個人情報漏えい対策は、セキュリティを強化するだけでは三流

ベネッセの個人情報漏えい事件を見て、自社の個人情報保護体制を見直さなければならない

先日の個人情報漏えい事件を受けて、この機会に、自社の個人情報の管理体制を見直している企業も多かろうと思います。

法律的なことを言えば、取締役・取締役会は、業務適正確保体制、いわゆる内部統制システムの一貫として、情報の保存及び管理に関する体制を整備しなければならないので、個人情報の保存及び管理に関する体制も整備しなければなりません。
整備というのは、他社で個人情報の漏えい事件が発生したときに、自社にて、今回と同様の個人情報の漏えいが発生しないかを再度確認し、確認の結果、防止できないと判断したら、防止できるように改善措置を講じる、ということも含みます。

つまり、漫然と「ベネッセ、大変だな」と新聞記事を眺めているだけではダメなのです。

個人情報の保存・管理体制を確認し、改善する際の3つのポイント

自社の個人情報の保存・管理体制を見直す際、考えもなく、お金を掛ければいいというものではありません。
自社の体制を見直し、ベネッセ同様の事件が発生しないか確認し、改善策を講じるにあたっては、3つのチェックポイントがあります。

  • 1つめは「物的」管理ができているか
  • 2つめは「組織的」管理ができているか
  • 3つめは「人的」管理ができているか

おそらく、多くの会社は、今回のベネッセの事件を受け、1つめの「物的」管理、2つめの「組織的」管理ができているかに力を注いで、個人情報の保存・管理体制が万全かをチェックすることと思われます。
しかし、本当に重要なのは、3つめの「人的」管理の部分です。

とはいえ、「物的」管理、「組織的」管理、「人的」管理ってなんのこっちゃ?という方もいらっしゃるでしょうから、まずは、ここから噛み砕きます。

個人情報保存・管理体制のうち「物的」管理の見直しだけやるのは、三流の会社

チェックポイントの1つめに挙げた「物的」管理というのは、わかりやすく言えば、社内のシステムです。
一番身近な例でいえば、個人情報を保存するデータサーバは社内の共有サーバから隔離されているか、個人情報を保存するデータサーバにアクセスできる権限を持っている者は限られているか、といったものです。

今回のベネッセ事件では、下記のような方法で情報が漏えいしたと発表されています。

「今般、㈱シンフォームの業務委託先の元社員が、担当業務のために付与されていたアクセス権限により、お客様情報が保存されたデータベースにアクセスし、不正にお客様情報を社外に持ち出し、名簿事業者に売却しておりました。」

「その後の調査により、当該元社員が弊社データベースからお客様情報を不正に社外に持ち出していたと推測しております。概要は以下の通りです。

  • 元社員は、当該業務に従事している期間中、複数回、データベースにアクセスしていたログが確認されております。
  • 元社員は、担当業務のために今般お客様情報を不正に持ち出したデータベースへの正規のアクセス権限を付与されておりました。
  • そのアクセス権限により、元社員は、データベースにアクセスし、お客様情報を閲覧し、データを取得しておりました。」(2014年7月17日付ベネッセホールディングスのプレスリリースより)

 

「当該元社員は弊社のお客様情報を、私物のスマートフォンにコピーして持ち出していたことが判明しております。今般、警察の要請を受け、弊社がスマートフォンに残されていた情報を鑑定した結果、弊社の顧客データとすべて一致することを確認いたしました。」(2014年7月21日付ベネッセホールディングスのプレスリリースより)

つまりは、下請け先の社員が、担当業務のために与えられていた正規のアクセス権限を利用してデータベースにアクセスしたところ、お客様情報を閲覧し、データを取得できてしまった、しかも、私物のスマートフォンにデータをコピーしていた、ということです。

ここから、まず、「物的」管理として、アクセス権限でどこまでの情報にアクセスできるようにするのか、誰にどのレベルのアクセス権限を与えるのか、また、データベースに保存されているデータをスマートフォンをはじめとする記録媒体にコピーできるようにしていていいのかを見直さなければならないことがわかります。

