TMI総合法律事務所 瀬戸 一希様 インタビュー

資格取得の背景・動機

Q 弁護士として情報処理安全確保支援士資格を取得しようと思ったきっかけは何ですか？

企業の営業秘密漏洩に関する案件を担当する中で、情報セキュリティの知識が不可欠だと強く感じるようになりました。もともと情報技術にも関心があったため、より専門性を高める目的で資格取得を考えるようになりました。

企業法務関する質問

Q 企業法務の業務を進める中で、情報セキュリティ上の課題を感じるのは、どんな場面でしょうか？

ISMSで用いられる情報セキュリティの用語と、法律分野で使われる用語の間には、微妙なニュアンスの違いがあり、説明に工夫が必要となる場面があります。

例えば「アクセスをどのように管理し、守るか」という点を考えると、国際的な標準規格ではアクセス権者の設定方法など、かなり厳格な基準が求められています。しかし、法律の世界では必ずしもその基準が“絶対条件”ではありません。
営業秘密の管理においても、法的には企業の規模や状況を問わずに一律の要件が課されるとは限りません。そのため、国際規格が示すグローバルスタンダードと、法的に求められる水準との間にズレが生じることがあります。法務部としては「そこまで厳格にしなくても法的には問題ない」と判断する一方、情報セキュリティ部門としては「安全性の観点からはもっと対策が必要」と考える、というすれ違いが時々起こります。
逆に、情報セキュリティ側が営業秘密を強固に守るあまり、過度に厳しい運用を導入してしまい、業務上の使い勝手が損なわれることもあります。
こうした“求める水準のギャップ”が、現場でしばしば課題になる点だと感じています。

サイバー犯罪・刑事事件対応

Q サイバー犯罪の案件を担当した経験はありますか。また、試験で学んだ知識はどのように役立ちましたか？

直接的には担当経験はないですが、情報漏洩に関する緊急の法的措置が必要な案件では、一定の前提知識がある関係で、技術担当者とのコミュニケーションが円滑に進んだので、時間が限られている中で見通しが立てやすくなることの意義を実感しました。

よくあるケースとして、企業が営業秘密として管理している顧客名簿などの情報を、社員が社用PCからUSBメモリなどに無断でコピーし、持ち出してしまうという事案があります。このような案件は、私が担当する中でも非常に多く見られます。その際に重要になるのが、「どのような経路で情報が持ち出されたのか」という点です。
先ほどUSBを例に挙げましたが、情報セキュリティ対策としてUSBの使用を禁止し、ポートをロックしている企業も少なくありません。だからこそ、まずは「USBポートは適切にロックされていたのか」、そして「アクセスログは正しく取得・管理されていたのか」といった点を丁寧に確認していく必要があります。ログが残っているかどうか、といった点を早い段階で確認することが重要です。情報がどこから漏洩したのかイメージすることが重要となります。

例えば、社員が無断で情報を持ち出していたことが判明した場合、その相談を受けた段階で「どの経路が疑わしいのか」をある程度推測しながら、必要な質問や確認事項を整理することが必要な場合があります。こうした点は、実務経験から得られる大きな強みだと感じています。漏洩が発覚した情報について法的措置を講じる場合、迅速な対応を求める依頼者も少なくありません。そのため、相談を受けた際には、すぐに事実関係のヒアリングを行う必要があります。情報漏洩経路の見通しや、確認すべきポイントの把握が重要であり、こうした初動の判断が後の手続きにも大きく影響します。

個人情報保護・プライバシー対応

Q 個人情報保護法やプライバシー対応において、情報セキュリティ知識がどのように役立っていますか？

情報漏洩への対応や予防には、情報セキュリティに関する用語の知識が、事実関係の把握のために必要な場面は少なくなく、事案の理解に役立っていると感じます。
もともと私が関心を持っていた個人情報保護の分野では、個人情報漏洩への対策が重要なテーマでした。現在は営業秘密の案件を扱うことが多いのですが、個人情報と重なる部分も多く、例えば顧客名簿の流出といった事案は、近年確実に増えていると感じています。

一番役に立ったと感じているのは、さまざまな専門用語の意味を正しく理解できるようになったことです。
これらの概念が身についていないと、お客様との会話の中で「それはどういう意味ですか？」というやり取りが何度も発生してしまい、議論の流れが途切れてしまう場面もあります。
その点、情報処理安全確保支援士試験勉強を通じて基礎的な概念を体系的に理解できたことは、大きなメリットだと感じています。

今後の展望

Q 情報セキュリティの専門性を今後どのように活かし、どんな分野に挑戦したいですか。

情報セキュリティがこれまで重視されてこなかった分野にも、新しい知見からの法的助言が可能になれば、企業に提供できる付加価値は上がると思っています。私の担当することのある業務分野で言えば、M&Aや研究開発の場面では徐々に重要性が認識されつつあります。今後、企業のニーズに対応できるようになるだけでなく、まだニーズを感じていない企業のご担当者の皆様にも必要性を理解してもらえるようになっていきたいと考えています。