マニマニのMyblog

ベネッセ事件　「過信」兆候見逃す　対策限界「悪意持つ内部者現れたら…」

　通信教育のリーディングカンパニーの目を曇らせていたのは、「過信」だったのかもしれない。通信教育大手「ベネッセコーポレーション」は、自社の情報管理を妄信し、一人の社員が子供の個人情報を約１年もの間、大量に流出させ続けていたのに気付くことはなかった。

　「昨年７月からやった」。流出発覚後、ベネッセの社内調査に対する松崎正臣容疑者（３９）の説明にベネッセ幹部は耳を疑った。ベネッセには数千万件の顧客情報を、デジタル、アナログの両面から徹底して守り抜いている自負があった。

　「反応しない…」。警視庁生活経済課の捜査員は、松崎容疑者が顧客情報データベース（ＤＢ）へのアクセスに使っていた貸与パソコンに試しに私物の記録媒体を差してみたが、最低限のセキュリティーは確かに作動していた。

　だが、松崎容疑者は偶然にセキュリティーの欠陥を発見、スマートフォン（高機能携帯電話）を使って顧客情報を毎月１〜２回、大量にコピーしていた。履歴を定期的に確認すれば防げたはずだが、ベネッセが確認したのは発覚後だった。

　ベネッセは顧客情報にベネッセ関係者名義で特殊な住所のダミー情報を混在させ、ダイレクトメールなどが届けば顧客情報の流出に気付ける仕組みも採用していたが、機能しなかった。こうした防衛策について、名簿業者は「ダミーと思われるものを省くのは常識」と対策の限界を指摘する。
(一部抜粋)

アナログはわかりませんが
　デジタル部分では自信だけで徹底してるとは言えない状況なのは明確です。
　情報セキュリティのデジタル分には認識が甘いです。
　まっ責任者でも内容わからずに自信だけある管理職もいますから
　どこの会社でもあり得ることです。