(4)原因別集計~大半は不注意、ウイルス感染も1割を占める情報流出にはさまざまな要因が関わっているが、末端の直接的な要因を流出の「原因」とし、以下のように分類した。盗難:車上荒らしや事務所荒らしなどにより、PC本体やメディア、書類などが他のものと一緒に盗まれた。紛失:社外での置き忘れなどによる紛失、および社内での所在不明。誤操作:宛先違いや入れ違え、混入、メールやFAXの操作ミスによる誤送付。渡す相手を間違える、引き出した情報を間違えるなどによる誤交付や誤返却。消去すべき個人情報の消し忘れや、操作ミスによる消去情報の漏えい。誤破棄:保管しておくべき情報を正規の破棄手続きを経て誤って破棄し、破棄が確認されているもの。不正破棄:書類を裁断せず普通ごみに出す、データを消去せずにPCを廃棄するなど、正しい手続きによらない破棄。裏紙再生のような、破棄すべきものを破棄しない場合。申請などによる不正な取得。窃盗:悪用を目的とした(結果的にそうなった)個人情報の不正な取得や持ち出し。盗難のうち、情報そのものを狙ったもの。管理不備:サーバーなどの設定ミスや不具合による流出。FAXの不具合による誤送信(1件のみ)は、誤操作扱いとした。不正アクセス:外部からアクセス制御を破って侵入し個人情報を取得。脆弱性を突いた攻撃等も含むが、アクセス制御の無いものは「管理不備」に分類。個人対個人の不正アクセスは、集計対象にしていない。ウイルス:ウイルス(トロイの木馬やワームなどを含む広義のウイルス)感染による意図しない漏えい。その他:上記以外(原因が異なる複数件の同時発表を含む)。原因別では、不正アクセスや窃盗などの意図的なものは少なく、不注意の典型である紛失と誤操作だけで59.2%と過半数を占める。19.9%の盗難にしても、その内訳(図4C、表4C)の10.2%が置き引きであり、53.8%は車上荒らし(車両ごとも含む)によるもの。無施錠の車は論外だが、たとえ施錠していても窓を破れば一瞬で侵入可能になる車内は、決して金庫代わりにはならない。その認識さえあれば、置き引きと同様に回避可能な問題といえよう。事務所荒らし(空き巣に含む)で重量金庫ごと盗まれるといった一部を除けば、3大原因のひとつである盗難も、その多くが不注意によるものと考えられる。33319.9%紛失54032.3%誤操作45026.9%誤破棄70.4%不正破棄231.4%不正使用513.1%窃盗150.9%管理不備271.6%不正アクセス90.5%ウイルス19011.4%その他100.6%不明161.0%計1,671100%2006年は、Winnyのウイルス感染による流出事故が相次ぎ公表された。流出原因の11.4%を占める190件のウイルス事故は、PCをWebサーバーにしてしまう通称「山田オルタナティブ」と呼ばれるウイルスに感染した1件を除き、全てファイル共有ソフトを介した流出となっている。ファイル共有ソフトによる流出事故については、あらためてまとめるが、全体の1割という数字は尋常ではない。この1割に関しても、不注意に算入することに異論はないだろう。大規模流出の有無に左右される流出数は、原因別では件数の多い紛失、盗難、ウイルスが件数に準じた傾向を示す一方、紛失に次ぐ件数である誤操作での流出数は桁違いに少ない。大量の情報を扱う際には、それなりの注意が働いて操作上のミスが起きにくいとも考えられるが、大量の同報メールには専用のシステムを用意するなど、大量の情報を扱う所ではあらかじめミスが起こらない体制をとっているのかもしれない。窃盗では400万件が流出したKDDIや富士ゼロックスシステムサービスの例に見られるように、大規模流出につながる可能性が高い。いずれも流出後2年以上経過してからの恐喝事件が発覚のきっかけになっており、内部犯行が発覚しにくい一面を感じさせる。現時点では原因不明に分類した日産自動車の顧客情報流出も、内部犯行の可能性があるし、ほかにもまだ表沙汰になっていないものがあるのかもしれない。4,486,5735148,728.7誤操作77,793424183.5盗難2,035,3383026,739.5ウイルス733,9551714,292.1不正使用5,69342135.5不正破棄39,014201,950.7管理不備313,4811916,499.0窃盗8,170,96813628,536.0不明5,514,41612459,534.7不正アクセス480,571860,071.4誤破棄975,8747139,410.6その他514864.3計22,834,1901,54014,827.4【表4B】原因別流出数(N=1,540)盗難による流出をさらに細かく分類したのが、表4Cと図4Cである。「車上荒らし(車両ごと盗難を含む)」が過半数を占めているのが特徴で、自宅や事務所などの「空き巣」がそれに続く。