デジタルマーケティング実践のため、理解しておきたい技術をまとめる本連載。今回は前回に引き続き、Webサーバの生ログを使ってアクセス解析する際の注意点をまとめた、Nexalのテクニカルエンジニア「ニコライ」氏のブログを転載した。後編はSSLログ内の個人情報や生ログの受け渡しに関わる注意事項などについて解説している。
⑦SSLログ内の個人情報はマスキングしているか？
【概要】
SSLログにはアクセス解析に不要な個人情報が含まれている可能性があります。このような情報は予め隠蔽処理をしてもらうなど、お客様の社外へ出さない工夫が必要です。
【詳細】
お問い合わせフォームやショッピングカートシステム等の決済機能を持つWebサイトでは、SSLログ内にコンバージョンしたユーザの個人情報が記録されていることがあります(*1)。これらの個人情報は、氏名やメールアドレス、TEL等を含んでいることが多く（コマースサイトの場合はクレジットカード番号まで含まれる可能性がある）、極めてプライバシーレベルの高い情報といえます。通常のアクセス解析では、このような個人情報は分析に必要ありませんので、ハイリスクな情報をお客様からお預かりしない（お客様の社外に持ち出さない/持ち出させない）ようにするべきです。弊社を含め、お客様の生ログをお預かりする企業は、相応の情報管理体制を敷いているため、容易く情報が漏えいすることなどはないでしょうが、万が一を防ぐためにも、そもそもハイリスクな情報はお客様からお預かりしないに限ります。
(*1)～SSLログ内に記録されているか否かは、ログ運用ポリシーによって異なるため、すべての企業様のログに個人情報があるわけではありません。
【確認方法】
事前検証のためのログをお預かりする前に、個人情報をマスキング処理（ログから抹消するか、*******などの文字で塗りつぶし処理をする）してもらうようお客様へお伝えしましょう。昨今は社会全体に個人情報保護の考えが浸透しているため、こういったことに無頓着な方はほとんどおられないと思います。しかし、”生ログの中にそういった個人情報が含まれる場合がある”ということをご存じない方はいらっしゃるので、その点をしっかりお伝えし、どのようなリスクが想定されるのか、それを防ぐためにどうすればよいのか（マスキングしてほしい旨）をしっかり説明してご理解頂く必要があるでしょう。
【対策】
お客様の社外に持ち出さない/持ち出させないことが第一義ですので、生ログをお預かりする前にしっかりとマスキングについてご説明しておく必要があります。「サンプルで1日分の生ログをお預かりしたら、個人情報がバッチリ入っていました。」といった事態にならないようにしましょう。
まれにお客様から「マスキングは御社でお願いします」と言われることもありますが、個人情報を社外に出さないことが肝要ですので、丁重にお断りしましょう。マスキング処理そのものは非常に簡単なので、やって差し上げたい気持ちはありますが、お客様社内でマスキング処理を完結してもらうことに意味があります。