プライバシーマーク・ISMSナビ

プライバシーザムライが、プライバシーマーク/個人情報保護、ISMS/情報セキュリティの最新情報をお届けします。

デジタル庁に対する指導文書

皆さんこんにちは。
プライバシーザムライ中康二です。

今年の春からくすぶり続けているマイナンバーとマイナンバーカードに関する問題。これはいわば政争の具になっており、問題が起こるたびに「デジタル庁はどうなっているんだ!」という話になり、河野大臣が人気を下げていますが、この騒ぎで飛んできた火の粉を被ることになったのが個人情報保護委員会(PPC)。

PPCは、もともと「特定個人情報保護委員会」として発足した組織でもあり、個人情報とマイナンバー全般に関する監視機関ですが、一方で「個人情報/マイナンバーの有用性に配慮する」という命題も抱えており、公正取引委員会/証券取引等監視委員会などのような規制当局としての強面(こわもて)の顔はあまり見せていなかったと思います。

しかし、2022年/2023年の個人情報保護法改正により、行政機関や自治体への監視権も得て、日本の公共/民間双方のセクターにおける個人情報/マイナンバーの取り扱いに関する監視を行わなければならなくなりました。

そこで起こったのが今回のマイナンバー問題。PPCとして初めて、行政機関を相手にして指導を行わなければならない事態になったというわけです。

9月20日、PPCは下記の二つの指導を行ったことを公表しました。

(1)公金受取口座の誤登録等

 デジタル庁に対して>
 自治体が開設したマイナポイント支援窓口において、一人の操作が終わったあとログアウトしないまま他の人の口座を登録することによる誤登録が散発していたのに対して、デジタル庁が適切に対応しなかったために多数の誤登録を誘発する結果となったことに対する再発防止策の指導

 国税庁に対して>
 確定申告の還付先口座を公金受取口座に登録する際、別人に紐づけしてしまったことに対する再発防止の指導

(2)コンビニでの住民票等の誤交付

 富士通Japanに対して>
 利用者が集中して負荷が高まった際に他人の住民票などを誤交付してしまったことと、それが発覚後の対応も不十分であったことに対する再発防止策の実施と結果の報告

 各自治体>
 委託先の監督の観点から再発防止策を取るように指導

https://www.ppc.go.jp/news/press/2023/20230920_02/
https://www.ppc.go.jp/news/press/2023/230920_01/


(私のコメント)
PPCの文書を見ると、とても詳細に調査を行い、問題点を明らかにしています。それはマスコミの報道などとは全く違う世界観です。丁寧に丁寧に問題を分析し、どこがよくなかったのかを淡々と記載し、そして二度とこういうことは起こさないようにという指導を行っています。大変意義深いものだと感じます。

ちなみに今もまだ問題としてマスコミをにぎわしている「マイナンバーカードの健康保険証利用における紐付け誤り」 については、PPCからの指導は出ていません。次はこれが来るんだろうと思います。

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

名刺データ、管理にリスク 個人情報提供疑いで初逮捕
(画像は日経新聞のWebサイトより)

皆さんこんにちは。
プライバシーザムライ中康二です。

報道によりますと、都内の建築関連の人材派遣会社に勤めていた男性が、同社で活用していた名刺管理クラウドのアカウント情報を転職予定先の会社に知らせ、転職予定先の社員がその名刺情報を営業活動に不正利用したことにより、警視庁に逮捕されたとのことです。

報道の内容と人材派遣会社の発表を総合すると、今回の事件は下記のようになります。
・同社が活用していた名刺クラウドには数万人の名刺情報が登録されていた
・本人のアカウント情報ではなく、同僚のIDパスワードを転職先に知らせた
・転職予定先の会社では不正に取得した情報を元に営業活動を行い、契約も成立させていた
・逮捕容疑は個人情報保護法と不正アクセス禁止法違反の疑い
・個人情報保護法は個人情報データベース等不正提供罪(179条違反)と考えられるが、この条項での逮捕事例は全国で初めて。これまで顧客情報の不正提供に関しては、不正競争防止法の営業秘密侵害での摘発が行われてきたが、今回は不正競争防止法違反に必要な「秘密管理性」「有用性」「非公知性」の3つの条件を満たすことができないと判断され、今回は個人情報保護法と不正アクセス禁止法での摘発となった
・不正アクセスが行われたのは2021年6月から2022年9月までで、同社がパスワードを変更したことによりこの不正アクセスは終了した
・同社では、下記の対応を取ったとのこと。
 [出した可能性のある人全員に通知し、謝罪を行った。
 個人情報保護員会への報告を行った
 セキュリティ対策の強化等を実施した

