退職後に社外の Web サービスへ不正アクセスされた事案から分かる、外部サービスのアカウントの止め方

ある人材サービス会社の元従業員が、個人情報保護法違反などの疑いで警視庁に逮捕されました。この会社は 2023 年 9 月 15 日、これを公表しています。公表文は、入られた先を「当社が利用している名刺管理システム」と書いており、社内のシステムか、外部の事業者が提供するサービスかは書かれていません。

何が起きたか

公表文によると、この会社を退職した元従業員が、会社が利用している名刺管理システムに不正にアクセスし、会社が保有する顧客などの名刺情報を漏えいさせました。不正アクセスの法律上の定義は不正アクセスとはにまとめています。

会社は、個人情報が漏えいした可能性がある方にお詫びの連絡を済ませ、個人情報保護委員会に報告し、警察に相談して捜査に協力していると述べています。漏えいが起きたときに事業者に生じる報告と本人への通知は、漏えい等とはにまとめています。

公表された原因と再発防止策

公表文は、元従業員がいつ退職し、いつ、どの ID でシステムに入ったのかを書いていません。再発防止策は「既にセキュリティ対策の強化等を実施しており、引続き再発防止に努めてまいります」の一文です。

同じ型の事故で一般に問われる管理

会社が契約して使う外部の Web サービスの場合、そのサービスは社内のネットワークの外にあります。IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、クラウドサービスと社内システムの根本的な違いを説明しています。インターネットを使うため「いつでも、どこからでも、誰でもアクセス可能」であることです。退職者の社内の端末やメールを止めても、サービス側のアカウントが残っていれば、その人は自宅の端末からでもそのサービスに入れます。退職時に止める対象の一覧に外部サービスが入っていないと、社内の手続きを終えても、社外のサービスに、退職者が入れるアカウントが残ります。

止める手順は、サービスごとに違います。利用者を管理画面から削除できるサービスもあれば、1 つの ID を複数人で使っていて、パスワードを変えるしかないサービスもあります。IPA の「組織における内部不正防止ガイドライン」第 5 版は、利用者 ID とアクセス権(誰がどこまで使えるかの設定)の登録・変更・削除について対策を挙げています。「承認手順や設定終了報告等の手続きを定めて運用」することです。設定を終えたら報告する、という一段があると、止め忘れが人事の側から見えるようになります。

名刺情報のように、営業担当が日常的に入力し、退職後も価値のある情報は、退職の日に「誰が入れるか」を確かめる対象になります。同じガイドラインは、ID とアクセス権が適切に付与されているかを定期的に見直し、人事異動の時期に一斉に見直すことを望ましいとしています。契約している外部サービスの一覧と、サービスごとの利用者の一覧がそろっていれば、止め忘れは次の見直しで見つかります。一覧がなければ見直しの機会がなく、止め忘れは外部からの連絡で知ることになりかねません。

自分の現場を点検する問い