先日、PayPayに次いで、7Payでも不正アクセスが発生し、サービスのセキュリティ対策に大きな関心が集まりました。今回の件で、こうした決済サービスを使うことに不安を覚えた人も少なくないでしょう。世界に目を向けてみても、個人情報の漏洩が発覚したFacebookのCambridge AnalyticaスキャンダルやEUでのGDPRの施行など、プライバシーとセキュリティ対策が業界における重要な論点となっていることがわかります。
プライバシーとセキュリティの問題は、サービス提供企業のブランドを傷つけるだけでなく、業界全体への不信感を高めることにもつながりかねません。各企業によるIT活用が進む中、プライバシーとセキュリティに対する企業のスタンスは、今後、企業ブランドの価値を決定づけるものになるでしょう。
人々の理解と安心が得られるサービス設計とはどのようなものでしょうか。今回、IT業界に造詣の深い、大谷さんにアップルの取り組みを例に解説していただきました。
これまで、プライバシーやセキュリティのための技術は、従来からある仕組みに後付けで追加されることが多かったといえます。
ごく単純な例を挙げると、インターネットの普及期におけるコンピュータのアプリケーションは、どのようなサイトからでも自由にダウンロードしてインストールできることが当たり前でしたが、そのために知らぬ間に悪意あるウィルスやマルウェアなどに感染し、その被害が広まる結果となりました。
そして、セキュリティ関連のソフトハウスが、アンチウィルスのユーティリティを開発し、ユーザーはそれを使ってウィルス感染を防いだり、感染したウィルスを駆除したりするようになり、OSの供給企業も新たなセキュリティ上の穴を防ぐためのパッチやアップデートを提供し続けてきたわけです。
しかし、この方法では、新しいウィルスが出現するたびに、それに関する情報を更新して、対処し続けることになります。それでも、更新の遅れや漏れによって、感染を防ぎ切ることはできなかったのです。
このような対症療法的なやり方は、ユーザーに対して「自分の身は自分で守れ」といっているようなものでした。本来は、OSやサービスを提供する企業自身が、自社の製品を安心して使えるようにするべきであるにもかかわらずです。この点は、今後、オンラインでサービスを提供する企業が、常に意識する必要のある考え方といえます。
ところが、長期に渡って建て増し的な改良を受け、後付けでプライバシーやセキュリティを強化してきた一般的なコンピュータの仕組みの中では、こうした考え方を徹底することが難しい面がありました。
しかし、そんな中でも、アップルは対症療法ではなく、システム設計からユーザーのプライバシーとセキュリティの安全を確保する方針を打ち出してきた企業です。アップルが新しいプラットフォームであるiPhone（iOS）のアプリ開発をサードパーティに開放するにあたって採用した対策が、アプリの審査を行い、安全であると確認されたものだけ、専用のアプリストアからのみダウンロードできるようにし、インストールも自動で行えるようにするというものでした。
このように、システムの設計時点から個人情報の保護やデータの安全性を考慮した仕様を盛り込むことを、プライバシー・バイ・デザイン、およびプライバシー＆セキュリティ・バイ・デザインと呼びます。
アプリストアの開設は、当初、開発者の自由を妨げる可能性があり、有料アプリに関して配信手数料を取るための方策ではないかと賛否両論を呼びました。また、アップルの審査をかいくぐって、ユーザーが入力した情報を自社のサーバーに送るなどしていたアプリが発見されるなど、対策が万全ではない部分も残っていたのです。
しかし、それはある意味で、過去に例のないことを実行する上での通過儀礼のようなものでした。もちろん、今でもAndroidの自由さを好む人たちもいますし、審査の裏をかこうとする試みも続いています。
それでも、Androidに比べてiOSのほうがプライバシーやセキュリティの問題を気にせずに使えることは事実であり、アプリ審査の精度も高まって、不審なアプリは逐次排除されるようになりました。ポイントは、これらのことが、ユーザーのリテラシーとは関係なく、OSやサービスの提供者により責任を持って行われているということです。
アップルのプライバシー＆セキュリティ・バイ・デザインの方針は、後に開始したApple PayやApple Card（2019年の夏に米国からサービス開始されるクレジットカード）でも貫かれており、Apple Payの場合にはカード番号が業者に渡ることはありませんし、Apple Cardに至ってはカード表面にカード番号の記載がなく、ユーザーはiPhoneのアプリを使っていつでもカード番号を変更できるようになっています。
これは、誰かに自分のカード番号を教える必要が出て、しかし相手を完全に信頼できない場合などに安心です。さらに、CVV（カード番号とは別の３桁のセキュリティコード）が毎回変わるため、万が一、カードがスキミングされたり、コピーされたりしても高い安全性が確保される仕組みです。
そして、先日のアップルのWWDC（世界開発者会議）では、様々なオンラインサービスの登録とログインをApple IDを使って行えるようにする"Sign in with Apple"も発表されました。これは、サードパーティサービスへのログインを必要とするアプリ開発者に対して実装が求められる機能です。
"Sign in with Apple"では、サービスの提供者に必要最小限の情報しか渡されない上、ユーザーが希望すれば、本来のメールアドレスとは異なるアドレスを自動生成して登録に利用し、スパムなどの恐れがある場合などに、いつでもそのアドレスを無効にできます。
このようにすることで、登録情報を使ってユーザーのプロファイリングが行われることを防ぎ、プライバシーを保ったまま、オンラインサービスを利用できる環境を整えようというわけです。
なお、いくらiOSレベルのプライバシーを強化しても、たとえばグーグルのサーチエンジンを利用する限りは、その検索結果がグーグルの広告ビジネスに利用されてしまうことから、抜け道はあるという意見も耳にします。これに対する筆者の考えは、アップルが自社でサーチエンジンも準備しているのではないか、というものです。
今のところ確たる証拠はありませんが、アップルがプライバシーとセキュリティに関する方針を徹底していくならば、当然、その延長線上に想定される動きでしょう。逆にいえば、そこまでして初めて、アップルのプライバシー＆セキュリティ・バイ・デザイン戦略は、完成するともいえるのです。
Moneytree LINKはお客さまのプライバシーとセキュリティを第一に考えたサービス設計を行っています。
プライバシー・バイ・デザインの理念に基づき、MT LINKを経由して外部のサービスと連携する場合は、必ず利用者である個人の同意の元に行います。マネーツリーでアカウント登録者の取引明細を解析して広告を配信するようなビジネスは一切行っていません。セキュリティに関しても、PCIDSS/FISC/ISMS認定済みのインフラを採用し、国内トップクラスのセキュリティーを確保できるよう努めています。
マネーツリーのプライバシーとセキュリティへの取り組みが高く評価され、MT LINKは現在50社以上の金融機関や事業会社にご利用いただいています。
テクノロジーライター，AssistOnアドバイザー，自称路上写真家。Macintosh専門誌， デザイン評論誌， 自転車雑誌などの誌上でコンピュータ，カメラ，写真，デザイン，自転車分野の文筆活動を行うかたわら，製品開発のコンサルティングも手がける。
当社ウェブサイトは、外部サイトへのリンクを含んでおります。リンク先サイトでの個人情報への取扱いに関しては、そのリンク先サイトでの個人情報保護方針をご確認ください。 当社の個人情報保護方針はそのリンク先サイトで提供されている内容に責任を負うものではありません。