元勤務先のニュースリリース
https://worldcorp-jp.com/news/2023/20230915.html

(私のコメント)
ついに「不正競争防止法違反」「不正アクセス禁止法違反」に次いで、「個人情報保護法違反」で捕まる時代がやってきましたね。これらは刑事事件になりますから、ある日突然警察の人がやってくる訳です。のんびりしていられない事態になります。

そのような事態にならないためにも、セールスフォースやSansanといったクラウドサービスを利用して顧客データベースを構築している場合には、二要素認証やシングルサインオンなどを利用して、不正利用されないための対策をしっかり取ることが重要になると思います。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。


JIS Q 15001:2023
(画像はJIS Q 15001:2023の表紙です)

Pマーク新審査基準2022セミナーを視聴する

皆さんこんにちは。
プライバシーザムライ中康二です。

2022年4月の改正個人情報保護法施行を受けて、プライバシーマークの準拠規格となっているJIS Q 15001の改訂作業が行われてきましたが、ようやく作業が完了し、9月20日に「JIS Q 15001:2023(2023年版)」が正式に発表されました!

既に法改正から一年半が経過していますから、待望の規格改訂と言えます。ただし、プライバシーマークの審査は、今回の2023年版の登場を待たず、すでに改正個人情報保護法の内容を盛り込んだ「個人情報保護マネジメントシステム構築・運用指針(いわゆる審査基準)」に基づくものに移行しており、肝心のJIS Q 15001が遅れて登場したということになります。

今回の改訂ポイントを大きくまとめると下記のようになります。

(1)PDCAサイクルに関する規定は規格本文に集約

「個人情報保護方針」「個人情報の特定」「リスクアセスメント」「計画」「運用」「監査」「見直し」などのPDCAサイクルに関する規定は、附属書Aから一掃され、すべて規格本文に集約されました。

(2)附属書Aは個人情報保護法への対応の規定だけに書き換えされました。

附属書Aはこんな感じになりました。
JIS Q 15001:2023 附属書A
今までの表組のものとまったく違いますよね。

こういう体裁で、
A.1 利用目的の特定
A.2 利用目的による制限
A.3 不適正な利用の禁止
A.4 適正な取得
A.5 要配慮個人情報などの取得
A.6 個人情報を取得した場合の措置
A.7 A.6 のうち本人から直接書面によって取得する場合の措置
A.8 本人に連絡又は接触する場合の措置
A.9 データ内容の正確性の確保等
A.10 安全管理措置
A.11 従業者の監督
A.12 委託先の監督
A.13 漏えい等の報告等
A.14 第三者提供の制限
A.15 外国にある第三者への提供の制限
A.16 第三者提供に係る記録の作成等
A.17 第三者提供を受ける際の確認等
A.18 個人関連情報の第三者提供の制限等
A.19 保有個人データに関する事項の公表等
A.20 開示
A.21 訂正等
A.22 利用停止等
A.23 理由の説明
A.24 開示等の請求等に応じる手続
A.25 手数料
A.26 個人情報取扱事業者による苦情の処理
A.27 仮名加工情報
A.28 匿名加工情報
と、個人情報保護法に対応するための規定が記載されています。

(3)附属書Bが規格本文に関する解説、附属書Cが附属書Aに関する解説となりました

附属書B、附属書Cが、かなり詳細な解説文書となっており、いろいろと参考になる内容が含まれているように思われます。

JIS Q 15001:2023は、JSA(日本規格協会)から有償で購入(冊子版、PDFダウンロード)できるほか、JISC(日本産業標準調査会)のWebサイト上で無償で閲覧できます。

また、これに合わせて、プライバシーマーク制度を運用している日本情報経済社会推進協会(JIPDEC)は、個人情報保護マネジメントシステム構築・運用指針の見直しを行うと発表しています。(時期未定)

JSA(JIS Q 15001:2023)
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=JIS+Q+15001%3A2023

JISC(JIS検索)
https://www.jisc.go.jp/app/jis/general/GnrJISSearch.html
(「Q15001」と検索してください。ユーザー登録が必要です)

