情報漏えい時の危機対応（3）

総合研究部 上席研究員　佐藤栄俊

１．情報漏えい時の危機対応（その3）

　情報漏えい事故発覚の端緒としては、従業員や情報管理を委託している業務委託先からの申告や外部の第三者からの通報、顧客・取引先からの情報提供・クレーム、インターネット上での書き込み、監視システムによる検知、マスコミからの取材、警察や政府関連機関等からの連絡などが考えられます。

　情報漏えい事故はその発見が早ければ早いほど被害を小さくするための手立てを講じる可能性が高まるため、早期発見・早期対処が肝要となります。そのためには、平時から事故を監視する仕組みやその端緒を把握した際の報告連絡体制を整備しておくことが何よりも重要です。

　今回の「情報セキュリティトピックス」では、以下の事案を想定し、一般的な対応の流れ以外の留意事項や注意点などとともに対応要領を検討したいと思います。

1) 被害発生か！？～そのときどうする？～

2) 不正アクセスによる被害を確認した際の対応

　本事案が発生した場合、皆様はどのように対応を進めていくべきでしょうか。

　現在はいかなる企業・団体でもサイバー攻撃や不正アクセスを受ける可能性があります。そして、情報セキュリティ対策を実施していても100%防げないのが現状であり、被害に遭うことを前提とした備えが不可欠です。そこで、「何かあったらセキュリティベンダーに頼む」という方針が考えられるところですが、丸投げするのは現状では難しいのが実情です。

　まず、第一に、どのセキュリティベンダーを選ぶかが問題となります。一口にセキュリティベンダーといっても、作業内容や料金など様々です。ベンダーを探しているうちに時間は刻一刻と過ぎていきます。

　また、費用の問題もあります。依頼するセキュリティベンダーを決めても、経営陣が費用を出し渋る恐れがあります。「では、来月の経営会議で議論するから資料を作っておいて」と言った答えが返ってくる可能性もあります。「なぜ費用を出す必要があるのか」を説明しているうちに貴重な時間が浪費されます。

　さらに、セキュリティベンダーを選定して費用を確保しても、すぐに対応してもらえないケースもあります。相次ぐサイバー攻撃により、被害を受けた企業が続出し、セキュリティベンダーへの依頼が増えているためです。ある企業の担当者は、セキュリティベンダーに依頼したら「2ヶ月待ち」と回答されたこともあったといいます。

　サイバー攻撃や事故の対応は一刻を争います。対応が遅れれば被害は拡大する一方です。例えばウィルス感染が拡大し、大量の情報が漏えいしたとしています。もちろん、本格的な調査や対応はセキュリティベンダーに依頼して支援をもらうべきです。「どのようなウィルスに感染して、どのような情報が盗まれたのか」など、かなり詳細な分析まで踏み込むには、専門家でないと詳しく調べられません。

　ですが、調査と平行して、まずは自分たちでできる対応を実施する必要があります。事故発生時の主な検討事項は以下の通りです。

3) 本事案における応急措置

(1) 初動段階で行うべき措置

　まずは、事故発生の認知の段階から被害の拡大を止めることが重要となります。その為には以下の措置を迅速に行う事が必要になります。

＜当該サーバのネットワーク接続やシステムの遮断もしくは停止＞

　DDoS（分散型サービス運用妨害）攻撃用ツールを設置されたり、ワームに感染した場合などは、自社のシステムが他者への攻撃に（踏み台として）悪用されることになります。このような形で被害が拡大する恐れがある場合には、ネットワークやシステムの全体もしくは一部を遮断または停止、場合によっては顧客に提供しているサービスそのものも、被害の拡大を防ぐためには自粛する必要があります。

(2) 第二段階で行うべき措置

　これからの対応方針を判断する前提として、どのような種類の影響が、システム内外のどの範囲にまで、どの程度生じているかを調べる必要があります。

＜影響範囲の特定＞

　例えば、ほかのシステムとの通信履歴などから、関連するサイトを調べたり、ファイルへのアクセス状況（最終アクセス時刻など）から機密情報の漏えいがなかったかどうかを調べます。特に、持ち出されたり、参照された可能性のあるファイルがどれだけ「機密」に当たるものかを確認し、以後の対応を検討します。

