情報漏えいについては度々伝えさせていただいています。しかし同様の流出事故、事件が後をたちません。つい先日も、廃棄ハードディスクから自治体の重要データが流出してしまった事件は「世界最悪級の流出」というセンセーショナルな見出しで取り上げられました。自分のところは大丈夫とうっかりしていると、ある日大きくニュースに取り上げられてしまうことにつながりかねません。そこで今回は該当のニュースを基に、流出事件の経緯や原因を探りながら、企業が注意すべき情報漏えい対策を2回にわけてお届けしたいと思います。
大きく報道された流出事件
2019年12月6日、神奈川県の行政文書とみられるデータがネットオークションで落札されたハードディスクドライブから流出していたことが大きく報道されました。
納税記録・職員評定…秘密のはずが 世界最悪級の流出
納税記録などの個人情報や秘密情報を大量に含んだ神奈川県の行政文書のデータ20テラバイト超が外部に流出していたことが分かった。その膨大なデータ量もさることながら、流出情報の「中身」がより深刻だ。
納税に関する個人や法人の情報、公共事業に絡む様々な書類、職員の評定や公共施設の設備に関する図面……。これらの多くは本来、決して表に出てはならない情報のはずだ。
ひとたび悪用されれば、その影響は計り知れない。県の事務遂行に支障が出るだけでなく、犯罪すら引き起こされかねない。そんな情報が暗号化されることなく、ハードディスク(HDD)にめいっぱい書き込まれていた。
引用:
神奈川県のHDD流出、廃棄業者社員がネットオークションで転売
神奈川県は6日、個人情報を含む大量の行政文書を記録したハードディスク(HDD)がネットオークションを通じて転売されたと発表した。データ消去を請け負った「B社」(東京都中央区)の社員が処理前のHDD18個を持ち出して出品し、9個を落札した人が県のデータと気づいた。同社から連絡を受けた警視庁は6日夜、同社の社員の男を窃盗容疑で緊急逮捕した。
捜査関係者によると、男は今月3日、職場のB社社内から複数のHDDを持ち出し、盗んだ疑い。県庁のHDDとは別だという。調べに対し、容疑を認めている。
引用:
今回大きく騒がれたニュースでは、廃棄を請け負った処分業者(B社)の社員が、不正にハードディスクを社外に持ち出し、そのハードディスクをネットオークションで転売しました。その後落札者によって元のデータが復元されて発覚しました。そのデータ内容は、税務調査内容の通知、自動車税申告書、法人提出書類、県職員の業務記録、教職員の名簿等であると分かっています。朝日新聞では見出しで「世界最悪級の流出」ともつけて、センセーショナルに報道しました。
流出してしまった原因は?
神奈川県は、富士通リース株式会社横浜支店とのリース契約終了に伴い、ファイルサーバーを交換するため504台のハードディスクを今年2月に返却しています。その後富士通リースがB社へファイルサーバーのハードディスクの廃棄を依頼しました。発覚までの流れを時系列的にまとめてみました。
- 神奈川県は返却の際は初期化作業を行いデータ全ての消去作業を行っていた。
- 神奈川県はハードディスク内のデータの暗号化は行っていなかった。
- 神奈川県の担当者は富士通リースが廃棄処理をB社に委託していたことは把握しておらず直接的な契約もなかった。
- 返却から7カ月経過した後も富士通リースからハードディスクの消去証明書の提出を受けていなかった。
これらを見ていくと、原因ともなるいくつかの問題点が浮かび上がってきます。
フォーマットしていたから安全という誤解
まず神奈川県はリースで返却する際に、ハードディスクの初期化を行った上で返却したと説明しています。さらに今回不正に転売されたハードディスクは、出品者によってNTFSフォーマットがされていたにも関わらず、落札者は復元ソフトを用いてデータサルベージを実施し、神奈川県の公文書情報とみられるデータを発見したと報じられています。つまりは、簡単なフォーマットや市販のソフトでのデータ消去では簡単にデータは復旧できてしまうということです。特にOSに標準搭載されているファイル削除方法ではデータは初期化(削除)されていません。この状態では削除したデータについての目次情報は消えているものの、各ページに書いてあるデータ本体はそのままであり、削除されているわけではありません。