JIPDECからの案内文書
https://privacymark.jp/news/system/2023/0920.html

(私のコメント)
待望のJIS Q 15001:2023が登場しました。ただしこの内容がどこまで審査で問われることになるのかは、JIPDECが今後発表することになるであろう「個人情報保護マネジメントシステム構築・運用指針(審査基準)」の改訂版を待つ必要があると思います。それまで、まだじっと我慢の子でいるしかないのではないかと思います。

※なお、本ページでご案内している「Pマーク新審査基準2022セミナー」見逃し配信は、以前に開催したものですが、現在のPマーク審査で用いられている審査基準への対応の内容を含むものとなっておりますので、どうぞ参考になさってください。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

Pマーク新審査基準2022セミナーを視聴する

2023-09-22_09h38_31
(画像はJIS Q 27001:2023の表紙です)

「ISO27001:2022年版対応セミナー」 見逃し配信を視聴する

皆さんこんにちは。
プライバシーザムライ中康二です。

昨年10月にISMS認証の審査基準である国際規格ISO27001が改訂され「ISO27001:2022」となりました。これを受けて、日本産業規格のJIS Q 27001の改訂作業が行われてきましたが、ようやく作業が完了し、9月20日に「JIS Q 27001:2023」が正式に発表されました!

なお、JIS Q 27001:2023の正式名称は
------------------------------------------------------------
情報セキュリティ,サイバーセキュリティ及びプライバシー保護−
情報セキュリティマネジメントシステム−要求事項
JIS Q 27001:2023(ISO/IEC 27001:2022)
------------------------------------------------------------
となりました。今回から、「情報セキュリティ」「サイバーセキュリティ」「プライバシー保護」が目指すものの3本柱となるようです。

内容としては、理論上ISO27001:2022と同じものですので、既に発表されているISO27001:2022またはその対訳版と変わってはいません。主な改訂ポイントは

(1)規格本文は微調整のみです。

ISO27001は前回から「共通テキスト」と呼ばれる上位規格に合わせるものとなっており、今回もその見直しを反映して微調整されているだけです。

(2)附属書Aが全面的に書き換えされました。

最新の情報セキュリティの動向に対応するため、新たな管理策を11個盛り込みました。
既存の項目を再整理し、総数を114個→93個に絞り込みました。
管理策(セキュリティ対策の項目)が、「組織的」「人的」「物理的」「技術的」の4つに再構成されました。

となっています。

JIS Q 27001:2023は、JSA(日本規格協会)から有償で購入(冊子版、PDFダウンロード)できるほか、JISC(日本産業標準調査会)のWebサイト上で無償で閲覧できます。

JSA(JIS Q 27001:2023)
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=JIS+Q+27001%3A2023

JISC(JIS検索)
https://www.jisc.go.jp/app/jis/general/GnrJISSearch.html
(「Q27001」と検索してください。ユーザー登録が必要です)

(私のコメント)
待望のJIS Q 27001:2023が登場しました。これで日本語での表記も固まり、皆様の移行対応もさらに加速できるのではないかと思います。

※なお、本ページでご案内している「ISO27001:2022年版対応セミナー」見逃し配信は、3月に開催したものですが、今回のJIS改訂対応の内容も含むものとなっておりますので、どうぞ参考になさってください。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

「ISO27001:2022年版対応セミナー」 見逃し配信を視聴する

2023-09-06_11h24_26
(画像はプライバシーマーク公式Webサイトより)

皆さんこんにちは。
プライバシーザムライ中康二です。

プライバシーマーク公式Webサイトでは、
マーク制度創立25周年を記念して特設ページを開設しています。

その中でビックカメラさんの取り組みが紹介されていますので、
皆様にもご紹介いたします。

ビックカメラさんと言えば、大手量販店の中ではかなり積極的に
プライバシーマークに取り組んでおられる印象があります。

東京国際フォーラムでセミナーを開催している時、
「うちは店舗なんですが、プライバシーマークは取れますか」というような
質問をいただくことがよくあり、そのたびに、
「お隣のビックカメラさんがプライバシーマークお持ちなので、
どのように個人情報を保護しているか、帰りにでも見ていってください」
とお答えしていたことを思い出します。

大規模な店舗でどのように個人情報保護を実践し、
プライバシーマークを維持しているか、是非記事をご覧になってみてください。

プライバシーマーク25周年特設サイト
https://privacymark.jp/lp/25th/
付与事業者の取組事例 > 株式会社ビックカメラ
https://privacymark.jp/project/publicity/interview/12-a.html