　また、踏み台として他のシステムへのアクセスに使われた可能性がある場合には、実際に自社システムから外部に対して「いつ」「どのような」アクセスが行われたかを、システムのログやルータなどのネットワーク機器のログなどから整理します。

　また、被害状況の確認を行います。被害状況を確認する担当者はITやネットワークに関する知識やノウハウを少なからず保有していることが望まれます。社内に該当者がいない（足りない）場合は、システムの保守契約業者や他社の専門家に依頼する等の方法を考える必要があります。

＜当該サーバログから、被害範囲を確認＞

　ログは当該サーバより抜き出して、不正アクセスを受けていないと確信の持てる端末（或いは、スタンドアローンで運用している端末）で検査します。ログの場合だけではありませんが、不正アクセスを受けたと考えられる端末での作業は行わないのが原則です。ウィルスの場合、ログに残る可能性があるならばログに全て記録されている筈です。クラッキングの場合は、ログが改竄・消去されている可能性がある事を考慮して調査する必要があります。

　この作業によって、影響を受けたサーバと被害の性質、大きさ、影響等がわかる可能性があります。詳細な解析等はこの時点で必要になりませんが、被害対応に密接に関係してきますので、概要を掴むことが重要です。

影響範囲を一元化して関係者で共有

(3) 第三段階で行うべき措置

　被害状況の把握が終われば復旧作業に移りますが、その前に企業としての各種対応を決める必要があります。情報システムの運用責任者は、「正確な被害情報」を会社に報告する必要があります。まずは、「何が起こったか」「どれくらいの被害があるのか」「どの様な対応をしたか」を分かりやすく説明します。その上で、今回の被害によって「他の部署、業務等にどれだけの影響があるか」「最悪の事態はどの様な事が考えられるか」「機密情報が漏れた可能性はあるか」等を説明していきます。

　社内の機密情報が漏えいした場合、必ず「どの程度の被害が考えられるか」「どの様な対応を取ればよいか」といった内容の検討が必要になります。当然、この結論を出すためには情報システム運用責任者の判断やレポートが必要不可欠です。事の重大さを誇張せず、あるいは矮小化させることなく、できる限り正確に報告することが大切です。

4) 被害者への対応

　被害の範囲や影響を確認後、対象となる被害者や被害を受ける可能性のある本人にその事実を通知し謝罪するとともに、漏えいした情報の不正利用による二次被害を防止する措置を講じるよう注意喚起します。

　個人情報を漏えいしてしまった被害者への連絡は、必ず必要となります。なぜなら、被害者へ連絡することによって、被害者が自衛の手段をとることができるからです。被害者への連絡については、二次被害を防止するためにも、情報漏えいを発見したらできる限り早く被害者への連絡を行う必要があります。もちろん、被害者に連絡することにより、お叱りやクレームを受けることが予想されますが、それでも連絡しなければなりません。

　仮に事故が発生したと断定できない場合であっても、二次被害等が発生する可能性があるという旨の通知を本人に行い、上記と同様の対応を行なうべきです。なお、本人への通知は行なうべきですが、いたずらに不安をあおるのではなく、迷惑メールの受信や営業の電話がかかってくる可能性など、起こり得る具体例を挙げるとともに、その対処法やの防止措置を講じるのに必要な情報を提供することが求められます。

　　被害者への通知の方法としては、情報漏えい事故の場合には一般に多数の被害者が生じること、そして通知には迅速さが求められることから、早期に一括して多数の者に通知できる方法を用いるべきであり、事故により被害を受けることが予想される本人へのメールの一斉配信やWebサイト上での通知（告知）を行なうのが適当です。外部への公表の方法としては、対象者にとってアクセスが容易な方法を選択する必要があり、たとえば、自社のWebサイトのトップページのわかりやすい場所またはその場所に目立つようにリンクを貼るなどの方法が考えられます。なお、公表すべき情報としては、以下の項目を検討する必要があります。

①事故発生の状況報告

②事故に関する謝罪

③事故の発生とそれが発覚するまでの経緯

④漏えいした期間

⑤漏えいした情報の内容・件数

⑥現在発生している被害の状況

⑦漏えいの原因

⑧事実調査の方法及び現時点で講じた処置

⑨今後予想される二次被害の内容と二次被害防止のための措置

⑩会社が予定している今後の対応

⑪再発防止策

⑫問い合わせ窓口

5) 事故対応時に直面する困難

(1) 調査の結果、原因や影響範囲が不明なことも

　外部からの不正アクセスによる情報漏えいの場合、被害の全容を特定するのに時間を要したり、結局詳細がわからないケースも多くあります。理由としては、いくつかありますが、

