神奈川県ホームページ表示がくずれた場合はこちらをクリックくださいこのページの本文へメニューへお使いのブラウザの設定で、JavaScriptが無効になっています。神奈川県ホームページでは、閲覧を便利にする機能や効果を実現するためにJavaScriptを使用しています。県が富士通リース株式会社横浜支店とのリース契約満了に伴い返却したサーバーから、県のハードディスクが盗まれたことが判明したのでお知らせします。県民の皆様に不安を与え、県への信頼を揺るがすものであり、誠に遺憾であるとともに、皆様に、深くお詫びいたします。外部に出てしまったハードディスク18本は、12月21日までに全て回収し、12月27日には、情報提供者(A氏)により復元されたデータがすべて消去されたと仲介者から県に連絡がありました。検討を重ね、1月27日に情報流出防止策を決定しました。現在、具体的な対策の実施方法などについて、引き続き検討を進めています。令和元年11月26日(火曜)夕刻、県の情報と思われる電子データを持っているという方(以下「A氏」と表記)の仲介者から、県のデータで正しいか確認してほしいとの連絡があり、翌11月27日(水曜)に電子データの内容を確認したところ、公開情報や内部資料などが多く確認されたが、一部個人情報や重要情報も含む県の内部情報と思われるものが確認できた。A氏は、オークションサイトから購入した中古のハードディスク9本について、データ復元ソフトウェアを使用したところ、一部データが復元できたとのことで、A氏から任意で提供されたハードディスク1本のシリアルナンバー(個体番号)が、県から富士通リース株式会社横浜支店(以下「富士通リース」と表記)に返却したものと一致したため、県のハードディスクが外部に出たものと認め、同社に対し事実確認を指示した。富士通リースの調査の結果、富士通リースがデータ消去を委託している株式会社ブロードリンク(以下「ブロードリンク」と表記)の社員1名が18本のハードディスクをデータ消去作業前に盗んでオークションサイトに出品し、18本すべて落札されていることが12月5日(木曜)に判明した。A氏が購入した9本のハードディスクは、12月5日20時に、本人同意のもと、仲介者から県に返却いただいた。ブロードリンクからは、ハードディスクを盗難した社員について、12月6日(金曜)に警視庁大森警察署に告発したこと、行方のわからない残り9本のハードディスクの回収については、警察の捜査にゆだねるとの連絡があった。外部に出てしまったハードディスク18本は、12月21日までに全て回収した。情報提供者(A氏)が落札した9本のハードディスクから復元されたデータが、すべて消去されたと、12月27日に仲介者から県に連絡があった。被害状況(令和2年2月5日現在、新たな被害は確認されていません)12月7日現在、ハードディスクが外部に出たことによる具体的な被害の発生は確認されていない。今回盗難された18本以外のハードディスクについては、溶解処理や解体・圧縮処理されており、外部に持ち出された事実は確認されていないが、継続して調査している。格納されている機器(サーバー等)をリース満了によりリース会社に返却する場合は、従前より情報漏洩防止のため、県内部の初期化作業でデータを全て消去した後、リース会社が「データ復旧が不可能とされている方法によりデータ消去作業を行うものとする」としている。今後は、情報漏洩防止を徹底するため、契約満了時には、県庁から搬出する前に職員が立ち会いのもと、データ記憶装置を物理破壊させるなど、契約の見直しを行う。再発防止策を検討するため早急に検討チームを発足します。(第1回検討会議を令和元年12月26日に開催、第2回検討会議を令和2年1月24日に開催、第3回検討会議を令和2年2月中に開催予定)令和2年1月27日に県内部の手続きにより「県情報を保存するために使用した情報機器からの情報流出防止策(PDF:708KB)」を正式決定した。【12月6日(記者発表)】リース契約満了により返却したハードディスクの盗難について【12月16日(知事記者会見)】12月16日の内容に、「リース契約満了により返却したハードディスクの盗難に係る再発防止」に関する発言と資料があります。