GDPRとIPアドレスデータ：EUでIPを適切に扱うための実務ガイド

IPアドレスは、トラフィックのルーティングやエンドポイントの識別など、ネットワーク運用に欠かせない基礎データです。セキュリティエンジニアにとっても、不正アクセスや攻撃の兆候を検知するうえで重要なテレメトリのひとつです。

一方で、欧州連合（EU）の一般データ保護規則（GDPR）では、IPアドレスが個人に結び付けられる可能性がある場合、個人データとして扱われます。つまり、単なる技術情報として気軽に収集・保存するのではなく、収集、処理、保管の各段階で慎重な設計と運用が求められます。

GDPRにおけるIPアドレスの位置づけ

GDPRでは、IPアドレス、とくに動的IPアドレスであっても、直接または間接的に特定の個人を識別できる合理的な可能性がある場合、個人データに該当し得ると考えられています。この考え方は、欧州司法裁判所の重要な判例にも支えられています。

セキュリティ実務の観点では、IPアドレスを「ただのログ項目」や「技術的な識別子」として扱うことはできません。氏名やメールアドレスなど他の個人データと同様に、データ保護の原則を適用する必要があります。

IPデータを処理するための法的根拠

IPアドレスを含む個人データを収集・処理するには、GDPR上の法的根拠が必要です。セキュリティ用途でよく検討されるのは、主に次の3つです。

• 正当な利益: ネットワークセキュリティの文脈では、もっとも現実的に使われることが多い根拠です。不正利用の防止、ネットワークの安全性確保、サイバー攻撃の検知といった正当な利益のためにIPデータの処理が必要であり、かつデータ主体の基本的な権利や自由を不当に侵害しない場合に適用できます。ただし、利益衡量テストを行い、その判断を文書化しておくことが重要です。
• 法的義務: 法執行機関からの要請への対応や、特定の規制遵守など、IPアドレスの収集・保存が法律で求められる場合には、この根拠が該当します。
• 同意: 理論上は可能ですが、セキュリティ目的だけでIPアドレス収集について明示的な同意を得る運用は、通常あまり現実的ではありません。同意は撤回可能であり、セキュリティ運用に支障が出るおそれもあります。

例: IPインテリジェンスAPIが、ある接続元を既知のTOR出口ノードとして識別し、TOR_EXIT フラグを返したとします。このIPを処理し、インフラを不正利用から守るために接続をブロックすることは、通常、legitimate interest（正当な利益）に基づく処理として説明しやすいでしょう。一方で、明確で具体的なセキュリティ目的がないまま、すべての着信IPを無期限に保存する運用は、正当化が難しくなります。

データ最小化：「なぜ集めるのか」と「どこまで必要か」

GDPRのデータ最小化の原則では、収集する個人データは、その処理目的に照らして適切で、関連性があり、必要な範囲に限定されていなければなりません。IPアドレスについては、次のような実務上の整理が有効です。

• 目的に基づいて収集する: IPアドレスを収集する理由を明確にします。不正検知なのか、bot対策なのか、レート制限なのか、インシデント対応なのか。目的を定義し、文書化しておくことが基本です。
• 必要な範囲だけを収集する: たとえばジオブロッキングに最初の2オクテットだけで足りるなら、別途文書化された目的がない限り、完全なIPアドレスを保存する必要はありません。可能な場面では、匿名化や仮名化も検討すべきです。
• 保存期間を決める: IPアドレスを無期限に保存しないことが重要です。目的に応じた明確な保存期間を定めます。継続的なセキュリティ監視であれば、30-90日程度の比較的短い保存期間が妥当な場合があります。一方、フォレンジック調査ではより長い保存が必要になることもありますが、その場合も特定のケースに限定し、厳格なアクセス制御を組み合わせるべきです。

IPデータを守るための技術的・組織的対策

法的根拠やデータ最小化だけでは十分ではありません。IPデータを扱う場合は、技術的・組織的対策（TOMs）をしっかり設計する必要があります。代表的な対策は次のとおりです。