• マルウェア等が侵入してから時間が経っており、ログを短期間しか保存していないため調査が不可能
• 内部情報が外部に流出した形跡があるものの、その証拠を消されているため追跡できない
• 広範囲にマルウェア侵入しているため、デジタルフォレンジック（端末の調査）に多額の費用や時間がかかり、調査が現実的にできない

などの場合が考えられます。

　なお、このような場合では、漏えい件数については、「現時点で少なくとも〇件の漏えいが確認されていますが、最大で〇件に及ぶ可能性があります。」など、あくまで現時点での調査結果であることと、今後判明する被害がありうることを対象者にわかりやすく示す必要があります。

(2) DMや迷惑メールとの因果関係の証明

　本事案では、「ダイレクトメールや迷惑メールが顧客に届いている」という報告が共有されていますが、現段階では、それが当該サーバから漏えいした情報かどうかの因果関係を証明できない限りは、被害者に説明することはできません。ただ、実際の被害として、顧客リストなどが名簿業者や個人情報売買業者などへ転売されている可能性も否定できないため、被害者に届いたDMやメールの送り元を確認するとともに、流出ルートの特定に努める必要があります。いずれにしても、漏えいした情報が原因で、ストーカー行為を受けたり、本人を騙ってインターネットの各サイトで嫌がらせ行為が行われてしまうといった被害を受ける可能性があります。また家族構成も知られてしまうと「オレオレ詐欺」などの特殊詐欺にも悪用されかねません。

(3) 対応要員が少ない（いない）

　個人情報漏えい事案を含む、多くの緊急事態対応において、特に多くの被害者が発生する場合は、一度に多くの顧客からの問い合わせに対応しなければなりません。従業員数よりも被害者数の方が多いということも少なくないため、従業員のみで対応することは限界があります。企業として、個人情報漏えい事故など、従業員のみの対応で電話回線が十分に確保できず、電話が繋がらない状態では、かえって顧客の怒りや不満を増幅させることになります。多くの顧客や社会全体が不安になるからこそ、問い合わせのための窓口はコールセンターなどと連携したうえで、出来る限り確保し、可能な限り、電話を通じた丁寧な説明と謝罪を繰り返すことが重要となります。

(4) 被害者からのクレームや問い合わせ

　本事案のように不正アクセスによって漏えいした情報の回収や流出ルートの全容解明は、極めて困難であり、それが被害者の不安とクレームに発展する可能性を大きくしてしまいます。例えば、「今回の漏えい事案によって自分が被害を受けた場合、賠償してくれるのか？」、「精神的苦痛に対して補償しろ」、「今回の個人情報の漏えいが、詐欺・脅迫・恐喝・暴力事件等に結びついたらどうするのか？」など、なかなか明確な回答が見出せないような問い合わせも増えることになります。

　被害者からの問い合わせ・クレームについては、事故に関する問い合わせ窓口を設置し、この窓口に集約して対応すべきです。そして、あらかじめ想定Q&Aを作成しておき、これに基づいて企業として統一的な対応をすべきであり、同じような質問について、被害者ごとに異なる内容の回答をしてしまうような事態が生じないようにする必要があります。なお、あらかじめ想定されていなかった質問とそれに対する回答については、適宜、その他の問い合わせ・クレーム担当者と情報共有し、その都度想定Q&Aに反映していきます。また、よくある質問や実際に多い問い合わせに対する回答については、Webサイト上にも「よくあるご質問」として掲載しておくと、無用な入電や問い合わせを減らすことができます。

6) 関係者との連携が重要

　本事案のような事故対応に際しては、弁護士等の外部の専門家とのやり取りや情報漏えいにより企業が負うべき法的義務や法的責任の検討を担当する法務担当者、外部への公表を担当する広報担当者、専門性の求められる情報セキュリティに関する知識に精通しており、臨機応変に情報収集、原因究明・漏えい状態の解消を行なうことのできる技術・情報セキュリティ担当者、顧客や被害者からのクレーム対応を担当するクレーム処理担当者も必要な人員となります。もっとも、これらの必要要員を確保することは必ずしも容易ではありませんので、一部については外部にアウトソースすることも検討する必要があります。