社内の管理体制の杜撰さ
B社のデータ消去室では指紋認証等が行われ、有資格者のみが入室可能となっていました。しかし今回逮捕された元社員は「簡単にできたので毎日のように盗んでいた。」と供述しています。逮捕時には社内のロッカーから複数のハードディスクが新たに発見されています。このことから不正防止のためのセキュリティは形だけで機能していなかったことがわかります。
さらには、委託元の富士通リースや、大本の神奈川県もハードディスクの消去証明書をやりとりしていない、B社に委託されていることを把握していないといった管理の杜撰さが指摘されています。神奈川県は富士通リースに返却した後はどのように処分がされるか把握しておらず、処分の立ち合いはもちろん、富士通リースからハードディスクの消去証明書の提出も受けていません。これについて総務省は、処理作業完了まで職員の立会を含む緊急の注意喚起を全国の自治体に行っています。
ハードディスクの安全な処分方法
企業では一定のサイクルでパソコンやサーバの入れ替えが必要となり、大量のハードディスクを処分する必要がでてきます。パソコンを処分するには主に次のような方法があります。
1・回収業者に処分を依頼する
2・中古品の買い取り店に買い取ってもらう
3・パソコンメーカーの回収サービスを利用する
今回処分を請け負ったB社も回収・処分を行う処分業者です。このような業者は「パソコン処分」「パソコン廃棄」などのキーワードで検索をすると、たくさん見つけることができます。問題は、そこが本当に信頼できる業者なのか確実に分からないということです。また中には自分で中古品として再販したり、オークションに出したりするところもあるようです。その際は自分できちんと確実にハードディスク内のデータを消去しきれているのか責任を持たないといけません。そして、リースなども多い企業では、メーカーにそのまま返してその後の処分を任せてしまうことも多いケースです。実際今回の神奈川県もこのケースです。任せてしまえば安全とは言えないのが今回の事件でも発覚しました。一連の経緯を総括して、神奈川県自身も公式サイトで原因と再発防止について次のように述べています。
原因
・富士通リース株式会社横浜支店から作業を請け負った株式会社B社の社員管理・作業管理体制や事故防止対策の不備により、ハードディスクが横領可能な状態にあったことが一次的な原因です。
再発防止策等
・県では従前より情報漏洩防止のため、重要情報が格納されている機器(サーバー等)をリース満了によりリース会社に返却する場合、県内部の初期化作業でデータを全て消去し、さらにリース会社が「データ復旧が不可能とされている方法によりデータ消去作業を行うものとする」としています。
・今後は、情報漏洩防止を徹底するため、契約満了時には、本県職員が立ち合いのもと、データ記憶装置を物理破壊させるよう、契約の見直しを行います。
引用:
一次原因は処分を委託先の管理体制の不備であるとするものの、再発させないためには最終処分まで自ら確認する必要性を痛感している模様です。そして確実な処分方法としてデータ記憶装置を物理破壊させることに言及しています。ハードディスクの最終的に最も確実な処分方法は「物理破壊」だと、今回の事件から言われています。確かに一理ありますが、それは最終処分まできちんとできた場合に限ります。
データ暗号化が最後の砦
今回のようなケースも含め、最も安全にハードディスク内のデータを守るのはデータの暗号化です。今回の件でも神奈川県はハードディスク内のデータ暗号化は実施していなかったと言っています。もしデータを暗号化した上で初期化をしていれば、仮に今回のように復元されてもデータの中身を知ることはほぼ不可能でした。
データの暗号化は、持ち出しPCの情報漏えい対策にも有効ですし、社内のデータベース、クラウド上のデータの漏えい対策にもなり得ます。ハードディスクドライブが処分前に物理的に盗難にあう、またはUSBなどの記憶媒体にデータを保存して持ち帰る際に紛失や盗難にあうという事例もあり得ます。そういうケースまでも想定して、企業はデータを守る必要があるのではないでしょうか?その場合ハードディスクをあらかじめ暗号化しておけばリスクを減らすことが可能となります。
データ暗号化の詳しい情報に関してはこちら