事故から学ぶ

行政文書が大量流出 納税記録などのHDD転売 神奈川県

事故概要

業種 神奈川県 地方自治体
発生時期 2019/12/6
漏えい人数 不明
事故概要

納税などに関する大量の個人情報や秘密情報を含む神奈川県庁の行政文書が蓄積されたハードディスク(HDD)が、ネットオークションを通じて転売され、流出していた。県のサーバーから取り外されたHDDのデータ消去が不十分なまま、中古品として出回っていた。県によると、データの消去から廃棄までを請け負った業者の社員が、転売に関与したことを認めているという。
情報の入ったハードディスクを持ち出したのは、破壊処理を請け負った会社の社員。流出したHDDは、本来は復元できないように業者が破壊処理するはずだったものだ。行政が保管する膨大な個人情報が流出するという、ずさんな情報管理の実態が明らかになった。
神奈川県が調査を続けているが、情報流出の事案としては世界でもまれな規模に上る可能性がある。
県が確認したところ、HDDは県庁内の各部局の情報を蓄積する共有サーバーに使われていた。中には、法人名が記載された税務調査後の通知や、個人名や住所が記載された自動車税の納税記録、企業の提出書類、県職員の業務記録や名簿類などが含まれていた。
県によると、転売されていたHDDは、県が富士通リース(東京都千代田区)から借りたサーバーに使われたもので、今春に交換時期を迎え、サーバーから取り外された。富士通リースは県との契約に基づき、データを復元不可能な状態にする作業を、情報機器の再生事業を手がけるブロードリンク(同中央区)に委託。同社に対し富士通リースは、破壊して作動しないようにしてから廃棄するか、データを完全に消去するよう指示していた。
県からブロードリンクに引き渡された時点で、HDDには簡易なデータ消去(初期化)が施されていた。HDDは都内にあるブロードリンクの施設で保管されていたが、データの消去作業の担当者が一部を持ち出し、オークションサイトに出品したという。
出品されていたHDD9個を、IT企業経営の男性が仕事に使おうと落札。使用前に安全性を確かめるため男性が中身を確認したところ、データの存在に気づいた。復元ソフトを使うと、神奈川県の公文書とみられる大量のファイルが保存されていたという。
男性からの情報提供を受け、朝日新聞が11月27日に県に情報流出の可能性を指摘。HDDに記されていた製品番号から、県のサーバーに使われていた実物と分かった。
富士通リースは「現時点でコメントできることはない」としている。ブロードリンクの幹部は取材に対し、流出があったことを認めた上で「現時点では詳細を説明できない」と話した。
ブロードリンクのウェブサイトには「主要取引先」として、複数のメガバンクや大手電力会社の社名のほか最高裁、防衛省などが挙げられている。

HDD転売者の一問一答 「行政文書とは知らなかった」
納税などに関する大量の個人情報や秘密情報を含む神奈川県庁の行政文書が蓄積されたハードディスク(HDD)が、ネットオークションを通じて転売され、流出していたことが朝日新聞の取材で分かった。県のサーバーから取り外されたHDDのデータ消去が不十分なまま、中古品として出回っていた。県によると、データの消去から廃棄までを請け負った業者の社員が、転売に関与したことを認めているという。

引用元 朝日新聞

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

チェックリストコード:
(第22条)委託先の監督(第23条)第三者提供の制限 業務委託規則の整備、情報漏えい防止策の徹底

チェックリストにある要求ルール:

委託先契約書に秘密保持(守秘義務)の項目を盛り込むなどのように、取引先に秘密を守ることを求めていますか?
個人情報は法で定められた場合を除き、同意を得られない限り第三者提供しないことを守っていますか?
委託会社が勝手に再委託しないように契約しかつ管理していますか?
契約終了時に秘密情報は消去破棄するように定めていますか。また消去破棄の確認方法を定めていますか。

■ 推奨対策

対策:

問題は、県の職員が業者に廃棄委託をする際にデータの完全削除をしなかったことが主因である。処分を請け負った会社の管理不手際は、廃棄処分の専門会社としてはあまりにお粗末で、これは別の次元で課題として取り上げたい。

具体例:

個人情報が記載された書類は、廃棄時は融解処分。電子機器は高電圧通電によるデータ破壊と機器自体の破砕、というのが完全消去方法である。
中小企業ではなかなか手が出せない問題ではあるが、今回の事案を契機に低価格化と完全徹底が図れることを望みたい。
なお、紙ファイルのシュレッダー処分だが、短冊形に切っただけでは貼り合わせて復元できることは、アメリカでコンテストが開かれているほどの常識でもある。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。