しかし、これは、あくまで、個人情報が漏えいした表面的な部分です。
今回のベネッセの件で、このような方法で個人情報が漏えいしたからという理由で、この「物的」管理を見直すことは、お金さえあれば、誰でもできます
要は、「物的」管理の見直しをするだけの会社は、三流の個人情報保存管理体制と言って良いと思います。

「組織的」管理の見直しも、個人情報保存・管理体制の整備としては不十分

「組織的」管理というのは、わかりやすく言えば、アクセス権限の保管は誰が行なう、データのコピーをするときには誰かの承認を必要とするなどといった、社内の手続規程の射程のものだと理解していいと思います。
おそらく、個人情報の保存・管理体制を整備している会社の多くは、社内手続規程は整備されていると思います。
そのため、今回のベネッセの件を受けて、社内手続規程を見直すにしても、規程を作り直すなどといった新たに行なうことはないと思われます。

強いて挙げれば、これまで社内では、パソコンにUSBメモリ(フラッシュメモリ)やCD-ROMなどの記録媒体を接続して、データをコピーしてはいけない、データをコピーする場合には上司の許可や申請、立ち会いが必要などといったことまでは定めていた。しかし、パソコンにスマートフォンを接続してはいけないとは定めていなかった。
このことに気づいて、スマートフォンの取扱いについて新たに規程を作るという会社はあるかもしれません

詳しく述べようとすると、BYOD(Bring Your Own Device)の話にまで拡がっていく問題です。

先に書いた「物的」管理だけではなく、「組織的」管理まで見直すこと。
ここまでやれば、三流ではありません。しかし、一流であるとも言い切れません。

個人情報保存・管理体制の見直しで一番重要なのは、「人的」管理の見直し

「物的」管理の見直しだけでは三流、「組織的」管理の見直しまでやれば三流ではないにせよ一流とまでは言えない(二流?)。
では、一流の会社はどこまで行なうか。
それは、今回の件をきっかけに「人的」管理の見直しを行なう会社が一流です。

「人的」管理、つまりは、会社の中で、個人情報にアクセスできる権限を与える人の見直し、誰に権限を与えたら良いかを役職で考えるのではなく人ごとに考える、また、各人の個人情報保護に対する意識を高めていくということです。

後者は、役職員に対する研修です。
他方、前者は何かといえば、個人情報にアクセスできる権限を与えてもいい人はどんな素養がある人なのかを考え、場合によっては今までアクセス権限を与えていた人から権限をはく奪する、今までアクセス権限を与えていなかった人に権限を与える、ということです。

とはいっても、「アクセス権限を与えてもいい人かどうか、個別には判断できないし、角が立つ。だから、組織的に役職・階層別に与えている」という声も聞こえてきそうです。
しかし、過去の個人情報の漏えい事件をちゃんと分析すると、個人情報を故意に漏えいする人には共通点があることがわかります。
それは、「借金がある人」「お金に困っている人」です。

今回のベネッセ事件の動機は「家族の入院やギャンブルで170万円ほどの借金があり、生活に困っていて金が欲しかった」などと報道されています。

直近で最もメジャーな個人情報漏えい事件であった、「証券会社のシステム部部長代理による個人情報漏えい事件」。
この事件もまた、システム部部長代理がサービス残業によるストレス解消のためにキャバクラに通い、500万円を超える借金があったことが動機であったと報じられました。

他のいくつかの事件もまた、同様に借金が原因であったりします。

ここからわかるのは、「人的」管理の見直し策の一つとしては、「借金がある人」「お金に困っている人」には、そもそも個人情報へのアクセス権限を与えないという運用をしていかなければならないことがわかります。

ただ、「人的」管理の問題は、これだけでは終わりません。

そもそも借金を作った原因はなんだったのか。
証券会社のケースでは、発端は「サービス残業によるストレス」でした。
ということは、「人的」管理の問題は、サービス残業でストレスが溜まるような職場環境を変える、もっといえば、人の配置、人員増強など、そもそも、会社の業務体制そのものの見直しを行なうということに行き着きます

