NRIC 番号に関するデータ保護ガイドラインは公開協議後に更新されます: PDPC

国民登録 ID カード (NRIC) 番号の使用に関する新しい勧告ガイドラインは、そのような番号をもはやプライベートかつ機密とみるべきではないという政府の立場の変更を受けて、個人データ保護委員会 (PDPC) によって発行されます。

PDPCはまた、法律で義務付けられている場合を除き、企業がNRIC番号を収集、使用、開示したり、身分証明書のコピーを作成したりすることが依然として禁止されていることも確認した。

しかし、ガイドラインの変更は業界と公共の協議後にのみ導入されるとPDPCは土曜日の夜（12月14日）に述べた。

委員会は協議がいつ完了する予定かについては明らかにしていない。

他の個人識別子と同様に、PDPC は、NRIC 番号も依然として PDPA のデータ保護義務の対象であると述べました。したがって、NRIC データを収集する組織は引き続き有効な同意を取得し、合理的な使用を遵守し、保護を確保する必要があります。

PDPCは、認証にNRIC番号を使用し、データ保護義務に違反した組織に対して以前にも措置を講じたことを指摘した。

12月14日初め、デジタル開発情報省（MDDI）の報道官は次のように述べていた。 完全な NRIC 番号は機密情報として扱われるべきではありません、代わりに、現在のフルネームとして表示されます。

その応答は次のようになりました 会計企業規制局 (Acra) の更新された Bizfile オンライン ポータルで NRIC 国民の完全な番号が利用できるかどうかについて懸念が生じた。このポータルは、ビジネスの登録と申請に使用されます。

個人による NRIC 番号のパスワードとしての使用

PDPCは声明の中で、NRIC番号をパスワードとして使用すべきではないとの勧告を繰り返し述べた。

パスワードは、大文字、小文字、数字、一般的に使用される語句や言い換えを組み合わせた 12 文字以上の英数字など、最小限の複雑さを持つ必要があります。

組織による個人の身元を認証するための NRIC 番号の使用

PDPCによると、認証にはパスワード、セキュリティトークン、生体認証データなどによる身元証明が必要だという。 NRIC 番号は秘密ではないため、組織が認証目的で使用するべきではありません。 PDPC は、認証に NRIC 番号を使用するという課題を常に組織に課していると付け加えました。

また、NRIC 番号を個人に提供されるサービスのデフォルトのパスワードとして使用しないでください。このような慣行を行っている組織は、できるだけ早く段階的に廃止する必要があります。

同委員会は、不正アクセスは最も一般的なタイプのデータ侵害の1つであるため、管理者アカウントには複雑なパスワードや2要素認証、多要素認証などの強力な要件を設ける必要があると付け加えた。

また、組織に対しては、ICT システムのデータ保護実践に関するガイドを参照するように指示しました。それでも、これらのガイドラインは、顧客とのやり取りではなく、企業の内部サイバーセキュリティ慣行に関連しているようです。

銀行が身分証明書としてNRICsを使用するよう求めたかどうかについても言及しなかった。

最近の個人情報盗難事件では、10 月に悪意のある者が電話で夫婦になりすました後、夫婦がクレジット カードと銀行口座にアクセスできなくなりました。

これに対し、UOBとDBSは、NRIC番号は、カードのブロック要求を受信した際に発信者の認証に使用される情報の1つであると述べた。

警察はこの事件に関する報告を受けており、捜査していることを認めた。

この懸念を踏まえ、Acraは12月14日、会社の事務所所有者や事業主の完全なNRIC番号を取得できる最新のBizfile検索機能を一時的に無効にしたと発表していた。

MDDIは以前、組織が情報へのアクセスや取引の実行のための認証形式としてNRIC番号に依存している場合、NRIC番号が悪用される可能性があると指摘していた。 「しかし、私たちの名前だけがそのような認証の基礎として適切ではないのと同様に、NRIC番号もこの目的に使用されるべきではありません」とMDDIの広報担当者は述べた。

MDDIもそう述べており、PDPCはシンガポール人がNRIC番号についてのこの新しい考え方（もはや個人情報や機密情報とはみなされない）に適応できるよう、公教育の取り組みを実施する予定だ。