プライバシとセキュリティの要求工学の統合化するフレームワーク
吉岡信

和†1,†2

本稿では，プライバシを配慮したシステムを構築する際の要求に関する課題を整理し，その課題を解決するフレームワークを提案する．

Research Challenges on Integration of Privacy into Security Requirements Engineering
Nobukazu Yoshioka†1,†2
We illustrate research questions on privacy requirements which we need to consider during
development of a system. We, then, propose a framework to answer the questions.

1. は じ め に切り離して考えることはできない．なぜならば，プライバシ要求はセキュリティ要求と相互に依存している

近年，クラウド上のサービスやモバイルサービスをからである．OECD が 1980 年に採択したプライバシ・提供する際に，プライバシが問題となることが多くガイドラインには，安全保護の原則として個人データなってきている．ウェアラブル機器など個人が身につの合理的安全保護措置が含まれている．つまり，個人ける電子機器から得られるセンサー情報を使った便利に関するデータのセキュリティの担保がプライバシのなサービスが増え，利用者は個人に関する情報をサー担保の必要条件となっている．また，セキュリティ要求

ビスに提供する機会が多くなってきている．これらのを考慮する際には，個人の確認を前提とする事が多く，情報と，決済や認証のために必要な個人を特定する情これがプライバシ要求と対立する可能性がある．その報（個人情報）を組み合わせると簡単にプライベートため，プライバシ要求とセキュリティ要求は同時に考⋆1な情報 を知ることができるようになる．

慮し，適切な要求を決定する必要がある．そのため，

ここでプライバシの配慮は，サービス利用者の権利

プライバシ要求とセキュリティ要求の抽出・分析・規を守るために必要である．そして近年プライバシ関連定といった双方の要求工学を統合化したフレームワーの法案が整備されるなど，プライバシは社会としてもクが必要である．

重要な関心事である．このプライバシの考慮は，サー

本稿では，プライバシとセキュリティの関心事に関ビスの提供方法や内容に影響を及ぼすため，要求仕様する要求工学を統合化する際の技術的課題を整理し，の策定段階から考えておく必要がある．しかしながら，その課題を解決する統合フレームワークを提案する．

プライバシをどこまで考慮すべきかは，個々の利用者の主観や社会性に依存し，時間や状況によっても変化するため，容易に明確にできない．また，プライバシ

2. プライバシをセキュリティ要求工学に統合する際の研究課題の保護は，一般にサービスの利便性やセキュリティ，プライバシ要求の抽出・分析・規定をセキュリティ機能性等と相反することがあり，適切にその要求を決要求工学に統合する場合，大きく分けてプライバシ固定することが難しい．

有の課題と，両者の要求を統合する時の課題の 2 種類

加えて，プライバシ要求の考慮は，セキュリティをの研究課題がある．以下で，それぞれの課題に関連したリサーチ・クエスチョンを整理する．

†1 国立情報学研究所 GRACE センター
GRACE Center, National Institute of Informatics†2 総合研究大学院大学 複合科学研究科 情報学専攻
The Graduate University for Advanced Studies (SOKENDAI)⋆1 本稿では利用者がプライベート（他者に秘密にしたい）と思う情報をプライバシ情報と呼ぶ．

2.1 プライバシ固有のリサーチ・クエンチョン
プライバシは，個人の主観や個人が置かれる状況に左右され，個々人や状況によりその要求は異なってくる．また，個人が考えている都合と，開発したいシステムとの関係は必ずしも明確ではない．そのため，個人が求めるプライバシ要求（もしくはプライバシポリシー）を抽出し，その要求を満たすサービスの仕様に  

関連づけるためには，以下のリサーチ・クエンチョンに答える必要がある．

(RQ1:抽出方法) 曖昧で一貫性がなく，暗黙的である個々のプラバシポリシーをどう明確化するか？

(RQ2:関連付け) システムに関連するプライバシポリシーをどう選択し，関連付けるか？

(RQ3:範囲の規定) システムでは，どこまでの範囲のプライバシポリシーを受け入れ，それ以外のポリシを持つ顧客⋆1 を取り扱かわないか？

        

facts to be private

An integrated Method for Security and Privacy                                                      
                

図 1 プライバシとセキュリティ要求の統合フレームワーク

ここで，(RQ3) で規定した範囲外のポリシを持つ顧客に対しては，システム利用に関する留意事項に利用にしておく．次に，(RQ2) に答えるため，プライベート関するプライバシポリシーを明記し，これに合意できな事象と，システムが利用可能な情報や振る舞いとのない顧客は利用しないよう呼びかけるなどの運用が必

関連を整理する．具体的にはプライベートな事象が知要となる．

られたくない人に知られてしまう可能性があるシステ

2.2 統合化に関するリサーチ・クエンチョン

ム上の情報やイベントを関連付け，それらの情報をプ

1 章で述べたようにプライバシ要求とセキュリティライバシ資産として規定する．この段階でプライバシ要求はお互い密接な関係がある．そこで，プライバシ資産として規定できれば，セキュリティ資産と同様，要求の抽出・分析・規定を従来のセキュリティ要求工

その保護はセキュリティの従来手法が適用可能である．

学に統合する場合，以下のリサーチ・クエンチョンにこれは，(RQ4) の解答につながる．

答える必要がある．

さらに，知られたくない人に対する知られたくない(RQ4:帰着) どこまでのプラバシ要求をセキュリティ事象は，従来のセキュリティ要求の機密性 (Confiden-要求工学の問題に帰着させられるか？既存の手法tiality) の概念を拡張して扱うことができる．セキュリで代用できる部分はどこか？

ティ要求では，機密性の定義を公開相手と内容といっ(RQ5:拡張) 既存の手法で不足している部分はどこた単純な形式で規定することが多い．しかしながら，か？既存の手法をどう拡張すればよいか？

プライバシ要求では公開相手や内容の抽象度（匿名の(RQ5:競合発見と解決) プライバシとセキュリティ度合い）が状況によって変化するため，それらに対応の要求の競合をどのように発見し，それを解決すするための拡張が必要である．秘匿性に加えてリンクるか？

可能性など，セキュリティ要求にない概念も取り扱う

3. プライバシとセキュリティ要求を統合化した要求分析フレームワーク必要がある．

(RQ5) に対しては，セキュリティとプライバシ要求が競合するパターン，およびその解決のパターンを提2 章で述べたリサーチ・クエスチョンに答えるため示する．競合の解決には，どちらかの要求を優先させに，プライバシとセキュリティ要求を統合化した要求るなどの緩和パターンやどちらの要求も同時に満たす

分析フレームワークの概念図を図 1 に示す．

Win-Win パターンを開発者に提示する．そして，こ本フレームワークでは，まず，(RQ1) に答えるため，れらのパターン間の関係を整理したセキュリティとプ

顧客のプライバシに関する考え方（プライバシニーズ）

ライバシに関するパターン言語を開発者に提供する．

をマーケティングの技術を活用して整理し，典型的なターゲット顧客が考えるプライベートな事象を規定す

4. お わ り にる．マーケティングの技術を使って，ターゲット顧客

本稿では，プライバシ要求に関する課題と，それをを規定することで，(RQ3) の扱う範囲が明確になる．

セキュリティ要求工学に統合する際のリサーチ・クエ

また，上記とは並行してシステムの機能要件を規定スチョンを整理した．そして，リサーチ・クエスチョンに解答するための統合フレームワークを提案した．

⋆1 本稿では，システムを利用する可能性のある人を “顧客” と呼び，システムを実際に利用する “ユーザ” と区別する．

今後，このフレームワークを詳細化し，具体的な提案につなげていく予定である．