今回のベネッセの事件をきっかけに、「人的」管理として、日常の業務まで見直すことができれば、一流といっていいと思います。

真夏の謝罪会見であったとしても、クールビズ=ノータイは避けたほうが無難

クールビズの浸透

6月、7月と暑さが増しています。
暑さが増すに連れ、街には、クールビズ=ノータイの社会人の姿を目にするようになりました。
8月を目前に控えた今は、8割方、ノータイかつ上着もなしという格好なような気がします。
ちなみに、私の場合、本当はノータイかつ上着なしにしたいのはやまやまですが、セミナーや研修などで人前に出る機会が多いので、ノータイながらも上着を羽織っています。
打合せも何もないときは、たまに、短パン、Tシャツで出勤していますが・・。

謝罪会見の場で、クールビズは許されるのか

これだけクールビズが浸透してくると、現実的に課題になるのが「夏の謝罪会見の場でクールビズの格好が許されるのか?」というものです。
クライシス・コミュニケーションに関するご相談の中でも、よく、この話題になります。

春秋冬、また夏場でも涼しければ、上下スーツにネクタイを締めることに抵抗感はないと思います。
問題は、真夏の暑い日です。

答えを言えば、現状では、夏の謝罪会見ではクールビズは避けた方が無難ということです。

謝罪会見の目的と、日本人の礼節感覚

謝罪会見の究極の目的は、事実を謝罪、説明し、企業が存続して経営を継続することを社会に許容してもらうことにあります。
日本人の礼節に対する感覚では「謝罪して許しを請うなら、きちんとした服装で行え」となるのではないだろうかと思います。

実際問題、謝罪とは関係のないビジネス上の商談においても「クールビズですみません」と一言断る。
「当社はクールビズを採用しております」「上着の着用はお気遣いなく」といった趣旨の言葉が建物内に掲示されている。
こういった光景をよく見かけます。

これらの光景の背景には、日本人の礼節に対する感覚、つまり、きちんとした仕事の場では、きちんとした格好をしろ、という感覚があるからです。
日本のスーツ姿が正しい格好であるかはともかく、少なくとも、きちんとした格好としてみなされています(※スーツのうんちくは「王様の仕立て屋」というマンガが詳しいです)。
織田信長が斎藤道三に聖徳寺で会ったときの服装のエピソードが未だに語り継がれているのは、そうした日本人の感覚だからこそ、かと思われます。

クライシス・コミュニケーションに備えて、役員は、社内にダークスーツとネクタイを用意

こうした日本人の礼節に対する感覚に見れば、謝罪会見をはじめとするクライシス・コミュニケーションの場では「きちんとした服装」、つまり、上下スーツにネクタイという姿にせざるをえないということになりましょう。
特に、企業が起こした不祥事が、人の生命・身体に関わるような場合、財産に関わるような場合には、「葬式」に参列するのと同じような感覚でいなければならない、ということかと思います。
となると、スーツは明るめのスーツ、派手なスーツよりは、無地のダークスーツ、ネクタイも地味目なネクタイを選択するしかありません。

今回のベネッセホールディングスでの個人情報漏えい事件でも、記者会見の場では、クールビズ=ノータイではなく、上下ダークスーツにネクタイをしていました。
ネクタイはちょっと派手な気もしましたが、無地の明るめの紺なので、落ち着いた方なのかもしれません。

つまりは何が言いたいかというと、会社の役員は、いざというクライシス・コミュニケーションが必要になる時に備えて、それらを準備しておかなければならない、ということです。
今でも、急な不幸に備えて、社長以下役員がダークスーツ一式を準備している企業は多いと耳にします。
それを徹底しておいたほうが無難ということです。

ベネッセホールディングス事件に見る個人情報漏えい時の企業のあるべき対応

ベネッセホールディングスでの個人情報漏えい

7月9日、ベネッセホールディングスで、お客様情報約760万件が漏えいし、その数は最大で約2070万件に及ぶ可能性があることが発表されました。

「このたび、ベネッセコーポレーション(以下「弊社」といいます。)のお客様情報約 760 万件が外部に漏えいしたことが確認されましたので、ご報告申し上げます。お客様情報が漏えい
したと思われるデータベースに保管されている情報の件数から推定すると、最大約 2,070 万件のお客様情報が漏えいしている可能性があります。」
(ベネッセホールディングス、2014年7月9日付プレスリリースより)

