情報セキュリティにおける「オープン性」の原則とは？基本概念から実践ポイントまで解説

オープン性の原則とは

オープン性（Openness）とは、誰もが対等な立場で参加できる透明なインターネット標準の策定プロセスや、誰もが実装できる非独占的なオープンプロトコルを含む技術的アプローチを指します。この原則は、多様な発想やアイデアが生まれる土壌をつくり、特別な承認を得ることなくインターネットアプリケーションやサービスを開発・展開できる自由度をもたらします。

多次元的なセキュリティ思考とオープン性

オープンスタンダード（開放規格）、オープンデータ、公開API、オープンなプロセス、オープンソース、さらに柔軟性・カスタマイズ性・拡張性を備えたオープンアーキテクチャといった観点から、IoTセキュリティのマインドセットを構築する必要性を定義するため、「認識」「評価」「課題」という3つの次元から取り組むセキュリティ思考が提示されています。

OSSによるサイバーセキュリティ対策への応用

オープン性の原則は、OSS（Open Source Software）の手法をサイバーセキュリティ問題の解決に応用するものでもあります。OSSのアプローチでは、ユーザーが目的を問わず利用し、研究・改変・再配布できることを前提に、アプリケーションやドキュメントといった知的成果物を協働で開発・維持していきます。ここでいうサイバーセキュリティ上の問題とは、コンピュータシステムおよびそれが構成要素となるネットワークにおいて、機密性・完全性・可用性が欠如している状態、あるいはその可能性（脆弱性）を指します。

IoTシステムにおけるオープン性とセキュリティの課題

IoTシステムにおけるオープン性は数多くのメリットをもたらしますが、セキュリティが自動的に保証されるわけではありません。セキュリティとプライバシーは業界全体の最優先事項となっていますが、特にセキュリティを本業としない中小規模のIoTベンダー（多くはスタートアップ企業）にとって、安全なIoTインフラを構築することは大きな挑戦となっています。

個人情報管理に関する方針の明示

オープン性の原則では、個人情報の取り扱いに関する方針を明確に文書化し、求める人すべてに提供することが求められます。この原則には以下の要素が含まれます。

• すべての組織（機関）は、明確なプライバシーポリシーを策定し、求められた場合にはこれを提供しなければなりません。
• これは、プライバシーへの配慮と情報セキュリティへのコミットメントを示すものです。
• また、公衆の信頼向上にもつながります。プライバシールールはIPPs（Information Privacy Principles：情報プライバシー原則）に基づいて定めるべきです。
• プライバシーポリシーは広く掲示され、容易にアクセスできるものであるべきです。ウェブサイト上にある場合は、ダウンロード可能な形式にしておくことが望まれます。
• 組織がウェブサイト経由で個人データを収集している場合は、個人情報を収集するすべての場所にプライバシーポリシーへのリンクを設置すべきです。
• プライバシーポリシーは、コミットメントを前向きに表明する文章から始まり、明快かつ平易で読みやすい言葉で記述されるべきです。
• データプライバシーに関する追加の問い合わせに対応できるよう、組織の連絡先情報も提供すべきであり、こうした問い合わせを処理する体制を整えておく必要があります。
• 組織は、保有する個人情報の管理方針を明確に定めた文書を、公衆が入手できる形で提供すべきです。
• 本人からの請求があった場合、組織は合理的な措置を講じ、保有する個人情報の種類、その情報を保有する理由、そして収集・保管・利用・開示の方法について本人に通知すべきです。