　必要な人選を行なった後は、例えば各人を、事実調査対応、広報対応、法務対応、顧客・消費者対応と班分けして、同時並行して各分野で生じる問題に対応していくことになります。もっとも、事故対応においては各班が連携して対応しなければならない問題が数多く発生しますので、各班が独立して行動するのではなく、常に情報が共有され、連携が取れるように留意する必要があります。本事案による情報漏えいの場合、警察への報告・相談の際に、サイバー犯罪対策課の担当者と専門的な知識を要するやり取りがなされることも想定され、その場合には事実調査班と法務班との連携が必要になります。また、正確な調査結果を外部に公表するために広報対応班と事実調査班との連携が必要となり、被害者への補償をどうするかの検討について顧客・被害者対応班と法務班との連携もまた必要になります。

　また、事実調査から外部への公表までの過程は特に迅速さが求められるので、事実調査から外部への公表までの所要時間を区切ってスケジュールを立てて対応することが望ましいと言えます。その後の再発防止策の検討と実行、再発防止策が講じられるまで事業の再開ができないような重大・深刻な事案の場合には、BCP（事業継続）の観点も含め、その事業の再開に至るまでのスケジュールも綿密に検討する必要があります。

ページ先頭へ

２．最近のトピックス

◆スプラッシュデータ「破られやすいパスワード(Worst Passwords)」

　2017年12月19日、米スプラッシュデータ社は、2017年版の「破られやすいパスワード(Worst Passwords)」のランキングを発表しました。ワースト1は、「123456」で第2位は「password」です。この2つは同社が年次ランキングを集計するようになった2011年版以降、常にトップを占め続けています。3位は「12345678」、4位はキーボード配列そのままの「qwerty」、5位は「12345」でした。

1位：123456

2位：password

3位：12345678

4位：qwerty

5位：12345

6位：123456789

7位：letmein

8位：1234567

9位：football

10位：iloveyou

11位：admin

12位：welcome

13位：monkey

14位：login

15位：abc123

16位：starwars

17位：123123

18位：dragon

19位：passw0rd

20位：master

21位：hello

22位：freedom

23位：whatever

24位：qazwsx

25位：trustno1

　重要情報を守るためにファイアウォールやアンチウイルスを導入して外部の脅威に対抗することは、企業にとってもはや当たり前の施策となっていますが、それでも情報漏えい事件が頻繁に発生することからも分かるように、今の情報セキュリティ対策は必ずしも万全ではありません。とりわけ大きな課題と言えるのが、ID・パスワードによる認証システムのあり方です。内部ネットワークがいくら堅牢な仕組みで守られていても、ID・パスワードが流出し、悪意のある攻撃者が”なりすまし”によってシステムに不正にアクセスしたり、オフィスに侵入したりすれば、機密情報はいとも簡単に漏えいしてしまいます。IDカードのような”物理的な鍵”を使ったとしても、貸与や紛失、窃盗、複製などによる”なりすまし”の危険を払拭することはできません。

　パスワードの安全性を高めるためには、「わかりやすい単語や数字の並びを避ける」「長くする」「数字・アルファベット・記号を組み合わる」ことが重要となります。また、定期的なパスワードを変更も重要で、パスワード自動作成ツールや管理ツールを利用するのが有効です。

　ただ、ID・パスワードについては運用側にも問題があります。よくある「パスワードの使い回し」やIDカード等の部署内での共有は、危険であると認知されているものの、その数多くが利便性とのトレードオフから放置されているのが現状です（結果的にパスワードとして意味をなしていない）。こうした課題を解決するためには、複数の認証方式を組み合わせるということも一つの手段です。

　現在の認証方式として「パスワードなどによる記憶認証」「IDカードなどの持ち物による認証」、そして「静脈や虹彩、指紋などによる生体認証」が挙げられます。それらを組み合わせることは、セキュリティ強度の向上において有効な手段だと言えます。