直接の原因が分からない「配送中」の盗難に関しても、おそらくこのどちらかに含まれるだろう。「強盗・ひったくり」は、18件中3件が強盗に襲撃されたもので、残り15件が持っていたカバンなどをひったくられたものである。流出経路の集計を図と表5A、5Bに示す。件数は、一部にPCと書類のような複合が存在する。流出数は、判明しているもののうち複数にまたがるものを除いた1,502件を対象に集計した。93455.9%ネットワーク22913.7%本体21412.8%メール1287.7%可搬媒体1156.9%FAX503.0%その他352.1%不明161.0%流出経路では、総件数の55.9%が書類(紙媒体やそれを記録したマイクロフィルム)を含んでおり、個人情報を扱う業務の多くで紙に依存している状況が伺える。単体でデータにアクセス可能なもの)や可搬媒体(電子化されたデータを記録したメディア)の紛失や盗難においても、それぞれ1割程度が書類を含んでいる。本体214件の内訳は、PCが157件と圧倒的に多く、次いでPHSや携帯電話の37件(2件はPCと携帯電話の両方)、検針や料金徴収などに使用する専用端末20件と続き、デジタルカメラと携帯プレーヤーもそれぞれ1件ずつ報告されている。デジタルカメラは、医師が病変の記録に使用していたもので、患者の顔のほか名前やIDも含まれていた。携帯プレーヤーは、音楽用のものだがストレージとしても利用でき、個人情報を含むファイルを保存していた。携帯電話の盗難・紛失では、発覚後に遠隔操作でデータを消去したという報告がいくつかあり、当該機能の有用性が伺える。複合は除外)可搬媒体115件(種別不明5件を含む、複数種類の可搬媒体はなし)の内訳は、過半数を占めるメモリーカードやUSBメモリー(66件)を筆頭に、ハードディスク(15件)、フロッピーディスク(14件)、CD(6件)、MO(6件)、テープ(3件)と続く。急速に進み、現在はGBクラスが数千円で購入できる。フロッピーディスクに代わる手軽なリムーバブルメディアとして普及しているが、情報流出面でもそれが反映された形だ。このメモリー媒体については、セキュリティ機能付きの製品が多数販売されており、それらの利用によって盗難や紛失時のリスクは大幅に低減できるだろう。本体や過般媒体は、書類に比べると件数こそ少ないが、大量のデータが保存されていることが多く、1件あたりの流出量は書類よりも1桁跳ね上がるのが特徴だ。いずれかを含む流出は、1,671件中1,220件と全体の73.0%を占める。ネットワーク経由の229件中190件は、ウイルス感染によってPC本体や接続したメディアに保存されていた情報が流出したものである。これら1,410件(84.4%)に関しては、情報の管理方法や運用ルールの見直しとその徹底が、有効な対策になるのではないだろうか。(6)流出情報別集計~流出数の上位を基本情報が占める図6A、表6Aに流出情報別の件数(不明以外は複合あり)を示す。流出情報別では、全体の86.4%に当たる1,443件の氏名を筆頭に、住所(907件・54.3%)、電話番号(595件・35.6%)と続く。筆頭の氏名を含まない流出では、メールアドレスのみ(94件)がトップで、次いで不明(77件)、その他のみ(21件)となる。不明は、個人情報が流出したと告知しているものの、どのような情報が流出したかについては全く触れていないケースで、中には、何らかの個人情報を流出してお詫びしているらしいこと以外は皆目見当が付かず、何のための公表なのか首を傾げたくなるリリースもある。スリーサイズなどのプライベートな情報、顧客番号(口座番号、クレジットカードの会員番号、アクセス制御用のIDを除く)のように単体では意味を持たないが他の情報と結び付くと問題の生じる恐れのあるものなどを計上している。その他のみの例では、写真、特定の個人を前提として流した情報、一部の人には個人を特定できる可能性のある情報などである。N=1,671)流出情報別流出数(図6B、表6B)は、経路と違って大半が複数の情報を含んだ複合型であることから、流出数の判明している1,540件を対照に、単純に流出数を合算している。個々の流出情報別に集計しているわけではないので、一部に含まれているだけの情報も全件に含まれていたものとして計算されており、実際よりも大きな値になっている。いずれも流出数が多い。性別に関しては、件数こそ少ないものの他の基本情報並みの流出総数を示しており、流出総数を左右する大規模流出には、性別まで含まれいていることが分かる。カード番号やID・パスワードといった、金銭的な二次被害に直結する可能性の高いアカウント情報の流出は、件数こそ20件前後と控え目だが、流出総数は83万件、91万件と相当な数が漏れている。REPORT」他でパソコン・IT全般の解説記事などを執筆。インターネット時代の標準ファイルフォーマット事典(インプレス)」など多数の著書がある。