セキュリティの
学び場

今回の解説ニュース

個人情報の取扱いにおける事故報告の集計結果について公表されており、昨年より増加傾向にあるようです。個人情報が漏洩する原因と、その傾向や対策について説明します。

今回の資料は、プライバシーマーク付与事業者に報告のあった個人情報の取扱いにおける事故等について、取りまとめ集計したものです。2021年度は1,045社の付与事業者から3,048件の事故報告があり、2020年度と比較すると、報告事業者数、事故報告件数ともに増加しています。

また、事故原因は「誤送付」が最多の1,938件で63.6%を占め、その内訳は、「メール誤送信」が最多の1,128件で37.0％を占めており、2020年度の764件と比較し、約1.5倍に増加しているということです。

それでも減る事のないメール誤送信、なぜ減らないのか

メール誤送信を防ぐ方法として、チェック体制を仕組化して、属人性を排除することが挙げられます。こちらのブログでも何度も触れてきた、永遠になくならない人間の弱さに関する問題です。

例えば、Aさんはメールを送信する際に、宛先、件名、本文、添付ファイルが適切であるか、チェックされていると思います。特に、新規メールを作成する際は、すべての項目を一から入力する必要があるので、より注意深く確認されているでしょう。これは、ご覧の皆さんも同じかと思うのですが、それでもメール誤送信はゼロにはならないと考えられます。それは、人間の品質には波があるからです。

具体的には、Aさんが寝不足で集中できなかったり、忙しくて時間をかけられなかったりした際に、そのチェック体制は脆弱になります。属人的である以上は、常にこのようなリスクを抱えることになるため、セキュリティ対策はできる限り仕組化して、属人性を排除することが望まれます。

我々の場合、メールを送信する際に、システムで必ず第三者の目視確認が必要な仕組みになっています。また、添付ファイルがある場合は自動でオンラインストレージにアップロードされてパスワードが通知されるようになっています。さらに、メールを送信できる従業員を限定することも対策の一つとして実施しています。対策にはお金や時間のコストをかけていますが、結果として、昨年のメール誤送信はゼロ件でした。

ECサイトにおける個人情報の漏えい事故、利用者側ができる対策は

ECサイトにおける個人情報の漏えいについて、同じくJPDECから発表されている注意喚起から、利用者側でできる対策について説明します。

2022年10月12日にJPDECから発表されている注意喚起によると、全般的な注意点として「ソフトウェアの把握」「脆弱性情報の確認」「セキュリティパッチの適用」「バージョン管理」「リスク対策の実施」「セキュリティ教育の徹底」「対応手順や体制構築」などが挙げられています。ほとんどが管理者側で行う対策ですが、利用者側がリスク対策の一環として、クレジットカード情報を入力する際には、都度安全を確認することが求められます。

ECサイトがサイバー攻撃を受ける際に、決済画面が改ざんされる事例がよく確認されています。通常、クレジットカード情報がECサイト内に保存されることはなく、攻撃者がクレジットカード情報を窃取するためには、サイバー攻撃後に利用者へクレジットカード情報を入力させる必要があります。つまり、利用者側はクレジットカード情報だけでなく、ECサイトへ重要情報を入力する際は、常にサイバー攻撃の可能性を想定して、不審点がないか確認することが求められます。

今回は、個人情報が漏洩する原因と、その傾向や対策についてお届けしました。