◆特定非営利活動法人 日本セキュリティ監査協会「監査人の警鐘 ‐ 2018年 情報セキュリティ十大トレンド‐働き方改革や対策の形骸化にも注意を‐」

　2018年1月5日、特定非営利活動法人日本セキュリティ監査協会(JASA)は、「2018年 情報セキュリティ十大トレンド」を公開しました。同協会より認定を受けた情報セキュリティ監査人約1,500人を対象に、2017年10月にアンケートを実施、回答内容をポイント化してランキングしたものです。その結果、第1位には「多様化・巧妙化するランサムウェアの被害拡大」が選ばれています。また、第2位には「最新の対策もすり抜ける標的型攻撃による甚大な被害の発生」、第3位には「セキュリティ機能が乏しいIoT製品への攻撃による社会的混乱」がランクインしています。また、4位以下では、「クラウドなど集中管理による社会的混乱」「考慮不足の働き方改革に起因する事故の発生」「日本語ビジネスメール詐欺被害の拡大」など、専門家としての監査人の視点が反映されており、同協会では、「今年の監査ではこれらのトレンドにも配慮した監査計画を検討するとよいでしょう」とコメントしています。なお、10位までのランキングは以下のとおりです。

1位：多様化・巧妙化するランサムウェアの被害拡大

2位：最新の対策もすり抜ける標的型攻撃による甚大な被害の発生

3位：セキュリティ機能が乏しいIoT製品への攻撃による社会的混乱

4位：クラウドなど集中管理による社会的規模の被害発生

5位：考慮不足の働き方改革に起因する事故の発生

6位：日本語ビジネスメール詐欺被害の拡大

7位：ガバナンス欠如のIT投資による重大インシデントの発生

8位：成長しないマネジメントシステムによる組織活力の低下

9位：形だけCSIRT/名ばかりセキュリティ人材による弊害の発生

10位：GDPR※違反の摘発

※General Data Protection Regulation：EU一般データ保護規則
EUにおける個人データの越境移転を規制する法令。グローバル展開する企業や、EU域内に商品やサービスを提供する企業等に対して顧客データなどの取扱いを厳しく定めており、違反すると高額な制裁金を課されるなどのペナルティがある。

◆経済産業省「サイバーセキュリティ経営ガイドラインを改訂しました」

　2017年11月16日、経済産業省は、情報処理推進機構（IPA）と協力し、「サイバーセキュリティ経営ガイドライン」を改訂しました。同ガイドラインは2015年12月に策定されたもので、経営者がサイバーセキュリティ対策でリーダーシップをとって推進していく指針として定められました。しかし、サイバー攻撃のさらなる巧妙化が進むなど、防御はさらに困難になっており、なかにはサイバー攻撃を受けていることを企業が気づかないケースも増えています。そこで、経産省とIPAは「サイバーセキュリティ経営ガイドライン改訂に関する研究会」を発し、事前対策だけでなく検知・対応・復旧といった事後対応の追加を含めたガイドラインの改定を進めてきた背景があります。

　今回の改訂のポイントは、「サイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要」「ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要」「平時及び緊急時のいずれにおいても、関係者との適切なコミュニケーションが必要」という経営者が認識すべき3原則は維持し、その上で、経営者がCISO（Chief Information Security Officer：最高情報セキュリティ責任者）等に対して指示すべき10の重要項目について見直しが行なわれています。

　具体的には、「指示5 サイバーセキュリティリスクに対応するための仕組みの構築」に、「攻撃の検知」を含めたリスク対応体制についての記載が加えられました。また、「指示8 インシデントによる被害に備えた復旧体制の整備」には「サイバー攻撃を受けた場合の復旧への備え」が記載され、「指示9 ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握」に、サプライチェーン対策強化に関する記載が追記されており、付録の内容も改訂されています。

　本ガイドラインは、サイバーセキュリティ基本法（平成26年11月制定）の定めにもとづく、政府の基本計画「サイバーセキュリティ戦略」に由来しており、いわば国が定める指針ともいうべきものです。全体を通してまだまだ初歩的な内容にとどまっており、ITの利活用ですら四苦八苦する経営者がサイバーセキィリティを検討する余地がない実態をのぞかせているとも言えますが、そこに掲げられた「経営者が認識する必要がある『3原則』」の内容が示唆するところは小さくありません。

　まず(1)については、サイバーセキュリティを経営リスクの中に適切にとらえなおし、状況の変化に応じても担当者任せにしないよう促しています。(2)については、自社・系列会社・委託先・サプライチェーン上に広がるステークホルダーの数々やチェーン・マネジメントの観点から、リスクとして織り込むよう促しています。(3)については、社外と社内双方における情報開示と情報交換の重要性を示しており、経営陣による積極的な内外へのコミュニケーションを促しています。

