Core Concepts
ソフトウェア開発ライフサイクルの様々な役割におけるプライバシーの認識、実践、知識の多様性を明らかにし、プライバシーに配慮したソフトウェア開発を支援するための課題と方向性を示す。
Abstract
本研究は、ソフトウェア開発ライフサイクル(SDLC)の様々な役割を担う362人の参加者を対象に、プライバシーに関する認識、経験、行動を調査した混合研究手法の調査結果をまとめたものである。
主な知見は以下の通り:
ソフトウェア開発チームの中でプライバシーの定義は多様であり、ロール間で大きな違いがある。プライバシーに対する包括的なアプローチの必要性が示された。
多くの組織でプライバシー影響評価(PIA)が実施されておらず、実施されている場合でも開発の後期段階で行われることが多い。PIAの作成プロセスは組織によって異なり、部門間の連携が重要である。
プライバシー方針の作成においては、法的専門家への依存が高く、規制への理解や方針の完全性確保が課題となっている。
開発者はプライバシー・バイ・デザイン(PbD)手法やプライバシー強化技術(PET)の活用が限定的であり、知識の向上が必要である。
特に品質保証(QA)チームはプライバシーに関する知識が乏しく、法務やセキュリティチームに依存する傾向がある。
組織にプライバシー責任者(CPO)がいる場合、従業員の組織のプライバシー・セキュリティ対策への信頼は高いが、実際のプライバシー実践には大きな影響を与えていない。
これらの知見は、ロールに応じたプライバシー支援ソリューションの必要性と、教育・トレーニングの重要性を示唆している。
Stats
プライバシー違反件数は2012年の447件から2023年には2100件に増加し、45%の企業が被害を受けている。
362人の参加者のうち、プライバシー影響評価(PIA)を実施したのは14%のみであった。
開発者の46%がプライバシー・バイ・デザイン(PbD)手法を知っているが、そのうち57.1%しか実際に使用していない。
開発者の56.63%がプライバシー強化技術(PET)を使用しているが、18.37%は使用していない。
Quotes
"プライバシーとは、個人の情報がその個人の同意なく他者に開示されないことを保証することである。"
"ユーザーデータへのアクセスを必要最小限に制限し、アクセスログを管理することが重要である。"
"プライバシー方針の作成においては、法的要件の理解と、方針の完全性確保が大きな課題である。"