8月23日には、東京電力パワーグリッドが同社の執務室内において、法人情報などを記録した外付ハードディスクを紛失したと発表しました。これは8月10日に同室内で社員が業務のために外付けハードディスクを使用し、8月16日に使用しようとしたところ紛失に気づいたというものです。)や社内文書が含まれていました。紛失したハードディスク内のデータには、高度なセキュリティ対策が講じられており、外部のPCなどでは容易にデータ閲覧ができないことから、データが流出する可能性は極めて低いとしています。名古屋大学の事件は、「設定ミス」に該当するものです。一般的に、Webサーバーへファイルをアップロードする際には、Webサーバーへのログインが必要なほか、さまざまな設定が必要になります。内部犯行をしようと思わない限り、わざわざ手間をかけてまでWebサーバーにファイルをアップロードしようとは思わないでしょう。いうことは、Webサーバー上に内部向けのファイル置き場を作成していたか、あるいは別のファイルサーバーとWebサーバーに同じIDとパスワードでアクセスできた可能性が考えられます。教員が、個人情報を含む職務上知り得た情報を、自らのSNSに掲載していたことが発覚したと発表しています。東京電力パワーグリッドの事件では、外付ハードディスクを含む記憶媒体の管理については、施錠管理による保管や、1日2回の確認と使用前後に管理者が貸出保管状況の確認を行うなどの対策を徹底していたといいます。紛失したハードディスクを取り扱った同社員が所属するグループにおいては、これらの対策を怠っていたことが判明しています。いつから対策を怠っていたのかは明らかにされていませんが、対策をしていないことを知っている人物が故意に持ち出した可能性も考えられますし、単純に誤って持ち帰ってしまった可能性もあります。いずれにせよ、学内の人間が関わっていると思われます。すれば漏えい事件を防げたのか大学の研究室などは、サーバーやネットワークなどのリソースをある程度自由に使用することができます。サーバーやネットワークなどに詳しい教員や学生がいれば、オリジナルのサーバーを構築することも少なくないでしょう。公開Webサーバーにアップロードしたファイルは、そのままでは世界中からアクセスできてしまうことを忘れてはなりません。研究を目的としている場合は、通常よりも規制がゆるいことが多いのですが、だからといって何をしてもいいということではありません。この大学は、事件がもうひとつ起きていることも考慮すると、基本的なリテラシーが低いように見受けられます。仮に研究で個人情報が含まれたデータを扱うのであれば、氏名や住所などの個人情報に関してはダミーのデータで構わないはずですし、それを個人のSNSで公開するなど、もってのほかです。大学側が教員や学生を対象とした定期的なセキュリティ教育を行い、意識を高めるなどの対策が必要でしょう。外付けハードディスクなどの外部記憶媒体を業務で使用する場合は、その管理を徹底するべきといえます。業務用のUSBメモリを個人的に使用しようとしてデータを漏えいさせてしまう可能性もありますし、発電所など閉じられた場所にある機器を感染させるために、マルウェアの入ったUSBメモリをわざと落としておくという手法も確認されています。管理を徹底させた上で、データを暗号化して保存することも有効な対策となります。外部記憶媒体を紛失したり盗難に遭ったりしたとしても、データを暗号化していれば個人情報が漏れることはありません。暗号化の強度や暗号に用いるパスワードの管理も問題です。一定以上の強度をもった暗号により暗号化するようにしましょう。東京電力パワーグリッドの事件では、管理マニュアルは完璧といって良いほど整備されていました。それが守られなければ意味がありません。セキュリティ教育によるリテラシーの向上が必要でしょう。・第三者がアクセスできない場所に保管する・私有の記憶媒体の持ち込みを原則禁止する・すべての記憶媒体の製品番号と保管場所を把握する・記憶媒体に保存するファイルは暗号化する・取り扱いの方法や手順を文書化し、徹底する2016年8月のトピック2016年8月には、オリンピックがブラジルのリオ・デ・ジャネイロで開催されました。日本が過去最高のメダル獲得数を記録するなど、テレビの中継にかじりついていた方も多いのではないでしょうか。した世界的なイベントにはサイバー攻撃者も注目します。イベントの開催前には、チケット販売を装う詐欺サイトが大量に出現し、そこに誘導させるためのメールも大量に送信されます。したメールやサイトでチケットを購入してしまうと、クレジットカード情報などを盗まれ、悪用されてしまう可能性があります。チケットが届くとは限りません。チケットは必ず公式サイトで購入するようにしましょう。イベントが始まると、公式サイトにDDoS攻撃を行ってアクセスしづらくして、主催者などに金銭を要求するケースも出てきます。詐欺サイトはその対象がチケット販売からグッズ販売に変わり、ファンを騙そうとします。世界中から現地へ観戦者が集まりますので、後述する物理的な攻撃も多発します。ロンドンオリンピックの際に登場した、無料で映像を見られるという偽サイト物理的な攻撃には、クレジットカード情報を盗むためのスキミングなどが挙げられます。攻撃者はATMなどにカードの磁気情報を読み込む装置を取り付け、カード情報を盗み出したり、露天にお店を出したりします。物理的な攻撃以外にも、サイバー犯罪者が無料の公衆無線LAN(Wi-Fi)のニセのアクセスポイントを設置するケースがあります。した無線LANに接続してしまうと、通信内容を盗聴されてしまいます。そこでオンラインサービスを利用してしまうと、IDやパスワードなどを盗まれ、本人になりすましてサービスを悪用される危険性があります。海外のイベントに行くケースは少ないかも知れませんが、2020年には東京オリンピックが開催されます。そのときには、観戦者や観光客とともに、サイバー犯罪者もこぞって日本を訪れるでしょう。それまでにはサイバー攻撃の手法もさらに進化していると思われます。防御する側の技術も向上しているでしょうから、常にセキュリティ意識を高く持つようにしておきたいものです。自動車整備士として整備工場やガソリンスタンドで長らく働いた後、IT系フリーランスライターとして独立。ここ15年ほどは情報セキュリティ関連を中心に執筆活動を行っている。パソコンやハード、ソフト、周辺機器、スマホ、アプリ、サービスなどIT系全般はもちろん、自動車など他業界にも対応。こんな記事もオススメです。漏えいした個人情報が取引されるブラックマーケットとは?個人情報の漏えい事件は、今に始まったことではありません。個人情報を入手して悪用しようという人たちは、昔から存在していました。「マイナンバー制度に関する“チェック漏れ要注意リスク5選”」vol.09りそな銀行から芸能人の個人情報が流出!軽はずみな行動で情報漏えい“加害者”に。vol.08ウソのようなホントの話。使われているパスワードは「123456」vol.07楽天、LINE、Amazon利用者は要注意!パスワードの使いまわししていませんか?vol.06LINEのセキュリティ脆弱性でトーク・写真などのデータが抜き取られる可能性あり!vol.05気軽に登録したサイトから漏えいした2000件のパスワード!“パス漏れ”事件の犯人が逮捕!!vol.042013年の情報漏えいインシデント件数は減少。