　今やほとんどの企業が何かしら取り組んでいるであろう情報セキュリティ対策ですが、実際に事故は減ってはいません。マイナンバー制度の導入、スマートフォンやタブレット端末などのマルチデバイス化、クラウドサービスの拡大、ビッグデータやIoTの活用など、今後も企業をとりまくIT環境は確実に変化していきます。そのような中、情報セキュリティ対策において鍵を握るのが、いかに組織的な目線で安全なIT利用と保護ができるかどうかではないかと思われます。

　これまでは、顧客や取引先、消費者に対して対外的に「この対策をしているから、うちの会社のセキュリティ対策は万全ですよ」と言えるような明確かつ客観的な基準がありませんでしたが、今後、企業や組織にとって同ガイドラインが定める基準が、今後情報セキュリティ対策実施の「最低基準」となるということです。同ガイドラインでは、上記を踏まえた上で、” 経営者が “情報セキュリティリスクの脅威を認識し、” 経営者が “対策の実施を推進すべきだ、と明記しています。つまり、”セキュリティ対策は経営者が率先して取り組むべきリスク事項である”ということが明確にされているのです。

◆情報処理推進機構「2017年度情報セキュリティに対する意識調査」報告書について

　IPA（情報処理推進機構）は12月14日、インターネット利用者を対象に行なった「2017年度 情報セキュリティの脅威に対する意識調査」「2017年度 情報セキュリティの倫理に対する意識調査」の報告書を公開しました。その結果、悪意ある投稿経験者の投稿後の心理で最も多いのは「気が済んだ、すっとした」で35.6％、前年比4.3％増で、特に10代は45.5％、20代は40.5％と他の世代より高い傾向が見られました。また、悪意ある投稿を行なったことがある割合は、投稿経験者のうち22.6％で、その投稿理由では「人の投稿やコメントを見て不快になったから」5.7％増、「いらいらしたから」6.6％増加しています。

　その他、恋人など相手が非常に近しい間柄であれば「自身の性的な姿を撮影した写真や動画」をSNSで共有しても構わないと考えるスマートデバイス（SD）は7.4％、PC利用者で5.3％（本年初調査）となっています。一方、「SNSで自身の性的な写真や動画を撮影して投稿した」ことを問題があると認識している回答割合は1割程度増加、PC利用者で12.4％増の57.5％、SD利用者で10.5％増の57.6％となり、モラル意識の向上がみられたものの、いまだ半数程度に留まっています。

　悪意あるメッセージを投稿したことがある経験者の約3割が「気が済んだ、すっとした」と答えていますが、その場の感情に囚われネットに書き込んで一瞬すっとした気になるということを無自覚に繰り返していると、次第にエスカレートし、怒りを感じたら誰かを攻撃しなければ気がすまないようになるのではないでしょうか。ネットへの発言は、「本音を言い合う場」として、あるいは、「感情のガス抜き」として有効な面もあると思います。ただ、ミスした人を責める、勝負事の敗者を叩く等の行為は簡単ですが、不特定多数が行き交う公の場で他人の生命を害したり、公序良俗に反したり、プライバシーを侵害したり、人間としての尊厳を傷付けるその発言には常に責任が伴うということを忘れてはなりません。

◆警察庁「平成28年におけるコミュニティサイト等に起因する事犯の現状と対策について」

　スマートフォンの急速な普及に伴いアプリなどの多様化が進む中、児童が安心・安全にインターネットを利用できる環境の整備が急務となっています。警察庁では、こうした課題に対して、これまでも各事業者による個別の対策や、事業者間で連携して対応するなど一定の取り組みを行っていますが、コミュニティサイトに起因する事犯の被害児童数の増加傾向が続いています。

　このような実情を踏まえ、コミュニティサイト及びアプリ運営などを行うネット事業者は、児童被害防止対策に従来から積極的に取り組み、被害児童数の減少に成果を上げてきた知見を活かしつつ、取り組みを更に拡大・強化すべく、昨年、「青少年ネット利用環境整備協議会」を発足しています。

※グリー株式会社、株式会社サイバーエージェント、株式会社ディー・エヌ・エー、フェイスブック ジャパン株式会社、株式会社ミクシィ、LINE株式会社を中心としたコミュニティサイト及びアプリ運営などを行うネット事業者は、コミュニティサイトに起因する児童被害防止や、児童が安心・安全に利用できるインターネット環境の向上を目指して「青少年ネット利用環境整備協議会」を発足。

