委託先でのテスト環境からの情報漏えい ― 報告・通知の判断
通信販売業を営むA社(会員48万人)は、基幹システムの運用をB社に委託している。B社の担当者が、障害再現のために本番の会員データをテスト環境へコピーし、そのテスト環境に接続する踏み台サーバの設定を誤って、約3日間インターネットから到達可能な状態にしていた。調査の結果、アクセスログに不審なアクセスが12件記録され、うち1件はデータのダウンロードに成功した可能性が高い。影響を受けた可能性があるのは3,200件で、そのうち40件には健康状態に関する自由記述欄(要配慮個人情報)が含まれる。クレジットカード番号はトークン化されており保持していない。判明から2日が経過しているが、対外発表は未実施。委託契約書にはデータの取扱いと再委託に関する定めが抽象的で、テスト環境への本番データ複製を禁止する条項はなかった。B社は「自社内で完結する問題」と受け止めている。
1. 個人情報保護委員会への報告と本人への通知の要否、および期限を判断せよ。
Read the worked answer
結論:いずれも必要であり、速やかに着手すべきである。
委員会への報告 個人情報保護法上、漏えい等が発生した場合でも、報告義務が生じるのは一定の類型に限られる。本件は次の2点で該当する。
- 要配慮個人情報の漏えい等:健康状態に関する記述が40件含まれる。要配慮個人情報は件数にかかわらず報告対象である。
- 不正アクセスによる漏えい等の疑い:外部から到達可能な状態で不審なアクセスとダウンロードが確認されており、不正アクセス禁止法上の不正アクセスに該当する可能性がある。これも件数を問わず報告対象である。
なお、対象が3,200件であることは「1,000人超」の類型にも該当するが、上記2点だけで結論は同じである。
期限
- 速報:事案の発生を知った後、概ね3〜5日以内。判明から2日経過しているため、余裕はほとんどない。まず分かっている事実だけで第一報を出す。
- 確報:30日以内(不正アクセスが原因の場合は60日以内)。調査の進展に応じて更新する。
本人への通知 報告対象となる事案では、本人への通知も必要である。対象3,200件の特定を待つのではなく、判明している範囲から速やかに連絡する。連絡手段は、メール・郵送・マイページ上の告知を組み合わせる。
判断のポイント 「ダウンロード成功の可能性が高い」という推定段階でも、報告は「確定してから」ではなく「疑いの段階で」行うのが原則である。確定を待って期限を過ぎる方がリスクが大きい。また、B社が「自社内で完結する問題」と考えている点は誤りで、委託元であるA社が保有個人データの管理者として報告義務を負う。
2. 委託先管理のどこに問題があったと考えられるか。再発防止策を具体的に述べよ。
Read the worked answer
問題点
- 契約上の手当ての欠如:データ取扱いと再委託の定めが抽象的で、テスト環境への本番データ複製を禁止する条項がなかった。委託元として、目的外利用を防ぐ契約条款を欠いていた点は監督義務上の重大な不備である。
- 技術的対策の欠如:本番データをそのままテスト環境に持ち込む運用が常態化していた。マスキングや匿名加工の手順が定義されていなかった。
- ネットワーク分離の不備:テスト環境の踏み台サーバがインターネットから到達可能だった。テスト環境は本番と分離し、外部公開を原則禁止すべきである。
- 委託元のモニタリング不足:A社がB社の環境設定やデータ取扱いを定期確認する仕組みを持っていなかった。
再発防止策
- 契約の改訂:本番データのテスト環境への複製を原則禁止し、必要な場合はA社の事前承認を要する旨を明記する。再委託は書面承認制とし、委託先の監督義務、監査立入り権、事故発生時の報告期限(例:判明後24時間以内)を条項化する。
- 技術的統制:テストデータはマスキング(氏名・連絡先・自由記述欄の削除または置換)を必須とする。自由記述欄は特に危険で、形式的なマスキングでは要配慮情報が残るため、原則として本番データを使わない合成データ生成に切り替える。
- 環境分離:テスト環境はインターネットから遮断し、接続元IP制限と多要素認証を必須とする。設定のドリフトを検出する定期スキャンを自動化する。
- 監督の実効性:年1回の立入監査に加え、四半期ごとに設定情報とアクセス権限の棚卸しを求める。
押さえるべき点 再発防止策は「契約」「技術」「監査」の3層で示す必要がある。契約だけでは現場の運用は変わらず、技術的対策だけでは委託先の意識が変わらない。
3. 対外発表と顧客対応をどう進めるべきか。判断の根拠とあわせて述べよ。
Read the worked answer
公表の判断:実施すべきである。 根拠は3点。第一に、要配慮個人情報を含む事案で報告義務が生じており、委員会への報告事案は公表が前提となる運用であること。第二に、不審なアクセスによるダウンロードの可能性があり、情報が既に外部に出ている疑いがあること。第三に、判明から2日経過しており、SNS等で先に広がった場合、説明の信頼性が大きく損なわれること。
発表内容の構成
- 事実:何が、いつ、どのくらいの期間、どのような状態だったか。対象件数は「最大3,200件(調査中)」と幅を持たせる。
- 原因:委託先でのテスト環境への本番データ複製と、踏み台サーバの設定誤り。責任の所在を委託先に押し付けず、委託元としての監督責任に言及する。
- 影響:カード情報は保持していない(トークン化)ことを明示し、過度な不安を抑える。一方で、健康に関する記述が含まれることは隠さない。
- 対応:本人通知の方法、問い合わせ窓口、二次被害への注意喚起。
- 再発防止:契約・技術・監査の3層の対策と実施時期。
顧客対応の実務 対象者3,200件の特定を待つと通知が遅れる。まず判明分に連絡し、追加判明分は順次追加通知する。コールセンターは平時の体制では対応しきれないため、専用ダイヤルとFAQを用意し、回答スクリプトを統一する。
二次被害への注意 カード番号は保持していないが、氏名・住所・健康情報があれば、それを使ったなりすましや標的型メールが可能になる。「A社を名乗る不審な連絡」への注意喚起を通知に必ず含める。
タイミング 委員会への第一報と同じ日か翌日までに公表するのが望ましい。調査が固まるのを待って公表を遅らせると、「隠蔽した」という評価に転じる。未確定部分は「調査中」と明記すればよい。