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

unnamed2

プライバシーマーク・ISMS担当者サミット2023  に参加する

皆さんこんにちは。
プライバシーザムライ中康二です。
(オプティマ・ソリューションズ株式会社・代表取締役)

当社も創業から18年となり、コンサル実績は2000件以上となりました。その間、多くのことを経験させていただいて、たくさんのノウハウと知見を得ることができました。

今年から「情報の新選組」というキャッチフレーズを採用し、日本全体の会社と社会の安心を守る存在になりたいと考え、社員一同、日々切磋琢磨しております。

今回はそれらの活動の集大成として、プライバシーマーク、ISMSの担当者の皆様にお集まりいただく、リアルイベントを開催したいと思います。

名付けて「プライバシーマーク/ISMS担当者サミット 2023」!!
東京国際フォーラムの最高の会場をご用意いたしました。


前半のセッションでは、
●プライバシーマークの最新動向(新審査基準になって何が変わったのか?)
●ISMSの最新動向(ISO27001:2022年版への対応方法を解説)

について、当社コンサルタントより最新の情報を共有いたします。

後半のセッションでは、サイバーセキュリティ総研の山口智氏をゲストに迎え
●プライバシーマーク/ISMS取得事業者として今後取り組むべき情報セキュリティ対策のキモ
について、プライバシーザムライと対談していただきます。

途中には、コーヒーブレイクを長めに設定しておりますので、ぜひ皆様同士でも交流を深めていただければと思います。

また、せっかくのリアルイベントです。皆様に喜んでいただける/楽しんでいただける/お役に立つ様々な特典を準備しております。

特典 当社のPマーク/ISMS規程文書ひな形最新版を手に取ってご覧いただけます。
特典 Pマーク審査対応チェックリスト/ ISMS適用宣言書を全員に配布!
特典 休憩時間に当社コンサルタントに自由にご質問していただけます。


他にもあれこれ計画中!

プライバシーマーク、ISMSの担当者の皆様どうぞお集まりください。

※本イベントは、オプティマ・ソリューションズ株式会社と株式会社サイバーセキュリティ総研の共同開催です。

講師紹介
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
2023-08-31_15h34_51
プライバシーザムライ 中康二(なか こうじ)
オプティマ・ソリューションズ株式会社・代表取締役
ソニー出身
プライバシーマークとISMSの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
遠藤さんサムネ画像
遠藤 朝永
オプティマ・ソリューションズ株式会社・取締役シニアコンサルタント
システム開発出身
プライバシーマークの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
2023-08-31_15h31_10
小田一茂
オプティマ・ソリューションズ株式会社・コンサルタント
広告代理店出身
ISMSの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
2023-08-31_15h29_44
山口 智氏
サイバーセキュリティ総研・主任コンサルタント
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

タイトル:「プライバシーマーク/ISMS担当者サミット 2023」

日時:2023年9月20日(水)
 15時00分〜17時30分(14時30分 受付開始)
場所:東京国際フォーラム・ガラス棟会議室(JR有楽町駅より徒歩1分)
内容:
・Pマーク/ISMSの最新情報を知ることができる。
・Pマーク/ISMS取得事業者として今後取り組むべき情報セキュリティ対策のキモが分かる。
・Pマーク/ISMS担当者同士で交流ができる。
講師:プライバシーザムライ 中 康二・シニアコンサルタント 遠藤朝永
   コンサルタント 小田一茂・サイバーセキュリティ総研 山口智氏
参加対象者:
 プライバシーマーク・ISMS取得事業者の役員、担当者の方
 または上記の認証取得を検討中の役員、担当者の方
参加費:無料(一社2名様まで)

主催:オプティマ・ソリューションズ株式会社・株式会社サイバーセキュリティ総研

※恐縮ですが、弊社と同業になるコンサルタントの方は参加ご遠慮ください。

参加される方は下記のボタンから登録してください。

    ⇓⇓⇓⇓⇓⇓⇓⇓
    ⇓⇓⇓⇓⇓⇓⇓⇓
    ⇓⇓⇓⇓⇓⇓⇓⇓


プライバシーマーク・ISMS担当者サミット2023  に参加する

皆さまとお会いできるのを楽しみにしております!
プライバシーザムライ 中康二

【鉄則】ChatGPTなどの生成AIには個人情報を入力しないこと

皆さんこんにちは。
プライバシーザムライ中康二です。

ChatGPTをはじめとする生成AIの登場は、私たち人類社会にとって、
まさに彗星が落ちてきたようなインパクトを持ち、
社会の在り方を一変する可能性まで秘めているのではないかと考えられています。

