI推進法、事業者ガイドライン、著作権法（30条の4）、マシ ンアンラーニングの理解。 データセキュリティ技術: 属性ベース制御、通信・保存時の暗号化、静的・動的マ スキングと監査ログの確立。 33