【ITニュース解説】元従業員が顧客情報を不正持出、貸与PC点検で判明 - T&Dリース

ガスエネルギー関連のリースサービスを展開するT&Dリースという会社で、元従業員が退職時に顧客情報を不正に持ち出していたことが判明した。この事態は、元従業員に貸与していたパソコン（PC）の返却点検を行う過程で明らかになったもので、企業における情報セキュリティの重要性と、それを担うシステムエンジニアの役割を浮き彫りにする事例である。

顧客情報とは、氏名、住所、連絡先、契約内容など、個人の特定につながる重要なデータ群を指す。このような情報が不正に持ち出されると、どのような問題が起こるだろうか。まず、情報が悪用される可能性がある。例えば、持ち出された情報をもとに、顧客が詐欺の標的になったり、不当な勧誘を受けたりする危険性がある。企業側にとっても、顧客からの信頼は著しく損なわれ、企業のブランドイメージが低下する。場合によっては、個人情報保護法などの法令違反となり、行政指導や罰則、さらには顧客からの損害賠償請求に発展する可能性も否定できない。結果として、企業の経営に深刻な打撃を与えることになりかねない。

この事例で特に注目すべきは、情報持ち出しが「元従業員」による「内部不正」であった点、そして「貸与PCの点検」で判明した点だ。サイバー攻撃による外部からの侵入だけでなく、企業内部の人間による不正な情報持ち出しも、企業にとって深刻な脅威となる。なぜなら、内部の人間は業務上、顧客情報にアクセスする権限を持っていることが多く、その権限を悪用されると外部からの攻撃よりも検知が難しい場合があるからだ。

システムエンジニアを目指す上で、このような情報セキュリティの課題にどう向き合うべきか、この事例から学ぶべき点は多い。 第一に、情報へのアクセス管理の徹底が挙げられる。システムは、誰が、どの情報に、どのような権限でアクセスできるかを厳密に制御する仕組みを持つ必要がある。例えば、すべての従業員がすべての顧客情報にアクセスできる必要はない。担当業務に応じてアクセス権限を最小限に設定する「最小権限の原則」を導入することが重要だ。また、従業員が退職する際には、関連するシステムアカウントを速やかに削除し、データへのアクセス権限を完全に剥奪するプロセスを確実に実行しなければならない。今回の事例では、退職後に発覚しているため、退職時のアクセス権限の適切な管理ができていなかった可能性も考えられる。

第二に、貸与デバイスの適切な管理と点検だ。企業が従業員に提供するPCやスマートフォンなどのデバイスは、業務に必要な情報にアクセスするための重要なツールだが、同時に情報漏洩のリスクをはらんでいる。これらのデバイスには、セキュリティ対策ソフトの導入はもちろん、持ち出し可能なデータの種類や量を制限する設定を行う必要がある。そして、従業員が退職する際には、貸与デバイスの返却を義務付け、そのデバイス内部に会社の機密情報や顧客情報が不正に残されていないか、あるいは不正にコピーされた痕跡がないかを詳細に点検する体制を構築することが不可欠となる。T&Dリースのケースでは、この貸与PCの点検が不正持ち出しの発覚につながったことは、このプロセスがいかに重要であるかを明確に示している。

第三に、ログの収集と監視の重要性である。システムは、誰がいつ、どのようなデータにアクセスし、どのような操作を行ったかを記録するログ機能を備えるべきだ。そして、これらのログを定期的に確認し、異常なアクセスパターンや不審な操作がないかを監視する体制も必要となる。例えば、特定の従業員が一度に大量の顧客データにアクセスしたり、通常業務ではありえない時間帯にシステムにログインしたりするなどの異常を早期に検知できれば、情報漏洩のリスクを未然に防ぐ、あるいは被害を最小限に抑えることができるかもしれない。

第四に、従業員へのセキュリティ教育と意識向上である。どんなに強固なシステムを構築しても、それを利用する人間のセキュリティ意識が低ければ、情報漏洩のリスクは減らない。企業は従業員に対し、情報セキュリティポリシーを周知徹底し、個人情報の取り扱いに関するルールや、不正行為が発覚した場合の罰則などを明確に伝える必要がある。

システムエンジニアは、単にシステムを開発するだけでなく、このように情報セキュリティに関する様々な課題に対し、技術的な側面からだけでなく、運用面や組織的な側面からも解決策を提案し、実装していく役割を担う。今回の事例は、退職時の管理体制や貸与デバイスの点検という、一見地味に見える運用プロセスの中に、重大な情報セキュリティリスクが潜んでいることを教えてくれる。システムエンジニアは、常にリスクを想定し、性善説に頼らない多層的なセキュリティ対策を計画し、実行していく姿勢が求められる。情報セキュリティは、一度対策を講じれば終わりではなく、社会情勢や技術の進化に合わせて常に改善と見直しを続けていくべき、終わりのないプロセスなのである。