　先日の座間市の事件を受け、青少年ネット利用環境整備協議会は、ネット上で自殺を誘う行為などの明確な禁止や警察、カウンセラーなどの専門家との連携に関する緊急提言を発表しました。ネット上のあらゆる言説や情報を規制することは不可能に近く、悪意のある利用者の言葉のやり取りだけで真意を見抜くことはある程度歳を重ねた大人でも難しいと言えます。ただ、これまで犯罪を助長する場として野放しにされてきた以上、自殺を幇助する投稿などの規制として加害者側が被害者にコンタクトを取ることを制限する、チェック機能を強化するといった対策は不可欠だと言えます。自殺方法という有害情報に接する可能性を減らすとともに、自殺のリスクの程度や抱えている困難に応じて、現実や対面で支援を受けることが可能な支援機関へのつなぎや、継続的なサポートを可能にする仕組みの本格化と速やかな実行が求められます。

◆総務省「公衆無線LANセキュリティ分科会」の開催

　総務省は2017年11月24日、サイバーセキュリティタスクフォースの「公衆無線LANセキュリティ分科会」の第１回会合を開催し、Wi-Fiとも呼ばれる公衆無線LANの安全性向上のため、利便性も考慮した認証や方法や不正アクセス対策を検討するとしています。これは、増加する訪日外国人の要望に対応するため、公衆無線LANの拠点の増加にともない、2016年度に4307万人だった公衆無線LANサービスの利用者は、東京オリンピック・パラリンピックが開催される2020年度には49.0%増の6418万人にまで拡大する見込みだとされています（ICT総研の調べ）。特に、飲食店や宿泊施設、交通機関のほか、競技場での整備も見込まれます。公衆無線LANには、暗号化など安全対策がなければ、利用者のIDやパスワードが盗まれる、提供者は迷惑メールの送信や掲示板への悪質書き込みに利用される恐れがあります。

　東京五輪に向けたセキュリティ強化の一環でもあり、現時点でも犯罪に悪用されるなど脆弱なものは多く、利用者は仕事とプライベートともに注意が必要です。公衆無線LANには、アクセスポイントと接続端末間の通信を暗号化していなかったり、共有のパスワードを使用したりするものが多数存在します。また、偽のアクセスポイントを設置し、周囲に行き交う電波をモニターするだけで、第三者が通信内容を盗聴することができてしまうこともあるので、セキュリティの保護が保証されていないサービスは利用しないほうがよいと言えます。普及が進む反面、無防備な利用は自ら重要情報を提供しているという事実に正面から向き合う必要があります。

ページ先頭へ

３．最近の個人情報漏えい事故（2017年11月、12月）

　下記の表は、昨年11月と12月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

※情報セキュリティに特化したニュースサイトであるSecurity Next、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成。

　「31」は元従業員が取引先との取引情報の持ち出しに関与した事案です。企業情報は事業・営業活動などにより形成・蓄積されていきますが、その中には、独自に開発した技術やノウハウ、計画段階にある販売戦略や顧客リストなど、数多くの企業秘密や個人情報が存在します。これらは紙の書類や、パソコン・サーバなどにデータとして保管されているだけでなく、従業員が身に付けたノウハウといった目に見えない形のものもあります。そのため、全てを把握して完璧に管理することは難しい、というのが現状ではないでしょうか。

　しかし、企業秘密が外部に漏れ、競合他社の手にわたってしまうようなケースが発生すれば、独自の技術や販売手法などが模倣され、市場での競争力が低下するという大きなリスクになります。また、個人情報が漏えいすれば、社会からの信用損失だけでなく、訴訟問題へと発展する可能性もあります。

　情報が漏えいする経路は複数ありますが、情報処理推進機構が昨年3月に公表した「企業における営業秘密管理に関する実態調査―調査報告書―」によれば、営業秘密の漏えいルートで一番多いのが「現職従業員等のミス」で 43.8％、次は「中途退職者（正規社員）」の24.8％で、正規社員以外の契約社員や派遣社員、役員などを含めた退職者全員を合わせると 34.4％になります。漏えい先に関しては、同報告書によると「国内の競合他社」が 32.4％と一番多く、外国を含めると競合他社への漏えいが 42.9％となり、自社の事業へ大きな影響を及ぼす可能性が高いことがうかがえます。

