地方自治体の情報セキュリティ対策は整備されてきたのですが、それでも個人情報漏洩等の事件は日常的に頻発しています。以下の事例は、はSecurity NEXT（http://www.security-next.com/）から抜粋しました。
書類・記録媒体の紛失・盗難
- 移動中の紛失：推進員養成講座の修了者情報書類を職員が帰宅時に紛失（大阪市、１０月）
- 職場で紛失（ＵＳＢ）：県立高校で生徒や卒業生の個人情報含むＵＳＢメモリを校内で紛失（静岡県、８月・９月）
- 職場で紛失（カメラ）：都立病院、患者情報を記録したデジカメを病院内で紛失（東京都、７月）
- 自宅盗難：小学校教諭宅に空き巣、パソコン、ＵＳＢメモリの中に緊急連絡網も（横浜市、１０月）
- 業務中盗難：建設事務所の職員が業務で駐車していた車から地権者個人情報を含むＵＳＢメモリが盗難（愛知県、８月）
- 間接盗難：コインロッカーの鍵を紛失し、市税未納者関連書類が盗難（横須賀市、１０月）
個人情報の入った紙の書類やＵＳＢメモリなどを庁外に持ち出して、紛失したり盗難にあったりする事件は日常的に頻発しています。それが発生する局面は多様です。しかも、記録媒体が多様化しています。特に携帯電話は、機能が充実しており、重要な情報が蓄積されているので注意する必要があります。
日本ネットワークセキュリティ協会「改訂版 2006年度 情報セキュリティインシデントに関する調査報告書」では、２００６年における民間企業を含む個人情報漏洩事件について、漏洩媒体比率（件数）では紙によるものが４３.８％、ＵＳＢメモリなどの可搬記録媒体によるものが８.２％であり、これだけで全体の過半数になっています。しかも、漏洩した被害者数では、可搬記録媒体によるものが５６.６％を占めています。
また、漏洩原因比率（件数）では、紛失・置忘れが２９.９％、盗難が１９.０、誤操作が１４.７％など、不注意による漏洩が多くを占めています。
とかく情報セキュリティというと、ウイルスや不正アクセスが話題になりがちですが、
・紙やメモリなどの紛失や盗難など、非ＩＴ分野の対策が重要
・ＩＴ部門など限られた人ではなく、全職員の問題としてとらえることが重要
ことに留意するべきです。
Winnyによる流出
- 自宅業務：職員がデータを持ち出し自宅で業務をしたときに、下水道工事関連個人情報がWinny上へ流出（大阪市、９月）
- システム構築者：病院経営局でシステム構築を担当する係長が個人用パソコンで開発作業に患者情報などがWinny上へ流出（横浜市、９月）
- 委託先従業員：業務委託先の従業員が自宅作業をして、県職員の情報がWinny上へ流出（千葉県、１０月）
ここでは、Ｐ２Ｐでのファイル交換ソフトがウイルスに感染したことが原因となる情報漏洩のことを、Ｗｉｎｎｙによる流出ということにします。この被害に遭うと、多数のパソコンにダウンロードしてしまい、削除が事実上不可能になるので、非常に危険です。
Ｗｉｎｎｙによる漏洩は、大きな社会問題になったのに、日経ＩＴｐｒｏ「約85％の自治体がWinny対策を実施「e都市ランキング2006」中間報告より」によると、庁内での利用禁止をルール化した自治体は半分以下であり、特に対策を講じていないのが１４.６％という状況です。それでも、８５.４％は何らかの対策をしていることにより、庁内からの流出はなくなりました。ほとんどが自宅パソコンからの流出です。これも自宅業務が問題になります。
根本的な防止対策が必要
紙や記憶媒体の紛失・盗難、Ｗｉｎｎｙによる漏洩は、個人情報を持ち出すことと、その管理が不十分であることに起因します。これらへの対策には、シツケ、シカケ、シクミの観点が必要です。
- シツケ
- 不注意への対策としては、「個人情報は預かりもの」の認識が重要です。他人から現金や品物を預かったら善管義務が生じます。とかく情報は目に見えないことにより、その認識に欠けることが多いので、個人の認識向上が求められます。
- シカケ
- 情報持ち出しには、申請書提出を義務付けるのは、直接の被害の防止にはならなくても、意識の喚起には有効です。パソコンにＵＳＢなどを接続させないシステムにしたり、パソコン利用で個人認証したりするなどのシカケを講じることも必要です。
- シクミ
- 本来は、個人情報を持ち出さないで仕事ができること、紛失・盗難が起こっても被害にならないようにするシクミが求められます。
- 地方自治体は慢性的な職員不足ですし、残業規制が強くなっています。そのため、しかたなく自宅で業務をすることになり、情報を持ち出すことになります。
- 地方自治体の業務には、介護や調査など庁外業務が多くあり、それらの多くが個人情報を必要とします。
- 庁外業務では第三者には使えないセキュアパソコンを携帯すればよいでしょうが、財政難で経費削減が要請されている地方自治体に、そのような余裕はありません。
シクミの解決が困難なために、シツケで解決しようと考えがちですが、それだけでは抜本的な解決にはなりません。シクミに関する長期的な取組が必要です。
外部からの不正アクセス
- 情報漏洩：公共施設で不正アクセスにより利用者の個人情報が流出（金沢市、９月）
- Ｗｅｂページ改ざん：不正アクセスでＷｅｂページが改ざん被害（三島市、３月）
- ＤＯＳ攻撃の対象：Ｗｅｂサイトが外部からの不正アクセスを受けて一部サービスが制限（大阪府、４月）
- 迷惑メールの踏み台：公設機関のサーバが迷惑メールの踏み台にされ、約１０万通の迷惑メールがサーバを通じて配信（福島県、５月）
