マーケで起きる個人情報のヒヤリハット!?

【戦慄！　ワンアクションで個人情報流出の危機】

個人情報の入った顧客リストの生ファイル、社内の連絡だからとメール添付で直接送付……これ、大変危険です。軽い気持ちでやりがちではありますが、返信や転送のワンアクションでとんでもない流出事案に発展する可能性があります。

「メーラーの自動入力候補から送信先を選んだと思ったら、うっかり間違って社外の人に機密情報を送ってしまった」という事例は多数あります。事実、日本情報経済社会推進協会の調査でも2020年代の情報流出事故原因は「誤送付・誤送信」がトップの座を守り続けているんです。そうでなくてもメールは必ず通信事業者のメールサーバーを経由するので、暗号化されない通信経路をたどることもしばしば。また、受け側が私物PCなどへの転送設定をしていた場合、その時点で情報の社外流出で、そこからどこに流れていくかもわかりません。メールで機密情報は扱わない方が良いでしょう。

【恐怖！　ファイル共有方法の罠】

社内で使用が認められていないクラウド環境を利用したことで、社内の不正アクセス検知の範囲外で不正アクセスの対象となってしまった事件も発生しています。
外部とのファイル共有のためにクラウドサービスを使用、アクセス権限の設定ミスにより第三者へ情報流出した、という事例は官庁・民間企業問わず多々ありますし、未遂に終わったヒヤリハット案件はそれ以上の数でしょう。
こういったことを防ぐために、大半の会社では、セキュリティーポリシーで利用可能と認められたシステム以外は利用禁止になっているはずですので、注意しましょう！

その一例ではありますが、ルシダスでは外部と情報のやり取りをするときは、会社で契約しているDropbox Business（監査記録も残るセキュアな環境）のDropbox Transferを使ってファイルの流通経路の安全を確保しており、規定のツールとして運用しています。この「規定のツールを運用している」が大事なところ。

つまり、ここで言う仕組み化とは「そもそも余計なことが起こらない状況を作る」ことであり、無関係の人間が無関係のファイルにアクセスする余地をなくしてしまおうということです。

もちろん、システム面だけ対策すればいいというものではなく、情報取り扱いルールの策定も重要です。誰がどの個人情報にアクセス可能かの管理規定、情報取り扱い時の報告経路、利用後の削除規定など、「ミスったときの言い訳／責任の所在確認のための運用ルール」ではなく「ミスを防ぐための運用ルール」を規定し運用していきましょう。