鍵をかけた棚にしまってあれば、記録媒体はなくならない。そう考えがちですが、東京都水道局で起きたのは、施錠したキャビネットの中から外付けハードディスク(HDD)4台の本体だけが消え、収納箱だけが残っていた、という事案でした。10月23日の水道局の公表によると、HDDには氏名を中心に1,932人分の個人情報が入っていました。
東京都水道局の発表の「紛失内容」から「再発防止策」の部分(10月23日)出典: 東京都水道局(引用)
箱は棚の中に、本体は4台ともない
東京都の発表から、経緯を日付順に並べます。
- 10月2日(金): 職員がHDDの空き容量を確かめようと、施錠して管理していたキャビネットを開けたところ、局が持つHDD4台の収納箱だけがあり、どれにも本体が入っていなかった
- その後: 執務室の中を探し続けているが、今も見つかっていない
- 10月23日: 紛失を公表
HDDには、局が持つ用地の管理や活用の資料などが入っていました。個人情報は1,932人分で、内訳は企業・国・自治体の関係者が1,037人、地域住民などが895人です。大部分は氏名だけで、一部に住所や電話番号などがあります。
水道局は、該当する人に連絡を取っておわびと説明をし、職員に記録媒体の管理を改めて徹底させたとしています。今のところ、流出などの二次被害は確認されていないとしています。HDDの暗号化やパスワードの有無、最後に本体を確かめた時期は、発表に書かれていません。
「鍵をかけた」だけでは足りない理由
この件から分かるのは、保管の場所に鍵をかけても、中身が今そこにあるかを確かめる仕組みがなければ、なくなったことに気づけないという点です。今回、紛失に気づいたきっかけは、空き容量を確かめようとしたことでした。
記録媒体の管理でよく使われる考え方は、次の3つです。
- 数と場所を記録する: 台数と置き場所を台帳で管理し、定期的に照らし合わせる
- だれがいつ使ったかを残す: 持ち出しと返却を記録し、使った人が分かるようにする
- なくしても読めないようにする: データを暗号化し、パスワードを別に管理する
大阪・関西では、尼崎市がUSBメモリーをやめた
関西では、兵庫県尼崎市で2022年6月、住民税非課税世帯などへの臨時特別給付金の事務で、個人情報を含むUSBメモリーが一時なくなる事案がありました。USBメモリーは3日後に見つかり、市によると、調査委員会はデジタルフォレンジック調査(電子データの解析)の結果、個人情報の漏えいは確認されなかったとしています。
尼崎市の調査報告書を受けた市の対応の資料(2022年11月28日)の「調査報告書の概要」出典: 尼崎市(引用)
調査委員会は、委託先の会社が市の承諾を得ずに再委託や再々委託をしていたこと、契約の仕様書で決めていた鍵付きの金属ケースでの運搬が守られていなかったことを指摘しました。市の側も、データの管理者として十分にチェックできていなかったとされています。
尼崎市は2023年6月、19項目の再発防止策をまとめました。市長のメッセージで例に挙がったのは、次の4つです。
- 委託業務のデータのやりとりにファイル転送のサービスを入れ、USBメモリーを使うのをやめた
- サーバールームの監視カメラを増やした
- 外部と内部の情報セキュリティ監査を充実させた
- CIO(最高情報統括責任者)を新しく置き、その補佐役を民間から登用した
職場で外付けの記録媒体を扱う人がやること
- 今ある記録媒体を数える: 外付けHDDやUSBメモリーが何台あり、どこにあるかを、台帳と実物で照らし合わせます。
- 中身を確かめる: 個人情報が入っているものは、暗号化やパスワードの設定があるかを確かめます。要らないデータは消します。
- 持ち出しと返却を記録する: だれが、いつ、何のために使ったかを残します。
- そもそも記録媒体を使わずに済まないか考える: 尼崎市のように、データのやりとりを決まったファイル転送のサービスやクラウドに切り替えると、なくす物が減ります。
たとえば、大阪や神戸の事務所で、顧客の名簿をバックアップのために外付けHDDに入れ、鍵付きの棚にしまっている会社なら、月に1回、台数と中身を確かめる日を決めておくと、なくなったことにすぐ気づけます。
棚に鍵をかけたら終わりやなくて、中身があるかも見とこな。
