最新情報。株式会社ベネッセホールディングス個人情報漏洩事件。漏洩事件犯人判明。正確な漏洩数。事故後の対応。

株式会社ベネッセホールディングス個人情報漏洩事故最新情報

・株式会社ベネッセホールディングス個人情報漏洩に対するポリシー
・株式会社ベネッセホールディングス個人情報漏洩に関する最新情報
・株式会社ベネッセホールディングス個人情報漏洩に関する顧客に対する謝罪及び対応
・情報漏えい者に対する対応
・株式会社ベネッセホールディングス個人情報漏洩に関する考察

株式会社ベネッセホールディングス個人情報漏洩に対するポリシー

株式会社ベネッセホールディングスは、個人情報漏洩に対するポリシーが公表されています。
※ポリシーを、”「ベネッセお客様本部」がとりくむこと”と非常にわかりやすい表現にされています。

「ベネッセお客様本部」がとりくむこと

・漏えいした個人情報の拡散防止・悪用抑止活動にとりくみます。
・今回の漏えいに関連した不審な勧誘など、お客様のお困りごとに個別に対応いたします。
・ベネッセでお預かりしているお客様の個人情報の利用停止・消去など、ご要望にお応えします。

顧客に対して会社の方針を真っ先に示しています。しかもわかりやすい表現で。

顧客に合わせた表現方法活用を行う。参考すべき点です。

株式会社ベネッセホールディングス個人情報漏洩に関する最新情報

事故の内容

株式会社ベネッセコーポレーションのシステム開発・運用を行って
いるグループ会社、株式会社シンフォームの業務委託先の元社員が、弊社お客様の大切な情報を不正に持ち出し、名簿事業者に売却した

第三者委員会の設置

・小林英明弁護士を委員長とする外部の専門家と共に徹底した事実調査・原因究明を行う。

情報漏えい件数

・約3,504万件
3社の名簿事業者に売却実際は約2，895万件

情報漏えい内容
サービス登録者
・お名前
・性別
・生年月日
・登録いただいていた保護者様またはお子様のお名前、性別、生年月日、続柄
・郵便番号
・ご住所
・電話番号
・FAX番号
・出産予定日
・メールアドレス

不正持ち出しの経緯と原因

外部からのセキュリティ、監査を実施していたが内部からのセキュリティには不備があった。（性善説）

調査結果

事故の要因
・自社の情報セキュリティの過信
・ITリテラシー不足。
・企業風土の起因による甘さ

具体的要因
・外部記憶装置へのデータ書き込み制限の不具合
外部記憶装置へのデータ書き出し制限についてのシステム導入をしていたが、システムのバージョンアップの際に一部特定新機種スマートフォンへの書き出し制御機能に対応しないまま運用されていた。
・データベースのアラート機能設定の不備
・定期モニタリングの不備

再発防止策
・アクセス権限の見直し、必要最小限の担当者への付与、パスワード管理強化
・端末へのダウンロード監督者の設置
・大量データをダウンロードする際のアラート機能の設置
・業務端末における外部記録媒体との接続禁止措置
・アクセスログの監視設定の強化（定期チェック）
・執務スペースへの私物である電子機器、記録媒体の持ち込み禁止、監視カメラの導入
・データベースの管理をグループ企業から本社管理に移行
・データの保守・運用は、株式会社ベネッセホールディングスと情報セキュリティ企業である株式会社ラック合弁会社
・データベースの保守・運用業務の外部委託を行わない。

株式会社ベネッセホールディングス個人情報漏洩に関する顧客に対する謝罪及び対応

情報漏えいした顧客に対しお詫びの品を提示
・500円分の金券（電子マネーギフトまたは全国共通図書カード）
・「ベネッセこども基金」へのご寄付500円
・財団法人「ベネッセこども基金」設立
未来ある子どもたちへの支援や子どもたちが安心して学習に取り組める環境の確保などを目的

情報漏えい者に対する対応
業務委託先の元社員が、不正競争防止法違反で東京地方検察庁立川支部により、東京地方裁判所立川支部に起訴されました。

株式会社ベネッセホールディングス個人情報漏洩に関する考察

今回の個人情報漏洩に対して
・ポリシーの作成
・迅速な情報公開
・原因の調査の迅速さ
・原因に対する対応の早さ
において、非常に評価できるものだと思います。

今までの企業でここまで大規模に対策を迅速にとった企業は、ジャパネットタカタぐらいだと思います。

ジャパネットタカタは率先した、高田社長の手腕によるものですが、今回も株式会社ベネッセホールディング会長の手腕によるものだと思います。

セキュリティ対策が性善説での対応だったことは、企業風土らしさを感じます。しかし今回のことで性悪説での対応となるのが多少悲しく感じます。

現在の情報セキュリティは性悪説の元に作成されているのですからしょうがないのですが。

しかし、謝罪に対する500円という値段が、個人的に疑問に思います。ソフトバンクの情報漏えい以来、500円という金額が一般化しそれが基準となっています。

500円の金額の妥当性について新たな議論が、今後必要だと思います。

情報漏えい者に対して、不正競争防止法での訴訟ということで現在の情報漏えい事件で、一番使用される法律です。
他の法律による処罰よりも一番重くなっています。

ただ民事の訴訟はまた別に行われる可能性もあります。

逆に情報漏えいされた側からの訴訟も発生する可能性もあります。
後個人的注目は、日本版クラス・アクション法（消費者団体訴訟法）が利用されるかということです。

尚クラス・アクション法（消費者団体訴訟法）に関しては、後日記事として作成予定です。