• アクセス制御: IPデータには厳格なロールベースアクセス制御（RBAC）を適用します。完全なIPアドレスを閲覧・処理できるのは、業務上正当な必要がある担当者に限定すべきです。
• 暗号化: 保存時と通信時の双方でIPアドレスを暗号化します。これは基本中の基本といえるセキュリティ対策です。
• 仮名化・匿名化: 完全な精度が不要な場合は、IPマスキングを検討します。たとえばIPv4の最終オクテットを切り捨てる、IPv6では必要に応じて /64 プレフィックスを使う、といった方法があります。分析に完全なIPが不要な場合は一方向ハッシュも選択肢になります。ただし、単純なハッシュだけでは、元のIP空間が小さい場合にレインボーテーブル攻撃で復元される可能性があるため、完全な匿名化とは限りません。
• ログ運用: IPデータを含むシステムへのアクセスを監査します。ログは改ざんされにくい形で保管し、同じく保存期間ポリシーの対象にする必要があります。
• DPIA（データ保護影響評価）: IPアドレスを大規模に処理し、他の識別子と組み合わせるなど、個人の権利や自由に高いリスクをもたらす可能性がある場合は、DPIAの実施が必須です。

GDPR対応におけるIPインテリジェンスの役割

ASN、rDNS hostname、hosting range フラグ、TOR exit ステータス、あるいは一般的な risk score などを提供するIPインテリジェンスサービスは、GDPR対応の文脈で二つの側面を持ちます。

ひとつは、こうしたサービスを利用すること自体が、IPアドレスの処理にあたるという点です。APIにIPアドレスを送信して照会する以上、その利用が自社の法的根拠やデータ最小化の方針と整合しているかを確認しなければなりません。

もうひとつは、IPインテリジェンスがGDPR上のセキュリティ義務を果たす助けになるという点です。とくにGDPR第32条が求めるセキュリティ対策との関係で、有用な判断材料になります。

• 先回りした脅威検知: 既知の悪用元に関連するIP、たとえば TOR exit lists に含まれるIPや、botに悪用されやすい既知の hosting ranges を識別することで、セキュリティ侵害を未然に防ぎやすくなります。
• 不正対策: IPアドレスと不正行為の関連を把握することで、自社のビジネスと利用者の双方を保護できます。これは正当な利益とも整合しやすい用途です。
• リスク評価: IPインテリジェンスAPIが返す risk score は、接続を許可するか、追加認証を求めるか、ブロックするかを素早く判断する材料になります。結果として、データ侵害のリスク低減にもつながります。

IPインテリジェンスプロバイダーを選定する際は、その事業者自身のGDPR対応も確認すべきです。送信したIPアドレスを保存しているのか。保存するなら、どのくらいの期間、何の目的で保存するのか。透明性は非常に重要です。

実務例：bot検知と保存期間の設計

クレデンシャルスタッフィング攻撃を受けているECプラットフォームを考えてみましょう。IPインテリジェンスAPIが、高い risk score を持つIP、botに頻繁に悪用される hosting ranges 由来のIP、または TOR exits として認識されるIPを検出します。

• 収集目的: 自動化された攻撃と不正利用を検知し、軽減するため。
• 法的根拠: プラットフォームの安全性を確保し、ユーザーアカウントを保護するという正当な利益。
• データ最小化: 不審なアクティビティに関与した完全なIPアドレスのみを、専用のセキュリティログに60日間保存します。たとえば、同一IPからの複数回のログイン失敗や、高いリスクスコアが確認されたケースが該当します。正常なログインに使われたIPについては、分析上の必要性に応じて匿名化する、より短期間だけ保存する、あるいは保存しないという判断も考えられます。
• アクセス: セキュリティインシデント対応チームだけが、これらのセキュリティログ内の完全なIPデータにアクセスできます。
• 技術的管理策: ログは暗号化され、アクセスは監査され、保存期間はプログラムによって自動的に適用されます。

このような設計であれば、実効性のあるセキュリティ運用を維持しながら、GDPRの原則にも配慮できます。IPインテリジェンスは、たとえば高リスクな接続元を即座に示すシグナルとして機能し、過剰なデータ収集に頼らずにリスクベースの判断を支えます。