本来そこにないはずの個人情報が、なぜ漏れたのか

イセトーでは、社内ネットワークを「業務系」と「基幹系」に分け、預かった個人情報は業務系だけで取り扱うルールにしていました。

攻撃者がVPN機器を経由して侵入したのは、基幹系でした。個人情報を保管する業務系への侵入には成功していませんでした。

ところが、侵入された基幹系にも、個人情報のコピーが置かれていました。 そのファイルが暗号化・窃取され、外部へ公開されました。[2]

個人情報を保管するネットワークを分けていても、実際のデータはその外へ持ち出されていました。

全56部署のうち3部署で、基幹系のサーバーへ個人情報をコピーしていました。目的は、本来アクセス権限のない従業者との情報共有や、通知書の発送管理でした。[2]

現場には、ほかの担当者と情報を共有し、発送状況を確認する仕事がありました。その仕事を進めるために、個人情報を扱わないはずの場所が使われていたのです。

業務終了後に削除すべきデータも残っていました。イセトーは再発防止策として、管理区域の外へデータを移せない環境の構築、保管期限の明確化、業務終了後の削除と監査を挙げています。[1]

ここから自社で考えたいのは、なぜ別の場所へのコピーが仕事の進め方になっていたのか、という点です。保管先のルールと、実際に必要な情報共有や発送管理を、一緒に見直す必要があります。

「個人情報は指定した場所で扱う」と決める際には、そこで実際の業務を完了できるかまで確認したいところです。

たとえば、発送を確認する担当者に必要なのは、顧客情報の全項目でしょうか。発送済みかどうかだけで足りるなら、その情報を確認できる画面と権限を用意する方法があります。別の担当者への引き継ぎも、個人情報をファイルに書き出さずに行えるかを検討できます。

自社のシステムでは、次の点を業務要件とセキュリティ設計に含めているか確認します。

• 誰が、どの情報を使って、何をするか
  主担当者だけでなく、確認・引き継ぎ・例外処理を担う人の仕事まで押さえる。
• 必要な共有を、システム内で行えるか
  担当者ごとに必要な項目と操作を絞り、安全に参照・更新できる機能と権限を用意する。
• 作業終了後、情報をどう残し、どう消すか
  保存が必要な記録と不要になる作業データを分け、削除まで業務の流れに組み込む。

現場が別の場所へデータを移しているなら、その理由を確かめることが設計を見直す手がかりになります。コピーの点検や削除とあわせて、必要な仕事を決められた環境で安全に進められるよう、機能・権限・運用を整えることが対策になります。