その変革のさなかにいる私たちとして、
最も気を付けるべきことが一つあります。

------------------------------------------------------------
それは「生成AIには個人情報を入力しない」ということです。
------------------------------------------------------------

実は生成AIは、日々日々私たちが使うたびに、
そのやり取りでの成功と失敗を記録し、学習データとして
それ以降のやり取りに活かすようになっています。

ですから、「山田太郎さん(仮名)は、カレーライスが好きだ」
という情報を生成AIに入力すると、それを学習する可能性がありますし、
その情報を他の人とのチャットにおいて、出力する可能性があるのです。

現在のChatGPTは、個人情報を出力しないように
プログラミングされているようです。

しかし、学習してしまう可能性は否めないのです。

このことについては、
日本のPPC(個人情報保護委員会)をはじめとする
世界のプライバシー当局が注目しており、
ChatGPTを運営するOpenAI社に対して
「個人情報を学習しないように」と指導しているという実態もあります。

ですから、とにかく私たちとしては、生成AIを使う際には
個人情報を入力しないようにしましょう。

また、当然のことですが、機密情報も同じように
入力しないようにしましょう。

このことさえ徹底すれば、生成AIは私たちの仕事や生活を
大いに改善してくれる可能性がありますから、
どんどん活用してよいと思います。

(補足)大企業や自治体など、公式に生成AIを導入している場合の多くは、
有料の特別な契約を結んだり、自前のシステムを用意したりすることで、
上記のリスクを抑えている場合も多いようです。(それでも安心はできないです)

東京都の文章生成AI利活用ガイドライン
https://www.digitalservice.metro.tokyo.lg.jp/ict/pdf/ai_guideline.pdf

(過去の記事)
個人情報保護委員会がChatGPTに関する注意喚起を公表
https://www.pmarknews.info/privacy/52172923.html

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

社労士向けクラウド「社労夢」が不正アクセスに関する調査結果を発表
(画像は同社のWebサイトより)

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止していた件に関して、同システムを運営しているエムケイシステム(本社:大阪市)は、7月19日付で、これまでの調査で明確になった事実を取りまとめて正式に発表しました。

結果的には「一切の情報漏えいは確認できなかった」ということになりました。特にマイナンバーは別管理をしていたから漏えいの可能性は一切ないという発表です。

以下、同社の公表内容を要約します。

6月5日 同社の複数のサーバー上のデータが暗号され、システムが停止
   (ユーザー数3400)
    ランサムウェアによる被害と判明、ネットワークを遮断して対処
    外部の情報セキュリティ専門会社に対応要請
6月6日 大阪府警に連絡
    Webサイトに情報を掲載
6月8日 個人情報保護委員会へ速報
6月9日 Webサイトに情報を掲載
6月21日 Webサイトに情報を掲載
6月30日 一部サービスを再開
7月19日 個人情報保護委員会へ確報
    Webサイトに情報を掲載

外部の第三者による侵入経路、不正アクセスの影響を受けたサーバー機器、侵害状況と漏えいの恐れのある情報範囲については、いずれも調査の結果判明しているとのことですが、「今後のことを考慮して」非公表としています。

また、情報が外部に漏えいした可能性は完全には否定できないものの、これまでの調査の結果では漏えいの痕跡は確認できておらず、またダークウェブなどにも掲載されていないとのことです。

エムケイシステム社
「当社サーバへの不正アクセスに関する調査結果のご報告(第3報) 」
https://contents.xj-storage.jp/xcontents/AS97180/813d570f/5138/4bc7/a113/f4837598df38/140120230719524126.pdf

(以前の記事)
6月13日付 社労士向けクラウド「社労夢」が不正アクセスを受けサービス全面障害〜1000万人マイナンバーは無事か?〜
6月20日付 社労士向けクラウド「社労夢」不正アクセス事件の続報〜1000万人マイナンバーは無事と弁明〜
7月6日付 社労士向けクラウド「社労夢」がサービス再開〜情報流出はなかったらしい〜

(私のコメント)
「1000万人マイナンバーが危機にさらされているのかも知れない」と、大きな危惧を持ってこの事件に注目してきましたが、一応の収束を得ました。情報漏えいはなかった、特にマイナンバーに関しては漏えいは確実になかったとのことで、ホッとしました。(侵入してデータ暗号化までしておいて、持ち出さなかったとは、攻撃者が初心者でミスしたのかもしれません)

そして、同社は事件発覚から1か月半で、個人情報保護委員会への確報までたどり着いていて、振り返ってみると意外と短い期間で収束させたということになります。しかし、その過程において、今回の事件ほど混乱と不透明性が伴ったことはないという感想を持ちました。これは何だったのでしょうか?

