# プライバシーエンジニアリング ## 定義 プライバシーエンジニアリングとは、コンプライアンス(法令遵守)の達成にとどまらず、技術・管理・法務に関する厳格な要件のもとで利用者に信用してもらえるプロダクトを実現するための創造的なソリューション開発の取り組みである。「これはプライバシーか否か」に答える単一のチェックリストは存在せず、職業・地位・政府などの属性が異なるユーザーごとにプライバシーへの要望が全く異なりうるため、ある程度は主観に左右される。この特徴から「ユーザーの尊重(user respect)」——このプロダクトのプライバシーに関する告知やポリシーを見て、自分は、あるいは異なる背景を持つユーザーは適切に機能すると感じられるか、という問いを立てる視点——が重視される。プライバシーエンジニアリングは、人生経験・人口動態・個人的な哲学を幅広く取り入れて多様性を意図的に追求する必要がある。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.2) プライバシーに関する作業は、防護(Guard、プロダクトの潜在的なプライバシー問題を発見・解決しコンサルティングする)・強化(Strengthen、デフォルトで「正しいことをする」技術インフラストラクチャを設計・構築する)・消火(Extinguish、プライバシー上の「火事」に対応し一般化・再発防止を図る)の3カテゴリに分類できる(セキュリティエンジニアリングは単独で扱うべき大きなトピックとして対象範囲から除外される)。プライバシーエンジニアは、システムやユーザーの挙動について詳細を検討し、バグ修復を「止血(原因/バグの確実な修正)」と「事後フォロー(影響を受けたユーザーを意図した状態へ戻す試み)」の2段階で捉えたとき、特に第2段階でプライバシーの知見が重要になる。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.2) 信頼性エンジニアリング(SRE)とプライバシーエンジニアリングは、特定の環境でどうあるべきかを筋道立てて考えるためにまずシステムを深く理解するという共通の出発点を持ち、最終的にはユーザーの信頼を確保するという目標を共有する。信頼性とプライバシーの領域は構造のレベルでも交わっており、プライバシーは実際の技術上・管理上の運用によって保護されるため、それを担うシステム自体が高い信頼性で機能する必要がある。両者とも「システムがどのように壊れているか」に注目する点で似た資質を持つエンジニアを惹きつける。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.1, §15.3) SRE のベストプラクティス——トイル削減(自動化、デフォルトの慎重な選択によるトイル発生源そのものの縮小)、フレームワーク化(RBAC・アクセス制御処理・データ削除伝播の標準化)、課題解決を一度だけにする原則(同意監査証跡システムや差分プライベート実験システムの構築・再利用)、根本原因の発見と対処(バグ修正にとどまらずドキュメント・セーフガード・ツール自体の改訂に踏み込む)、関係管理(プロダクトチームとの共有ビジョンの構築)、早期の介入とエバンジェリズムを通じた教育(「なぜそれをすべきか」まで伝える)——はプライバシーエンジニアリングにそのまま応用できる。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.3) 信頼性とプライバシーには根本的な相違もある。信頼性の「障害」の構成要件の閾値定義には比較的自由度があるが、プライバシーの「障害」はユーザーの反応や法令・規制の要件など多くの外部要因に左右される。信頼性の問題は本質的に「修復の可能性」が高く、ダウンしたサービスは元の稼働状態に戻せるが、データベースからの情報漏洩を「修復」する方法はなく、覆水盆に返らずである。この非対称性ゆえに、信頼性とプライバシーをトレードオフする場面ではプライバシー側に倒すべきことが多い。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.4) > [!note] 本概念の一次資料である『SREの探求』15章は、冒頭で「プライバシーエンジニアリングはまだ新しい領域で、業界の関係者も公開の議論で慎重な姿勢を取っている」ことを明示し、本章の議論が具体的な実装事例ではなく抽象的な概念とアプローチの提示にとどまることを断っている。本概念ページの記述もこの留保を引き継ぐ。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] 冒頭) ## 横断的知見 - (単一ソースからの立ち上げのため、複数ソースの突き合わせによる知見は未蓄積。[[データのプライバシーと同意]]・[[差分プライバシー]]など既存のプライバシー系 concept との突き合わせは今後の ingest で追記する。) ## 未解決の問い - 本章が提示する Guard/Strengthen/Extinguish の3分類と、[[データのプライバシーと同意]] が扱う「同意の実効性」「サーベイランス」の議論はどう接続するか。前者は企業内のエンジニアリング実践、後者はユーザー・企業間の権力関係を論じており、粒度が異なる。 - プライバシーエンジニアリングにおける「トイル」とは具体的に何を指すか。[[トイル]] の6特性(手動的・反復的・自動化可能・戦術的・持続的価値なし・線形スケール)は、本章が示す監査設定照合スクリプトやACL確認スクリプトにそのまま当てはまるか、詳細な検証が必要。 - Security Level Objectives([[Security Level Objectives]])のようなセキュリティ領域でのSLOアナロジーは、プライバシー領域(「プライバシー障害」の不可逆性)にも同様に構築できるか。本章はセキュリティエンジニアリングを対象範囲から明示的に除外しており、この問いには答えていない。 - 「信頼性とプライバシーを天秤にかければプライバシー側に傾く」という本章の主張は、どのような意思決定手続き・組織構造で実装できるか。本章は原則を示すにとどまり、具体的な意思決定プロセスの設計には踏み込んでいない。 ## 関連 - ソース: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] - 概念: [[データのプライバシーと同意]](ユーザー・企業間の権力関係としてのプライバシー) / [[差分プライバシー]](プライバシー保護の技術的枠組み) / [[トイル]] / [[根本原因分析]] / [[ポストモーテム]] / [[サービスレベル目標]] - 実体: [[Betsy Beyer]] / [[Amber Yust]] / [[Google]] - 書籍: [[SREの探求]] ## 出典 - [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]](§15.1-§15.4、Guard/Strengthen/Extinguish の3分類、SREベストプラクティスの応用、信頼性とプライバシーの非対称性)