事故から学ぶ
議事録をWebサイトで誤公開 個人情報含む約2000件が外部スタッフのミスで流出
事故概要
| 業種 | 民間企業 |
| 発生時期 | 2020/4/13 |
| 漏えい人数 | 1962 |
| 事故概要 | クリエイター向けファンコミュニティーサービスを提供するミーチュー（東京都港区）は4月25日、外部スタッフのミスにより、個人情報が書かれた社内の議事録1962件を、公式Webサイト上で誤って公開していたと発表した。すでに公式Webサイト上からは議事録を削除したという。議事録に書かれていた情報は氏名やメールアドレス、組織名など。住所やクレジットカードなどの情報は含まれていないとしている。議事録を誤公開したのは13日午前11時39分。外部から問い合わせを受け15日午後9時59分に情報漏えいを確認し、同日午後10時57分に議事録を削除した。 |
| 引用元 | ITmedia, |
■ 事故原因
事故の原因はチェックリストの下記項目が該当すると推察します。
（第21条）従業者の監督 作業ルールの徹底（ホームページ・メール本文誤開示防止）
チェックリストにある要求ルール：
法律が改正されクッキーの利用方法が制限されました。法律に則ったクッキーの利用方法になっていますか？
ホームページやSNS、同報メール、FAXに情報を掲載する際、個人情報、社外秘情報が含まれていないこと、添付ファイルに誤りがないことを、複数回、複数の人でチェックしていますか。
ホームページへの情報掲載直後に、アップロードした資料などに個人情報が掲載されていないか、複数の人で確認していますか。
ホームページからデータ検索をしたときに、不要な情報が開示されていないか複数のブラウザで確認していますか？
Webから登録させる仕組みの中で、過去履歴を検索させたときに他人の履歴や他人の情報が開示されていないかかくにんしていますか？
ホームページ掲載時に不適切な掲載がないか、複数の人で確認をしていますか？
会報、取引先を含めたグループニュース、企業が発信者のSNSなどへの掲載時に個人情報が含まれていないか確認し、あるいは掲載対しての許可など本人の承認を得ていますか？
システム開発時にデータが関係者以外からアクセスできるようになってたり、不要な情報開示がされていませんか？
偽りのドメインを利用したページとの混同を避ける制御、注意喚起をしていますか？
委託先にもまったく同じレベルで、個人情報の取扱い規則の周知徹底と監視監督をしていますか？
■ 推奨対策
対策：
コンピュータは繰り返し処理に使うもので、新しいこと、違うことをやらせるときには簡便に見えても、徹底したテストが必要である。
テストにはある程度確立したルールもあり、テストをやらない、あるいはテストを省く条件も決められている。データを取り込んで出力する、という一見なんでもない処理であっても、テスト未実施という手抜きをすればこのような事態を引き起こす。テストを省くことを許容する組織の問題である。
具体例：
コンピュータは繰り返し処理に使うもので、新しいこと、違うことをやらせるときには簡便に見えても、徹底したテストが必要である。
テストにはある程度確立したルールもあり、テストをやらない、あるいはテストを省く条件も決められている。データを取り込んで出力する、という一見なんでもない処理であっても、テスト未実施という手抜きをすればこのような事態を引き起こす。テストを省くことを許容する組織の問題である。
ご入会のお手続きはこちら
会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 （会費のお支払方法により、入会手続きが異なります。） 詳しくは、「ご入会の流れについて」をご確認ください。