それは同社の広報体制が「最低限のことしか公表しない」「報道機関の取材にも協力しない」というスタンスであったことにあると思います。

「これは事件であり、捜査にも影響するから今は言えません」「マイナンバーは別システムで管理しており、今のところ攻撃された痕跡は確認されていません」というようなことだけでも対外的にきちんと説明していれば、もう少し不安は解消されたと思います。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

トヨタ自動車の漏洩事案に関して、PPCが個人情報保護法に基づく指導を実施〜何が個人情報だったのか?〜

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会(PPC)は、今年5月に発覚したトヨタ自動車株式会社(愛知県豊田市)での個人情報漏洩事案に関して、個人情報保護法第147条に基づく指導を行ったと7月12日付で発表しました。

今回の事件は、トヨタ自動車の利用者向けサービスである「T-Connect」「G-Link」に関するもので、約10年間にわたり、合計230万人分の下記の情報がインターネット上から閲覧できる状態にあったとのことです。

T-Connect 車載機ID、車台番号、車両の位置情報、時刻
G-Link   車載機ID、更新用地図データ、更新用地図データの作成年月日等に関する情報

また、この業務は関連会社のトヨタコネクティッド株式会社に委託されていたとのことです。

PPCが指摘したポイントは下記の3点です。
,海譴蕕両霾鵑個人情報であるとの認識がされていなかったこと
▲機璽弌爾寮瀋蠅防堡があり、意図せずインターネット上に公開されていたこと
0兮先の監督が不十分であったために、事態が放置されていたこと

PPCは、トヨタ自動車に対して再発防止策を立案し、実行することを指導しました。

https://www.ppc.go.jp/news/press/2023/230712_01/

(私のコメント)

今回の事案は「名前」が含まれていない個人情報の漏洩事案であり、少し珍しい事態です。どこが個人情報と認識され、PPCが指導したのでしょうか?

ここでもう一度、個人情報の定義に立ち返ってみたいと思います。個人情報の定義は、「生存する個人に関する情報であって、特定の個人を識別できるもの」です。これには「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」とされます。では今回、漏洩したとされる情報のどこが個人情報なのでしょうか?

それは「車台番号」に秘密があるように思います。車台番号というのはメーカーが自動車を製造した際に発行される通し番号だそうです。車台番号は車検証に記載されているほか、クルマの室内の見えにくいところに刻印されており、所有者でない限り容易には見れないようになっています。ただし、この車台番号をメーカーのWebサイトなどに入力すれば、どの車種のどのグレードなのかなどが容易に分かるようになっているとのことです。

では、今回漏洩したと言われる情報を使って、どのように本人を特定できるのか、シミュレーションをしてみたいと思います。

自分が探偵であり、ある特定のターゲットの動向を追いかけているとします。その人は高級なトヨタ車に乗っており、「T-Connect」サービスに加入しています。そうすると、今回漏洩していたデータからその地域にいるクルマをざっと検索し、車台番号から車種とグレードを調べることで、ターゲットは数台に絞り込まれます。しばらくそのクルマの移動を追いかけて、絞り込んだ数台の位置情報と照合すれば、いつかはそのクルマの車台番号を特定することができるでしょう。そして、いったん車台番号を特定してしまえば、そのあとはそのクルマが「いつ」「どこ」を走っていたのかをいくらでもインターネット上で知ることができるようになります。

これが「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」に含まれるのかどうかは、個人的には少し疑問があります。しかし、今回のPPCの指導からひも解くとすれば、この解釈くらいしかないのではないかなと思いました。

今回のPPCの指導の裏側にある事情は私は知りません。海外ではダイレクトに個人情報が漏洩していた事案も発生していたようです。今やトヨタ自動車といえば、日本経済を支える最大の企業グループですから、しっかりしてほしいという考えもあるのかもしれません。同社が再発防止を行い、このような事案を起こさない体制を作られることを私も望みます。

