概要
予約、会員管理、通販などのシステムを新しく作る事業責任者・発注担当者向けの記事です。「個人情報を安全に管理する」という要望を、集める項目、保存先、利用する人、保存を終える時期まで具体化します。開発担当者は、その判断をデータ設計と受け入れ試験へつなげられます。
OWASP（オワスプ）は、ソフトウェアの安全性を高めるための資料やツールを無料公開する非営利団体です。
OWASPの紹介
個人情報はデータベースの外にも残る
申込画面で入力した情報は、注文データだけでなく、通知メール、問い合わせ履歴、配送用CSV、操作ログ、バックアップへ移ることがあります。まず自社のサービスで実際にどこへ移すかを描きます。「データベースを暗号化する」という一つの対応で、すべての保存先を扱ったことにはできません。OWASPも、保存する情報を減らすことと、守りたい脅威に応じて暗号化の場所を選ぶことを扱っています。S-02
確認された事実：対象の情報を区別して読む
ローソンID・アプリ予約の2026年の事例では、ローソンID側は氏名・メールアドレスに加え、入力されていた場合の住所・電話番号等が対象でした。アプリ予約側では氏名・電話番号・カード番号の一部が漏えいしたと説明されています。サービスや登録状況によって項目が異なります。同社の発表「2」
ファンケル・アテニアの2026年の事例では、氏名、住所、メールアドレス等の会員情報が漏えいしました。一方、決済情報とメインのパスワードは対象外で、一部のハッシュ化された二次パスワードは対象に含まれると説明されています。両社の発表「2」
ここで共通して確認できるのは、影響を情報の項目ごとに区別していることです。どの項目の収集が不要だったか、保存期間が長すぎたか、どの暗号方式を使っていたかは、これらの発表から判断しません。
一般化したリスク：必要性と流れが不明なまま情報が増える
使う予定のない情報を集めたり、一時出力したファイルの所在を追えなくしたりすると、保護・削除・影響調査の対象が増えます。反対に情報を減らす際も、配送や不正利用対応など、実際の業務に必要な情報を残す判断が要ります。何を守るかを決めてから、保存とアクセスの設計を選ぶ順序にします。OWASPの保存情報の最小化
推奨する設計と選択判断
項目ごとに、目的・保存先・終了条件を決める
本記事では、画面の入力項目を決める前に、次の要件を作ることを勧めます。以下の用途は説明例で、実際の業務要件に置き換えます。
| 項目・用途の例 | 要件定義で決めること | 確認方法 |
|---|---|---|
| 配送のための住所 | 注文単位で必要か、会員情報にも保存するか | 注文・会員・配送会社への送信先を照合 |
| 年齢確認のための情報 | 生年月日全体が必要か、確認結果で足りるか | 業務上必要な精度と保存理由を確認 |
| 問い合わせの連絡先 | 対応後も必要な期間と削除担当 | 問い合わせ終了から削除まで試す |
保存期間を全項目一律にすると、業務に必要な記録を早く消すか、不要な記録まで残すことになります。期間・起算日・延長条件を項目や用途に応じて決め、法令等で必要な保存と区別して記録します。個人情報保護委員会の通則編は、利用目的に応じた保存期間等の設定と、不要となった個人データの消去への努力を扱っています。S-01「3-4-1」
閲覧・出力・外部送信を別の権限にする
個人情報保護委員会は担当者と取扱範囲を限定するアクセス制御を示し、OWASPは各要求での権限確認を勧めています。S-01「10-6」・S-03
設計では、注文を一件見る権限と、全件をCSVへ出す権限を分けます。問い合わせ対応者には一部を伏せた画面を用意し、配送担当には業務に必要な項目だけを渡す、といった分担を検討します。出力を制限すると作業が増えるため、必要な承認者と受付方法も決めます。試験では権限の異なるアカウントで、画面、API、出力ファイルの内容を実際に比較します。
暗号化は「何から守るか」と鍵の扱いを組にする
OWASPは、暗号化したデータと鍵の分離、脅威に応じた暗号化箇所の選択を扱っています。ディスクの暗号化は、正当なアプリケーションが情報を返す処理の権限確認を代わりに行うものではありません。S-02
開発側には、盗難、バックアップ流出、保存先への不正アクセスなど、想定する状況と保護できる範囲を説明してもらいます。鍵を別管理するなら、誰が復号できるか、鍵が使えなくなった場合に復旧できるかも確認します。項目ごとの暗号化は検索や集計を複雑にするため、必要な利用方法と合わせて選びます。パスワードは本人確認用の秘密として、復号して読める保存ではなく、専用の安全なハッシュ化を使う対象です。S-02
ログ・検証環境・バックアップまで終了条件を持つ
本記事では、検証用には架空のデータを用意し、本番の個人情報をそのまま複製する運用を避けることを勧めます。例外的に必要なら、対象と閲覧者、削除日、承認者を記録します。ログも入力内容を丸ごと残す前提にせず、調査目的に必要な項目を選びます。OWASPは、パスワード、トークン、機微な個人情報等をログへ直接記録することを通常避けるよう示しています。S-04
退会時には会員の表示を消すだけで完了とせず、注文、外部サービス、一時ファイルへの処理を決めます。バックアップをすぐ変更できない構成なら、保持期限とアクセス制限を設け、復元時に削除済みデータを再び通常利用しない処理も設計します。試験用の一人分のデータを使って、登録から出力、削除、復元後の扱いまで追うと、抜けを確かめられます。