個人情報管理違反と杜撰な委託先管理

2026年9月下旬、NECのシステム開発・保守の委託先がサイバー攻撃を受けました。盗まれた正規アカウントの認証情報が悪用され、顧客システムへの侵入と、情報共有用クラウドストレージからのファイル漏えいが発生しました。[1]

大阪公立大学では、再委託先のアカウントを使った不正アクセスが、10月2日の大規模システム障害の原因となりました。一方、大阪大学では、NECがクラウドストレージで共有していたファイルから、卒業生・在学生・教職員77,851人分の氏名、大学のメールアドレス、学籍番号などが漏えいしました。大阪大学の教育用システムへの侵入の痕跡は確認されていません。[2][3]

大阪大学の調査では、大学に報告されていない協力会社が業務に関与していました。NECはその会社との情報共有のため、契約に基づかず個人情報をクラウドストレージに置き、作業後に削除すべきファイルも保持していました。今回、そのファイルが第三者にダウンロードされました。[3]

システム運用の受託は、顧客の個人情報を自由に共有・保管してよいという許可ではありません。 個人情報保護法は、安全管理措置と委託先への適切な監督を求めています。今回問われるのは攻撃を防げたかだけでなく、預かった情報を契約と法が求める条件に沿って扱っていたかです。[4]

NECは、委託先の端末から顧客環境へ不正アクセスされたことを認め、事故後にNEC管理の端末を貸与しました。事故前の端末管理の詳細は公表されていませんが、顧客環境に接続する端末の安全性を、元請けとしてどう確保していたのかが問われます。[1]

協力会社に作業を任せても、顧客に対する責任は元請けに残ります。誰が、どの端末から、どの権限で作業し、個人情報をどこで扱い、いつ削除するか。これらを決め、実際の作業まで管理することは、運用を引き受けるための基本です。

契約に基づかない情報共有や不要な保管を防ぎ、安全に作業できる環境を整える。それすら果たせない事業者に、顧客のシステムと個人情報を預かる元請けは務まりません。