(参考記事)
【用語集】個人情報の定義は何ですか?どこまで含まれるのですか?
https://www.optima-solutions.co.jp/dictionary/kojin_joho/

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

社労士向けクラウド「社労夢」がサービス再開〜情報流出はなかったらしい〜
(画像は同社のWebサイトより)

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止していた件に関して、同システムを運営しているエムケイシステム(本社:大阪市)は、サービス停止から約1か月の7月3日付で、一部サービスを再開すると発表しました。

このサービスは、国内の勤労者800万人以上(とその家族)の個人情報、給与支給情報、マイナンバーなどを管理する、国内有数の規模であり、その動向が心配されていました。

同社では、最低限の情報しか公表していないため、依然として全容がつかめていませんが、同社としては
・従来の環境ではなく、AWS(Amazonクラウド)上でシステムを構築した。
・サービス再開にあたり、セキュリティ面の強化を実施した。
・個人情報流出の痕跡は発見されていない。
・マイナンバーは、他の社労夢製品とは切り離した別環境で完全に暗号化されている。
と説明しており、情報流出はなかった模様です。

エムケイシステム社リリース
https://www.mks.jp/company/topics/20220703a

(以前の記事)
https://www.pmarknews.info/accident/52173171.html
https://www.pmarknews.info/accident/52173440.html

(私のコメント)
当初「1000万人マイナンバーが危機にさらされているのかも知れない」と、大きな危惧を持って注目手してきたこの事件ですが、今のところ収束に向かって動いているようです。ただし、同社の情報公開が不十分であることは変わりなく、同社にはどこかのタイミングでしっかりと外部に説明していただきたいと思います。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

unnamed
(画像は同社のWebサイトより)

皆さんこんにちは。
プライバシーザムライ中康二です。

6月5日に、社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止してから既に2週間が経過しました。このサービスは、国内の勤労者800万人以上(とその家族)の個人情報、給与支給情報、マイナンバーなどを管理する、国内有数の規模を誇っていました。

しかし、本サービスを運営しているエムケイシステム(本社:大阪市)は、6月9日を最後に、Webサイト上で事件に関する情報を公開していません。

2023-06-20_14h13_01

顧客である社労士に対してはもう少し詳細な事情説明を行っているようで、Twitterなどではそれらの情報がちらほら見えますが、我々部外者には分からないことです。

驚いたことには、日経新聞の6月13日の記事によると、同社は記者の取材要請に対して「サイバー攻撃に関する問い合わせは受けない」と回答したそうです。

また、東京新聞が6月15日に「マイナンバー800万人分を扱う社労士支援システムにサイバー攻撃…情報集約とひも付けのリスクを考える」とのタイトルの記事で本事件に触れたことに対して、同社は「東京新聞に掲載された記事について」とのリリースをWebサイトに掲載。その中で「同記事は事実に基づかない全くの憶測にすぎず、(中略)東京新聞の発行元に抗議し、事実と異なる点につきまして訂正するように要請すべく、弁護士に相談している」と反発する姿勢を見せています。

ただし、その同じリリース文において、同社はようやく正式にマイナンバーの取扱いについて弁明を行いました。それによると「当社がお客様からお預かりしているマイナンバーは、他の社労夢製品とは切り離した環境で完全に暗号化されており、流用や悪用はできない仕組みとなっております。(中略)現時点では情報流出の事実は確認しておりません」としています。

同社の強硬な態度を見ると、マイナンバーの流出はないのかなあと推測できます。

(今のところはそういう風に理解するしかないのではないかと思います)

日経新聞の記事
https://www.nikkei.com/article/DGXZQOUF134VE0T10C23A6000000/

東京新聞の記事
https://www.tokyo-np.co.jp/article/256708

エムケイシステムの反論リリース
https://www.mks.jp/company/topics/20230616
(相変わらずWebサイトは重いままです)

(以前の記事)
https://www.pmarknews.info/accident/52173171.html

(私のコメント)
同社のWebサイトによると、「社労夢」は全国2754か所の社労士事務所で採用されており、約57万の顧問先事業所の826万人分のデータを取り扱っているとのことです。これを基に、家族分を含めれば、およそ1,000万人分以上のマイナンバーが含まれているのではないかと私は推測しています。

