ベネッセの情報漏えいはなぜ起きた？ 調査報告で問題詳細が明らかに（2/3 ページ）

[ITmedia]

犯行の手口とシステムの問題

　被疑者はシンフォームでデータベース内に保管されていた顧客などの個人情報を抽出し、業務で使用していたPCに保存して、不正行為を準備。PCに保存した個人情報をUSBケーブルで自身のスマートフォンに転送、内蔵メモリに保存するなどして不正に領得した。その後、領得した情報を名簿業者に売却していた。

　システムの問題点では（1）アラート、（2）データの書き出し制御、（3）アクセス制限、（4）データベースでの情報管理――の4点が挙げられている。

　（1）シンフォームでは業務担当者のPCから個人情報を保有するサーバへのアクセスで、自動的にアクセスログと通信ログを記録し、通信量が一定のしきい値を超えると、データベース管理者であるシンフォームの各担当部門の部長に対して、メールでアラートが送信される仕組みになっていた。だが、アラートシステムの対象範囲が明確に設定されておらず、被疑者が不正行為に対してシステムが機能しなかった。

　（2）社内規程上では業務上の必要性が明確であり、その他方法がない場合で情報の部門責任者の許可、各部管理責任者の外部メディアの使用許可を得た場合ではない限り、データを外部メディアへ書き出すことを禁止していた。この行為を制御するシステムも採用し、バージョンアップ時に、制御設定の見直しを行っていた。しかしバージョンアップ時に、特定の新機種のスマートフォンを含む一部の外部メディアへの書き出しについては、機能しない状態にあった。

　（3）業務担当者のPCから当該データベースへのアクセスでは業務担当者が、管理者の承認を得てアクセスの付与を申請し、作業に必要であれば申請受付部門が承認して、アクセス権限を付与していた。シンフォームでは付与されたアクセス権限の見直しが定期的に行われていない状況も多く見受けられた。

　（4）シンフォームは、当該データベース内の個人情報を細分化もしくは階層化し、グルーピングした上での異なるアクセス権限を設定するなどの対策は講じていなかった。当該データベースは、主にマーケティング分析で使用されていたが、その目的に応じて必要かつ十分な程度までの個人情報の抽象化、属性化は行われていなかった。