▼情報処理推進機構「企業における営業秘密管理に関する実態調査」報告書について

　一般的に、情報漏えいの主な原因として、電子メールの誤送信、情報が保存されたパソコンや USB メモリ、スマートフォンの持出しや紛失・盗難などが挙げられます。近年では、ソーシャル・ネットワーキング・サービス（SNS）などに、従業員が企業秘密を掲載して問題となるケースも発生しているため、広範囲での注意が必要になっています。

　情報漏えいを防ぐ基本的な方法としては、大きく①物理的な措置、②人的な措置、③取引先などへの措置の三つに分けて考えるとわかりやすいと思います。一つ目の物理的な措置の主なものとしては、企業秘密へアクセスできる人間を限定する、パソコンにパスワードをかける、紙の書類は鍵のかかるキャビネットで保管する、私物の USB メモリなどの持込み・利用を制限するなどが挙げられます。またリスクの大きさによって「極秘」「厳秘」「丸秘」「社外秘」などに階層化し管理するのも有効な方法です。二つ目の人的措置には、企業秘密や個人情報に対する従業員などの認識を向上させる、企業情報取扱いなどに関する社内規程を策定する、従業員と秘密保持契約を結ぶ（誓約書を交わす）などがあります。最後の取引先などへの措置に関しては、取引先と機密保持契約などを締結する、漏えいなどに対する法的措置の規定を契約書に記載する、企業秘密の情報をわたす際にその旨を表示するなどが挙げられます。また、来訪者の立ち入り区域を制限する、事務所の引っ越しの際は鍵がかかる部屋に保管し、移動時には従業員が立ち会うなどの対応も必要です。情報の漏えいはなかなか気付きにくいものですので、まずは防止策を行っていくことが重要です。もし漏えいした場合は、その対処とともに、状況の正確な把握と原因の究明を必ず行い、防止策にフィードバックするようにしていくことが求められます。他社との差別化をはかり、市場における競争力をより高めていくためにも、企業情報の漏えいに対する取組みは欠かすことができないものだと言えます。

　以下の内容は、経済産業省が平成28年に公表した「営業秘密情報の保護ハンドブックのてびき：情報管理も企業力」です。営業秘密情報の漏えいを未然に防ぐための具体的な事例に応じた対策例が紹介されており、標的型攻撃メールや重要な情報へのアクセス権、LANの分離等の情報セキュリティ対策について記載されており、自社の現状と照らし合わせて参考にすべきことが多いと言えます。

▼経済産業省「秘密情報の保護ハンドブックのてびき；情報管理も企業力」

＜自社の秘密情報の漏えい対策＞

• 保有する情報をどのように洗い出し、その情報をどのように評価するのか。
• 秘密として保持する情報と、そうでない情報を分ける際の考え方。
• 情報漏えい対策は、闇雲に実施するのでは非効率。犯罪心理学等を参考にして、誰を対象とし、何を目的とするかに整理して対策を紹介。

＜5つの「対策の目的」＞

• 秘密情報に「近寄りにくくする」・・・アクセス権の限定、施錠管理等。
• 秘密情報の「持出しを困難にする」・・・私物USBメモリ等の利用禁止等。
• 漏えいが「見つかりやすい環境づくり」・・・レイアウトの工夫、防犯カメラの設置等。
• 「秘密情報と思わなかったという事態を避ける」・・・マル秘表示、ルール周知等。
• 社員の「やる気を高める」・・・ワークライフバランス、社内コミュニケーション等。

＜他社から意図せず訴えられないために＞

• 保有する情報は、自社の独自情報と立証できるようにしておく。
• 転職者の受入れ、共同研究開発など、他社とのトラブルが起きやすい場面ごとに対応策を紹介・・・前職での契約関係の確認、他社情報の分離保管など

＜もしも情報漏えいが発生した時の対応＞

• 情報漏えいの兆候をいち早く把握するための留意点。
• 情報漏えいが確認された時の初動対応、社内調査、証拠保全。

ページ先頭へ

セミナーや研修について

　当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。
　セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】

株式会社エス・ピー・ネットワーク 総合研究室

Mail：souken@sp-network.co.jp

TEL：03-6891-5556

• 情報漏洩
• 情報セキュリティトピックス
• 不正アクセス