今回は、この件を通じて、企業が個人情報を漏えいした場合の対応について考えてみます。

個人情報漏えい時の企業内で行うべき対応については、過去に一通り書いたことがありますので、そちらもあわせてご確認ください。

個人情報漏えい時の対応でもっとも重要なことは、お客様の不安感を払拭すること

企業が個人情報を漏えいしたことについて対応する際、念頭に置いておくべきことは、お客様の不安感です。

その企業のお客様の誰でもが、次のような思いを抱きます。
担当者自身が「自分が個人情報を預けた立場」になって考えてみればわかるはずです。

  • 「私の個人情報が漏えいしたのではないか?」
  • 「どんな個人情報が漏えいしたのだろう?」
  • 「漏えいした個人情報は回収できないのか?」
  • 「いったい、これから私の身に何が降りかかるのだろう?」
  • 「会社として責任はどうとるつもりなのか(怒)」

そうだとすれば、企業としては、こうしたお客様の不安感を拭い去るように対応をしていかなければならない、ということになります。

その意味で、ベネッセホールディングスのプレスリリースが冒頭で「お客様をはじめとする皆様に、多大なご心配・ご迷惑をおかけいたしますことを、深くお詫び申し上げます。」と謝罪していることは、事件の本質を理解した謝罪文であると評価できます。

漏えいした個人情報の内容と範囲を特定する

「私の個人情報が漏えいしたのではないか?」「どんな個人情報が漏えいしたのだろう?」という不安を払拭するためには、漏えいした個人情報の内容と範囲を特定する必要があります。

ベネッセホールディングスのプレスリリースの内容

ベネッセホールディングスのプレスリリースでは、「漏えいしたお客様情報」と題して、次のように、漏えいした個人情報の内容と範囲を特定しています。

<該当するお客様>
現在、漏えいしたと考えられるのは、弊社が提供する通信教育サービス等のお客様に関する情報約 2,070 万件、うち、漏えいが確定している情報は約 760 万件です。該当する情報は別紙に記載するサービスをご利用いただいている(または過去ご利用いただいていた)お客様の情報です。

<漏えいが確認されている情報項目>
漏えいしたことが確認された情報項目は以下の通りです
 郵便番号
 お客様(お子様とその保護者)のお名前(漢字およびフリガナ)
 ご住所
 電話番号(固定電話番号または携帯電話番号)
 お子様の生年月日・性別
クレジットカード番号・有効期限、金融機関の口座情報、成績情報など上記項目以外の漏えいは確認されておりません

また、今般のお客様情報の漏えいは特定のデータベースからのものであり、漏えいしたリストを入手しデータ内容を調査した結果、別紙記載の商品・サービス以外のお客様情報を保管しているデータベースには、異常がないことを確認しております。

漏えいした個人情報の数の最大可能性を最初に摘示したことの重要性

ベネッセホールディングスのプレスリリースは、まず「お客様に関する情報約 2,070 万件、うち、漏えいが確定している情報は約 760 万件」と、最大数と確定数を両方記載しています。
これは、2070万件以上は漏洩していません、ということで、お客様を安心させるために必要な記載です。

もし、この記載がなく「漏えいが確定している情報は約760万件」とだけリリースして、後日になって、「約760万件以上の個人情報が漏えいしていることが発覚しました。実は1000万件でした」「さらに調査したら、約1500万件漏えいしていました」「いや実は・・・」などと訂正を繰り返したら、どうでしょう。
お客様は「もっと漏えい件数が増えるのではないか?」と不安になります。
そうした不安を抱かせないためには、最初から「最大で○○件の可能性」ということを明示していたほうが、事態は早期に収束しやすいのです。

漏えいした個人情報は、どのサービスを利用したお客様なのかを摘示することの重要性

あわせて、ベネッセホールディングスのプレスリリースでは、「該当する情報は別紙に記載するサービスをご利用いただいている(または過去ご利用いただいていた)お客様」「別紙記載の商品・サービス以外のお客様情報を保管しているデータベースには、異常がないことを確認しております」と記載し、どのサービスを利用したお客様の個人情報が漏えいした可能性があるということを明言しています。