しかし、これまでのところ、エムケイシステムの対応は遅く、情報開示も十分にはされていないため、憶測が憶測を呼び、混乱を招いていると言わざるを得ません。
「もしかして1000万人分のマイナンバーが流出しているから何も言えないのかなあ」
「6月22日に株主総会があるからそれまでは公表しないのかなあ」
「国会のマイナンバー審議に影響があるから黙っているのかなあ」
「岸田首相はこの事実を知っているから解散しないと言い出したのかなあ」など、
もちろんこれらはどれも憶測に過ぎませんが、情報を隠すからこそ、このような状況になるのだと思います。

また、全国の社労士事務所、そしてその顧問先に与える影響は私の予想を超えるものだと思います。社会保険関係の手続きが急に紙ベースに戻り、標準報酬月額の見直しと労働保険の申告という年に一度のイベントを乗り切れるのか、不安に感じている関係者も多いことでしょう。

さらに、PPCへの事故報告やプライバシーマーク審査機関への事故報告をどうするのか、事故報告したくても情報がないため詳細不明のまま出すしかないというような状況も生じています。私たちの会社でも、複数のお客様から問い合わせを受けて対応しています。

私自身、過去18年間にわたり、国内の個人情報流出事件を綿密に追ってきましたが、これほど混乱と不透明性が伴う事件は初めてです。情報開示が極めて少なく、対応が不十分であると感じています。

とにかく、同社からの続報を待つことにしたいです。

繰り返しになりますが、私としては、大事件に発展せず、早急に解決されることを願っております。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

社労士向けクラウド「社労夢」が不正アクセスを受けサービス全面停止〜1000万人マイナンバーは無事か?〜
(画像は同社のWebサイトより)

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」などを展開する株式会社エムケイシステム(本社:大阪市)は、同社が利用しているサーバーに不正アクセスがあり、サーバー上のデータが暗号化され、サーバーが動作を停止したと6月6日に発表しました。

今回、被害が発生したのは、
 ・社労夢V3.4
 ・社労夢V5.0
 ・社労夢Company Edition
 ・ネットde顧問
 ・MYNABOX
 ・MYNABOX CL
 ・ネットde事務組合
 ・DirectHR
であり、同社の主要サービスがほぼ全面停止したと言ってよいのではないかと思われます。

その後、同社が公表した内容によると、
6月5日早朝 データセンター上のサーバーがダウン
      外部専門家の協力の上、調査を開始
      インターネット回線を切断
      対策本部を設置
      警察への通報を実施
6月8日   個人情報保護委員会への報告(速報)
と、緊急対応を続けているようです。

同社ではバックアップしていたデータを復旧させることにより、一部のサービスの復旧を進めているとのことですが、6月12日現在、主要サービスの全面復旧には至っていないようです。

https://www.mks.jp/company/

(私のコメント)

同社のWebサイトによると、「社労夢」は全国2754か所の社労士事務所で採用されており、約57万の顧問先事業所の826万人分のデータを取り扱っているとしています。家族分を含めれば、およそ1,000万人分以上のマイナンバーが含まれている可能性があります。情報漏えいの可能性は現時点では確認されていないとのことですが、万が一の場合、被害は甚大となることが懸念されます。

なお、今回の事態については、現段階では詳細は不明ではありながらも、不正アクセスによる被害とされていますので、個人情報保護委員会(PPC)への「報告対象事態」に当たる可能性が高いと思われます。そのため、多くの社労士事務所ならびに顧問先事業所が、PPCへの事故報告を行ったか、またはその準備をしているものと思われます。

ただし、一件の事件に関して、全国2754か所の社労士事務所と、57万社の顧問先事業所から個別に報告が行われたとしても、PPCがすべてに対応することは困難であり、かえって混乱を招く恐れもあると思います。今回は大元のエムケイシステム社がすでに報告していることもあり、各事業者からのPPCへの報告は現段階では見送ってもいいのではないかと思います(これはあくまでも私の個人的意見です)。ただし、それとは別に本人通知は行う必要があると思います。

とにかく、もう少し詳細が明らかになれば、PPCへの報告ならびに本人通知の必要性や内容の検討などを行えるようになると思います。同社からの続報を待ちたいと思います。

私としては、大事件に発展せず、早急に解決されることを願っております。

(6月17日追記)
同社は東京新聞への抗議のリリースの中で、マイナンバーの流出の可能性はないと公表しました。もっと早く教えて欲しいですね。

https://www.mks.jp/company/topics/20230616

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

↑このページのトップヘ