事故から学ぶ

誤送信で20名分の学生情報閲覧可能、入試情報の不適切管理も判明(明石工業高等専門学)

事故概要

業種 学校 高等専門学校
発生時期 2018/7/6
漏えい人数 20人
事故概要

独立行政法人国立高等専門学校機構 明石工業高等専門学は7月6日、学生情報の誤送信と個人情報の不適切な管理が判明したと発表した。
前者の学生情報の誤送信については、6月8日に同校の代表アドレスへ同校教員から送信されたメールによって学生情報が閲覧できる状況にある旨の連絡があり、また同日8時48分に当該教員から学生情報を保管しているリンク先を誤送信したとの申告があり判明したというもの。
これは6月7日に当該教員が担当する科目のメール連絡を学生172名に行った際、無関係の学生情報20名分が保管されているリンクを誤って記載したとのこと。同校では、当該情報についてはリンク先から削除を実施済みとのこと。
後者の個人情報の不適切な管理に関しては、5月24日、5月31日に入試情報の流出について外部から連絡があり、学務システム、作業用・分析用に抽出したデータ、紙媒体の入試資料を確認する等を行ったが、情報が限定的で異状を確認できなかったが、6月4日に当該資料の所在場所を具体的に示す情報が寄せられ、部室に隣接する別室のキャビネットの中に1.平成28年度入学学力検査成績関係資料の一部、2.平成25、26、27年度の教務手帳、3.平成27年度入学者名簿、の3種類の重要な個人情報を含む資料が保存されていることを確認し回収したとのこと。
同校では、6月4日に重大な情報インシデント案件として学内危機対策本部にて調査を実施、当該資料は廃棄紙として再生紙処理業者による回収が行われるまでの間、一時的に保管している場所に置いてあったものが学生に発見され当該学生が持ち帰ったものであることが確認されたとのこと。部室を利用している学生複数名は、当該資料を見たことがあり、そのうち1名が資料の一部を撮影していたことも確認されたが、撮影者の同意を得て現在全てのデータは消去済みで、現時点においては個人情報を含む資料等の内容が校外に流出していないと考えているという。

引用元

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

チェックリストコード:
2-7 パソコン利用教育

チェックリストにある要求ルール:

電子メールを送る前に目視にて送信アドレスを確認するなどのように、宛先の送信ミスを防ぐ仕組みを徹底していますか?
複数の相手先への送信時はTOではなくBCCを使用していますか?

 

チェックリストコード:
2-13 作業ルールの徹底

チェックリストにある要求ルール:
重要情報を社外へ持ち出す時はパスワード保護や暗号化して肌身離さないなどのように、盗難や紛失の対策をしていますか?
個人情報を含む重要情報を郵送やメールで送付する場合、本当に送付する必要があるか、不要な情報が含まれていないか、送付先に誤りがないか作業者と確認者の二重で確認をしていますか。送付記録をつけていますか?

■ 推奨対策

対策:

「ついうっかりToに複数の相手先を入力した」という説明がよくなされるが、そもそもToで送ってはいけない、という意識が醸成されていない中で発生する事故である」
このミスは各所で発生しており、よく知られた漏えい事故であるにも関わらず、対策が「気をつけましょう」という注意喚起で終わってしまい、事故防止に結びつかない典型例でもある。
今回のケースでは、さらに不要なリンクを付けたことでリンク先の個人情報が閲覧された、という事故であるが、送信前に不要なリンク先に気づかなかったチェック体制の不備と、仮に誤送信されたリンク先であっても、正しいログインパスワードが設定されていれば誰でも見ることができてしまうことは防げたはずである。

具体例:

これを防ぐには入力者と送信者による2重チェックを行う誤送信防止チェックが必要である。
メール配信業務を請け負う企業では、相手先欄にあるアドレスと送信予定名簿の突合(不要者の混入防止、アドレス間違いの確認)、To欄の使用禁止と点検者による確認、To欄が空欄であることの証跡コピー(キャプチャ)取得を義務付け、送信ミス防止を徹底させている。送信相手先名簿は事前に別に作成しており相手先チェックも事前に確認する仕組みにしていることから、メール送信時の2重確認は数分で終わっている。複数相手先に送信する業務がある企業では確認自体を手順に組み込むことをお勧めする。
リンク先をメールに貼り付けてある場合は、一件毎にリンクを開いて正しいものであるか確認する手間を惜しまないこと、個別にログインパスワードを設定して誰でも閲覧できてしまうことを防止する必要がある。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。