【12月20日(記者発表)】所在不明のハードディスクの一部回収について【12月21日(記者発表)】所在不明のハードディスクの全台回収について【12月24日(知事記者会見)】12月24日の内容に「県のデータが入ったハードディスクの盗難」に関する発言があります。神奈川県の行政文書を保存していたハードディスクを内蔵していたサーバーをリース契約満了により県が初期化したうえで、契約先の富士通リースへ返却しました。リース契約では機器の返却時に「データ復旧が不可能とされている方法によりデータ消去作業を行うものとする」としており、富士通リースはそのデータ消去作業(物理破壊)をブロードリンクに委託していましたが、作業を実施するブロードリンクの社員が、データ消去を行う前のハードディスク18本を盗み、オークションサイトを通じて売買してしまいました。盗難された18本のうち9本を購入した情報提供者が、初期化したハードディスクからデータ復元ソフトウェアを使用して復元したデータは、その多くが壊れていて開けなかったり、何のファイルなのか確認できないものがほとんどでした。情報提供者が復元したデータの一部が県に開示され、それを見た限り、データの多くは県の内部文書でしたが、一部報道にあるような個人情報が含まれたデータもありました。データ自体は情報提供者から県へ渡せないとされたため、その場で見た以上の確認ができない状況です。)従いまして、大変申し訳ございませんが、復元されたデータに含まれる情報の範囲を特定することができていません。今回ハードディスクが盗難にあったサーバーでは、電子ファイルを細かく分割して複数のサーバー・ハードディスクに分散保存する仕様(396本のハードディスクが一体化して一つのサーバーとして機能するため、どこに保存されるかはわからない仕組み)のため、1本のハードディスクからではデータが正しく復元できません。(ファイルが壊れたり、そもそも復元できない)ただし、一定サイズ以下の小さいファイルは、分割されないで一カ所に保存されるためデータを復元できる可能性があります。このような仕様のため、盗難にあった18本のハードディスクから復元されたデータはごく一部となり、全てのデータが正しく復元された訳ではありません。復元されたデータは、現在、データを復元した情報提供者の管理下にのみに存在しており、インターネットに出てしまった訳ではありません。情報提供者(A氏)が落札した9本のハードディスクから復元されたデータが、すべて消去されたと、12月27日に仲介者から県に連絡がありました。現時点で、マイナンバーが含まれていた事実は確認しておりません。所在不明となっていたハードディスク9本のうち、5本については、オークションサイトの協力を得て、12月19日に回収しました。残っていた4本についても、12月21日に回収しましたので、所在不明だった9本は全て回収済みです。県が富士通リースと契約していたリース契約では、機器の返却時に「データ復旧が不可能とされている方法によりデータ消去作業を行うものとする」としており、併せてデータ消去証明書の提出を求めていましたが、職員の立ち会いまでは求めていませんでした。督促は行ってきましたが、現時点でデータ消去証明書はまだ提出されていません。今後は、情報漏洩防止を徹底するため、住民情報等の重要情報が大量に保存された機器内部の記憶装置に係る抹消措置については、契約満了時には、職員が立ち会いのもと、データ記憶装置を物理破壊させるよう、契約の見直しを行うことを中心に、外部専門家も含めた再発防止策検討会を発足させ、効果的な再発防止策を検討するため、令和2年1月までに検討会議を2回開催し、情報流出防止策を決定しました。報告しており、具体的な被害を受ける可能性が認められた場合は、規定に従い、ご本人や対象の事業者等にご連絡いたします。県は、富士通リースを12月11日より3か月間の指名停止措置(県発注契約に関する不正又は違反)としました。今回の事案が極めて重大な結果を生じさせていることを踏まえ、より厳しい措置も検討しています。損害賠償等の法的措置についてもしかるべき対応を現在検討中です。ICT推進部情報システム課です。Readerが必要です。Readerをお持ちでない方は、バナーのリンク先から無料ダウンロードしてください。Government.。