取引先のPC1台から、顧客リストが流出

本記事は、よく見られる被害の流れをもとに構成したモデルケースです。特定の企業・事件を指すものではありません。

何が起きたのか

1. 2年前：発送業務を委託季節ごとのダイレクトメール発送を、地元の業者に委託しました。毎回、顧客リストを全項目そのままExcelファイルにして、メールに添付して送っていました。氏名と住所のほか、電話番号や購入履歴も含まれていました。
2. 委託中：データが残り続ける委託先では、受け取ったファイルを担当者のパソコンに保存したまま、作業が終わっても削除していませんでした。返却や削除のルールは、契約にも運用にもありませんでした。
3. ある日：委託先のパソコンが感染委託先の担当者が、取引先を装ったメールの添付ファイルを開き、パソコンがマルウェアに感染。パソコン内のファイルが外部に送信されました。
4. 発覚後：自社として対応調査の結果、このパソコンには過去2年分の顧客リストが残っていたことが分かりました。会社は顧客へのお知らせとお詫び、問い合わせ窓口の設置、関係機関への報告の検討に追われました。本来の営業活動は、しばらくのあいだ手につかない状態が続きました。

入口になった“ほころび”

感染したのは委託先のパソコンです。しかし、被害を大きくした要因の多くは、データを渡す側の運用にありました。

• 必要以上のデータを渡していた：発送に必要なのは宛名と住所だけです。電話番号や購入履歴まで渡していたため、漏れた情報の重みが増しました。
• 返却・削除のルールがなかった：作業が終わったあともデータが残り続け、1回分の流出が「2年分の流出」になりました。
• メールの添付でやり取りしていた：添付ファイルは、送った瞬間に手元から離れ、どこに保存されたかを確かめられません。誤送信の危険もあります。
• 委託先の対策を確認していなかった：ウイルス対策やOSの更新がされているか、誰がデータを扱うのかを、委託前に一度も確認していませんでした。

委託しても、責任は残る

個人情報保護法では、個人データの取り扱いを外部に委託する場合、委託元は委託先に対して必要かつ適切な監督を行うことが求められています。「預けた先で起きたことだから」と、責任がなくなるわけではありません。

また、個人データの漏えいが起きた場合、その内容や規模、原因によっては、個人情報保護委員会への報告と、本人への通知が必要になります。たとえば不正アクセスなど、悪意のある第三者による漏えいのおそれがある場合は、報告の対象になりうるとされています。委託先で起きた漏えいでも、委託元である自社が対応を求められる場合があります。該当するかどうかや報告の方法は、個人情報保護委員会のWebサイト↗（新しいタブで開きます）で確認するか、専門家に相談してください。

攻撃者から見ると、委託先は複数の会社のデータが集まる場所でもあります。自社の対策をしっかりしていても、データを渡した先の守りが弱ければ、そこから漏れてしまいます。委託先を選ぶときには、価格や納期だけでなく、データをどう扱っているかも確認の対象に加えましょう。

契約書では、次のような点を決めておくと、いざというときに慌てずに済みます。

• 預けたデータを、委託した目的以外に使わないこと
• さらに別の会社へ再委託してよいかどうか、その条件
• 委託先が取るべき安全管理の内容（ウイルス対策、アクセスできる人の限定など）
• 事故が起きたときに、何日以内に、誰へ報告するか
• 業務終了時のデータの返却・削除と、その報告

今日からできる確認

1. 委託先と渡しているデータを一覧にする：どの会社に、どの項目のデータを、どの方法で渡しているかを書き出します。
2. 渡す項目を絞る：その作業に本当に必要な項目だけを抜き出して渡します。不要な列を消すだけでも、万一のときの被害は小さくなります。
3. 受け渡しの方法を見直す：メール添付をやめ、閲覧できる人や期限を設定できる共有サービスを使います。
4. 契約書を確認する：上に挙げた項目が入っているかを確認し、足りなければ次の更新時に追加を相談します。
5. 業務が終わったら、権限とデータを片づける：共有フォルダやシステムへのアクセス権を止め、データの削除を依頼して、完了の連絡をもらいます。
6. 事故時の連絡先を決めておく：委託先と自社の双方で、連絡を受ける担当者と連絡方法を決めておきます。

委託先に細かな対策をお願いするのは、気が引けるかもしれません。けれども、渡すデータを絞り、受け渡しと削除のルールを決めることは、委託先にとっても負担とリスクを減らすことにつながります。「お互いを守るための取り決め」として、次の打ち合わせで話題にしてみてください。