これもまた、これ以外のサービスしか利用していないお客様は個人情報が漏えいしていないから安心してください、というメッセージを伝えるものです。

漏えいした個人情報の内容を特定することは、最重要

しかも、ベネッセホールディングスのプレスリリースは「漏えいしたことが確認された情報項目は以下の通りです」「クレジットカード番号・有効期限、金融機関の口座情報、成績情報など上記項目以外の漏えいは確認されておりません」と、漏えいした個人情報の内容を特定しています。

これによって、「もしかしたら、クレジットカードが悪用されるのではないか」「金融機関の口座からお金を抜かれるのではないか」「子どもの成績が表に出てしまうのではないか」などという不安を払拭することができます。

個人情報を漏えいしたということで生じるお客様の不安を一つずつ取り除いていく。
そのためには、こうした個人情報の内容の特定というのは、意味があることです。

ベネッセホールディングスでの個人情報漏えい対応の最大の特徴=Webサイトの最大活用

これまでの個人情報漏えい事件でも、企業のWebサイトに個人情報漏えいについての情報を掲載することは行われていました。
ただ、今回のベネッセホールディングスの場合、過去の個人情報漏えい事件とは比較にならないほど、Webサイトが充実していることも特徴です。
これは、ベネッセホールディングスが B to C を業態とする会社であり、一般消費者に向けての情報発信を怠れば、企業としての信頼を失う可能性が高いということからではないかと推察できます。

企業Webサイトのトップページの頭に、個人情報漏えい事件についての専用ページへのリンクを掲載

ベネッセホールディングスでは、会社の公式サイトのトップに、個人情報漏えい事件についての専用ページへのリンクを掲載しています。

Benesse  ベネッセグループ

赤く囲ったのは私が注釈したものです。
謝罪と専用ページへのリンクがわかりやすく掲載されているのは評価されて良いと思います。

プレスリリースをわかりやすく構成し直し、問い合わせ窓口も掲載

次いで、専用ページを訪問すると、プレスリリースの内容を一般のお客様が読んでもわかりやすくなるように、構成し直されています。
あわせて、問い合わせ窓口が赤囲みで掲載され、その赤囲みの中に、強調したいポイントも列挙されています。
※この赤囲みはベネッセホールディングスがしたものです

お客様に情報を伝えるというWebサイトに掲載することの役割を、よく理解した対応かと思われます。

ベネッセコーポレーションにおける個人情報漏えいに関するお知らせとお詫び(お問い合わせ窓口のご案内)

お客様からのよくある質問と回答のページ

さらに、特筆すべきは、「多く寄せられているご質問とその回答」のページの存在です。

大抵の場合、こうした良くある質問と回答(FAQ)のページが作られても、社内の目線で見た質問と回答だけで埋められていることが多いです。
しかし、ベネッセホールディングスの場合、お客様目線に立った質問と回答が数多く、しかも、日々、最新の質問と回答が追加掲載されています。

発表から日がない中で、ここまで充実させているのもまた評価されるべき点ではないかと思います。

多く寄せられているご質問

ブログ形式での日々の情報更新

そのうえで、「お客様へのご案内」「対策進捗」「プレスリリース」がブログ形式で、投稿されるようになっています。
正直、これらの内容は重複する部分もあるので統合してしまってもいいような気もしますが・・・。
とはいえ、ブログ形式、つまり、最新の情報が常に一番上に来るように情報がアップされているのは、他の企業では見られなかったパターンではないかと思います。

他の企業にとっては、危機管理対応として参考になる

今回のベネッセホールディングスのプレスリリース、Webサイトの作り込み方は、他の企業にとっても、事件・事故対応、危機管理対応として非常に参考になるものです。
役員間、総務・広報の各部署では、他社事例の分析として社内共有しておくべきかと思われます。

私が企業不祥事広報のセミナーなどでお話ししている内容がほとんどすべて網羅されている、という点でも、私の目から見たら十分な対応をしているなと感じます。
私に仕事振ってくれれば、もっと良かったのですが・・・。私の日常的な仕事は、こういう対応策の提案・助言ですので・・・。

