九電子会社が紛失した記憶媒体、暗号化やパスワード保護なしと判明 施錠も徹底されず

九州電力送配電が最大1090万件分の顧客情報を保存した外部記憶媒体の紛失問題で、保存していたデータには暗号化もパスワード保護も施していなかったことが分かった。

[林裕也，ITmedia]

　九州電力傘下の九州電力送配電（福岡市中央区）が最大1090万口分（電力供給契約の件数）の顧客情報を保存した外部記憶媒体を紛失した問題で、保存していたデータには暗号化・パスワード保護のどちらも施していなかったことが九州電力への取材で分かった。報道によると、紛失した記憶媒体は外部SSDとみられる。

外部記憶媒体の保管方法について（出典：九州電力からの回答、以下同）

　九州電力によると、暗号化やパスワード保護を施していなかった理由について、「サーバ室は多重の入退室管理が行われており、限られた人しか立ち入れないため、セキュリティは担保されているとの認識だった」と説明した。「当該データはサーバから直接抽出した文字列のデータであり、データの仕様などが分からないと読み解くのは難しい」とも回答している。

　また保管方法については、外部記憶媒体を鍵付きキャビネットで保管する運用を始める際、九州電力送配電の社員と委託先社員が現場で口頭合意していたとしている。ただ、「キャビネットの施錠まで明確に指示できていなかった」という。

記憶媒体のセキュリティ対策について

　社内ルールでは、業務・データの重要度に応じて対策を施す必要があるとしており、今回のケースについては「多重の入退室管理が施されているサーバ室内に保管することで、持ち出し・盗難を防ぐ対策は妥当と判断していた」と説明。ただ、今回の事態を受け、管理方法を見直す方針だ。

　最終所在確認の4月27日から所在不明が判明した5月26日までの間に、サーバ室に入退室した人物は57人。全員が委託先の社員で、九州電力送配電の社員は含まれていない。委託先は10社にわたるという。

サーバ室への入退室者について

　誤廃棄の可能性についても質問したところ、関係箇所の捜索や関係者への聞き取りに加え、誤って廃棄された可能性も調査したが、現時点では発見に至っていないと回答した。

誤廃棄の可能性について

九州電力からの回答