比較的件数が少ないのですが、サーバなどのセキュリティホールを突いた攻撃は深刻です。特に行政サイトでは、次の弱点があります。
- 所有する情報には個人情報が多い。任意のファイルを盗まれた場合にも、個人情報が含まれている確率がかなり高いと考えられます。
- 政治的なサイバーテロの攻撃目標にされやすい。近頃は沈静化していますが、２０００年には大規模な政治的なＷｅｂ改ざん事件がありました。首相の靖国参拝など政治的緊張が高まると、決まって行政サイトへの攻撃があります。
- 地方自治体では、セキュリティの専門技術者を置くことが困難な場合が多く、セキュリティ対策が不十分な面があります。そのため、ウイルスの伝染基地にされたり、ＤｏＳ攻撃☆の踏み台にされたりします。
- しかも、地方自治体は図書館やイベントホールなど多数の関連組織にサーバを持っているので、管理が行き届かないことがあります。
ＤｏＳ攻撃
標的になるサーバに大量のデータを送りつけることにより、正規のサービスをさせないようにする攻撃です。銀行強盗が盗難車を使うように、ＤｏＳ攻撃者は直接に標的を攻撃するのではありません。あらかじめセキュリティの弱いサーバにウイルスを仕掛けておきます。それを踏み台といいます。そして、攻撃者の指令により多数の踏み台になったサーバから一斉に標的に大量のデータを送りつけるのです。
不正利用による被害
- ウイルス感染：職員が職務に関係ないサイト閲覧し、ウイルスに感染（山口県、３月）
- ＤｏＳ攻撃の被害：職員が職務に関係ないサイト閲覧し、ＤｏＳ攻撃を受けてサーバがダウン（川崎市、７月）
これもセキュリティホールを突いた攻撃ですが、その原因が職員がいかがわしいサイトを閲覧したために、攻撃された例です。
そもそも職場のパソコンやインターネットを私用に使うのは服務規程違反です。これを取り締まるために、不適切なサイトにはアクセスできなくするフィルタリングをかけることができます。また、民間企業で従業員の電子メールやＷｅｂ閲覧などの行動を監視するのは、通信の秘密だとの意見もありましたが、現在ではあらかじめ周知しておけば合法であるとの見解が一般的になっています。
誤操作
- 操作ミス：職員のシステム誤操作による、データの消滅（東京都、７月）
- 運用ミス：委託先のデータ入力ミスやチェック体制の不備により、他者の個人情報を誤発送（静岡市、９月）
- プログラムミス：市の健康診査システムが開発業者のプログラムミスで健診受診表に誤表記（高岡市、６月）
人間は間違いをします。間違いを防ぐには常に意識を高めておくシツケが重要ですが、それとともに、間違いが起こらない、起こってもすぐに発見できるシカケが必要です。そのようなシカケをフールプルーフといいます。
操作ミスはよく起こります。証券会社の社員が、６０万円の株を１株売却するのを間違えて１円で６０万株を売却すると入力して、大騒ぎになったこともあります。入力データが妥当でないときは警告を出すようにプログラムにチェック機能を持たせることが必要ですが、どのようなチェックをするのが妥当なのかは、利用者でないとわかりません。この証券会社のときはシステムから警告が出たのですが、それも見落とされたそうです。見落とさないような警告画面にするのも利用者が指摘する必要があります。また、誤操作で重要なファイルが破壊されたり改ざんされたりしないように、ファイル側にプロテクトをかけておくことも必要です。
地方自治体では、発送業務やプログラム作成は外注するのが一般的ですが、そこでのトラブルについても発注元の責任が問われます。運用ミスの場合では、チェック体制が適切に機能しているかどうかを発注元が監督する責任がありますし、プログラムミスの場合では、発注者が適切な受け入れテストをすれば、このようなトラブルは発生しなかったはずです。
とかく業務委託では丸投げになりがちです。しかし、発注元に監督責任があることを認識してください。個人情報保護法ではそれが条文に明記されています。
その他の留意事項
最近の事例では見当たらなかったのですが、留意すべき事項をいくつか列挙します。
- フィッシング
- 地方自治体を騙って、住民に同サイトを閲覧するようにリンクのある電子メールを送り付けます。ところが、このリンク先には、同サイトと極似した悪意のサイトにつながり、そこで住民が個人情報を入力すると、詐取されてしまうという手口です。同様な手口にサイトスクリプト・スクリプティングとかＳＱＬインジェクションなどがあります。
これらの手口は巧妙なので、住民には対処できないこともあります。それで、検索エンジンなどにより、市と類似したサイトの存在をチェックするなどの対策も必要になります。 - 標的型（スピア型）攻撃
- 職員の情報が悪用される場合があります。最近は標的型（スピア型）攻撃が増大しています。例えば水道局の職員に浄水設備の技術紹介のふりをしてＷｅｂ閲覧をさせてウイルスに感染させるというような手口です。
- ソーシャルエンジニアリング
- 人間の心理に付け込んだ攻撃です。中央官庁のふりをして情報セキュリティ責任者のユーザＩＤを聞き出すとか、情報セキュリティ責任者になりすまして、パスワードを聞き出すといった手口です。
その他にも、ごみ箱あさりをして秘密事項を入手するとか、コピー機からの取り忘れから入手するなどの手口もあります。
このように、情報漏洩の危険は、あらゆる場面に存在することに留意してください。