記者会見での号泣はアリか、ナシか

記者会見で号泣する県議会議員

先日、兵庫県の県議会議員が記者会見を行い、その場で号泣していたことが話題になりました。

記者会見が行われた理由は・・

  • 兵庫県議会は政策立案の調査研究や資料購入などの「政務活動費」として、議員報酬とは別に月50万円を上限に交付している。
  • 原則として領収書がなければ返却を求められる。
  • しかし、当該県議会議員が2013年度に申告した総額は、平均を上回る計564万円。
  • 内訳は、交通費を含む「要請陳情等活動費」が約301万6千円。
  • タクシー運賃を除くすべての交通費を、自己申告による「支払証明書」で領収書に替えていた。

要するに、記者会見の目的は、当該県議会議員が県議会から交付された「政務活動費」を正当な方法で使用していたかどうかを釈明することにありました。その記者会見の席で号泣したのです。

企業の謝罪会見、釈明会見で、社長が泣くことは許されるのか?

さて、この事象を、企業の不祥事での謝罪会見、あるいは疑惑についての釈明会見の場面に置き換えて考えてみてください。

企業で不祥事が発生した、あるいは違法性・妥当性が疑われる報道がされた。そのため、企業が謝罪会見や報道について説明する釈明の会見を行わなければならなくなった。会見を行うのは、社長である。このような場面を想定してみましょう。

この場面で、社長が号泣することが許されるでしょうか。もっと言えば、号泣することで社会に受け容れてもらえるでしょうか。

結論は、否です。

信頼回復を目的とした記者会見で、社長が泣くことは目的に反する

では、理由はなんでしょう。

記者会見、釈明会見を行う目的は、事実関係を明らかにして、その内容が消費者や社会に伝えられ、企業が消費者や社会からの信頼を取り戻すことです。

この目的から考えると、社長は信頼に値するという外面を保っていなければなりません。
「この社長に任せておけば大丈夫だ。きっと二度と不祥事を行わない会社にしてくれるだろう。きっと包み隠さず、不正を明らかにしてくれるだろう」
このように、消費者や社会から思ってもらわなければならないのです。

そうであるにもかかわらず号泣してしまえば、「この社長で大丈夫か? 自社で起きた不祥事なり疑惑なりを解明するどころか、陣頭指揮も執れないのではないか」と、消費者や社会から不安に思われてしまうだけです。

過去の号泣記者会見

過去にも、記者会見で社長が号泣したケースがあります。

一つは、2011年に発生した、焼肉屋で生ユッケを食べたお客さんが食中毒になり、5人が死亡してしまった事件。
もう一つは、1997年に自主廃業した証券会社の記者会見。

1997年・証券会社社長の号泣記者会見

証券会社のケースは、社長が号泣しても許されるケースです。
会社が自主廃業することを社長が号泣ながらに報告し、「社員は悪くありませんから」と会見しました。

この場合、会社は自主廃業するわけですから、極論を言えば、社長が号泣して社会から不安に思われてもいいのです。
むしろ、自主廃業することで仕事を失う従業員のことを考えれば、社長が泣きながら「社員は悪くない」と宣言するほうが、従業員の再就職に支障が生じない、つまり、従業員を守ることができます。
その意味では、社長が号泣したことが、むしろ良かったとも言えるのです。

2011年・焼肉屋社長の号泣記者会見

他方で、焼肉屋のケースは、今回の県議会議員のケースと同じで、会見の時点では引き続き営業していく可能性もあったわけです(最終的には2011年7月に廃業しました)。
となると、消費者からの信頼を取り戻すために、号泣してはいけなかったのです。

たしかに、5人の方が亡くなり、その他にも食中毒で重傷になったお客様もいらっしゃいました。
しかし、そうした方へのお詫びと号泣は、故人とその家族、当人の前でなすべきです。
記者会見の場で号泣し、また土下座する必要性はゼロであったのです。

つまり何が言いたいかと言いますと、「記者会見では泣くな。泣くなら目的を考えろ」ということです。