導入における不安…セキュリティって大丈夫？
- キーワード：
MAツールのセキュリティ対策を確認する方法
MAツールのセキュリティ面は、基本的に「ツールを提供しているベンダーの対策内容に依存する」と考えてください。ベンダーによっては第三者によるセキュリティ監査や認定を受けているので、選択基準のひとつになるでしょう。
チェックしたいセキュリティ認証
第三者によるセキュリティ認定のなかでも、とくにチェックしたいのは以下の2つです。
Pマーク（プライバシーマーク）
Pマークは、「JIS Q 15001 個人情報保護マネジメントシステム-要求事項の基準」に適合した事業者に使用が認められるマークです。「個人情報の取扱いが適切な事業者」と認定されたことを示します。
ISMSクラウドセキュリティ認証
ISMSクラウドセキュリティ認証は、クラウドサービスにおける情報セキュリティの管理が適切であると証明する第三者認証です。クラウド型のMAツールを導入するなら、チェックしておくとよいでしょう。
MAツールの運用時にセキュリティ面で注意したいこと
MAツールのセキュリティ対策はベンダー側に委ねられますが、運用時に利用者側で注意したいポイントもあります。
IDとパスワードの管理を徹底する
ツールの対策が万全でも、利用者のミスで個人情報が漏洩する可能性があります。とくに、ログイン時のIDとパスワードは厳重に管理しましょう。定期的なパスワードの変更や、簡単なパスワードを使用しないなどの対策も欠かさないようにしてください。
関連法律を確認する
MAツールを運用する前には、最低でも「個人情報保護法」と「特定電子メール法」を確認しておく必要があります。
個人情報保護法
企業や団体に向けた個人情報保護に関する法律です。MAツールはリードの個人情報を利用するので、同法の対象となります。
特定電子メール法
MAツールを使ってメールを配信する場合は、特定電子メール法に沿って行う必要があります。とくに注意したいのは以下の2点です。
1.メールは許可を得た送信先にだけ配信する
従来はメールの送信が自由だったため、受信者が受け取りを拒否したい場合は個別に受信拒否通知をしていました。しかし、平成20年に「迷惑メール対策関連の改正法」が施行され、受信者の同意がなければメールを送信できなくなりました。
2.メールには配信者の情報や配信停止方法を記載する
「特定電子メールの送信等に関するガイドライン」では、送信するメールの本文内に「配信者の住所・名称・配信を停止する方法・問い合わせ先」などを記載しなくてはならないと定められています。
プライバシーポリシー（個人情報保護方針）を制定する
個人情報を取り扱う企業は「プライバシーポリシー」を作成してホームページに掲載しなければいけません。プライバシーポリシーには、以下の項目を記載することが義務づけられています。
・個人情報の利用目的
個人情報の収集方法と利用目的を明示します。
・個人情報の管理
個人情報の漏洩や不正アクセスを防ぐために、どのような対策をしているのかを記載します。
・開示等の請求
個人情報の提供者が自分の個人情報を開示・削除する場合には、どのような手続きが必要なのかを記載します。
・データの共同利用
取得した個人情報を系列企業などで共用する場合は、その旨を明記します。
・第三者への提供
第三者への提供は原則として禁止されているため、第三者提供は行わないことを明記します。
・問い合わせ窓口
個人情報の提供者が問い合わせをする際の連絡先を記載します。
クッキーポリシーを制定する
MAツールで個人情報を取り扱うなら「クッキーポリシー」の作成も必要です。クッキーポリシーには、最低でも以下の内容を記載しましょう。
- クッキーの解説
- クッキーの利用目的と保存期間
- クッキーの削除や無効化する方法
作成したクッキーポリシーは、「クッキーについて」などのページや条項を設けてホームページの閲覧者に公表します。
SPFとDKIMの設定をする
SPFとDKIMは、電子メールを送信する際の認証技術です。悪意のある第三者が企業を偽装してメールを送る「なりすましメール」の防止に役立ちます。
SPFはIPアドレスベースの認証技術を使って、差出人のドメイン詐称を検知します。電子署名ベースの認証技術であるDKIMは、メール本文の改ざんなども検知できます。SPFとDKIMはそれぞれ役割が違うので両方の設定が必要です。
まとめ
今回は、MAツールの運営におけるセキュリティ対策などについて、詳しくご紹介しました。
MAツールのセキュリティ対策が気になる場合には、「セキュリティ面の外部監査を受けているか」などを参考に選ぶといいでしょう。個人情報の漏洩はコンプライアンス違反にもつながるので注意が必要です。
MAツールの脆弱性はベンダーに依存しますが、運用中の個人情報漏洩などは、利用者が万全の態勢で防がなければいけません。顧客の信頼を失わないようにするためにも、関連法律を改めて確認したうえで、セキュリティ対策を講じましょう。