(平成23年度)「個人情報の取扱いにおける事故報告にみる傾向と注意点」について(平成23年度)「個人情報の取扱いにおける事故報告にみる傾向と注意点」について平成23年度中に当協会(JIPDEC)および指定審査機関(平成23年度末現在18機関)に報告があったプライバシーマーク付与事業者(以下、付与事業者)の個人情報の取扱いにおける事故についての概要を報告する。平成23年度の事故報告内容から、事故に対する主な注意事項をまとめたので、前年度までの報告内容と合わせて、個人情報の取扱いに関する事故の再発防止に活用して頂きたい。(298KB)平成23年度の報告件数682付与事業者1,434件の事故報告があり、前年度の691付与事業者1,590件よりそれぞれ減少している。平成23年度末時点の付与事業者数(参考資料:有効付与事業者数の推移を参照)に占める事故報告の割合は5.4%であり、前年度(5.7%)より若干減少している。い等」、「封入ミス」の順に割合が多く、前年度と同じ傾向である。盗難・紛失の媒体は、前年度に比べ書類(45.5%→47.4%)、ノートPC(6.9%→9.4%)の割合が増加している(件数は共に減少している)。配送物の中に個人情報が含まれていても、配送委託先のミスが原因で事故(配送ミス・紛失等)が発生した場合は、欠格性(欠格レベル)の評価において不可抗力によるものとし、「措置なし」の評価を行っている。当該理由により、措置なしと評価した付与事業者数と事故報告件数は含めていない。)及び、渡し間違い等である。「配達ミス」は、付与事業者自らが配達した際の間違い等である。※2:「その他漏えい」の内容について「その他漏えい」には、『プログラム/システム設計ミス』、『不正アクセスによる漏えい』、『口頭での漏えい』及びその他『ヒューマンエラーと考えられるもの』等が含まれる。※3:「その他」の内容について「その他」の内訳は以下の通り。3.事故に対する主な注意事項等メール誤送信に関して前年度(平成22年度)に比べ、メール誤送信の事故報告件数が265件(16.7%)から285件(19.9%)と増加している。」などが含まれるが、いずれも事前のチェックで防ぐことができるものである。メールソフトを活用し、強制的に「チェックの機会を設ける」方法も有効であるが、「慣れ」によって「チェックがミス発生抑止の役割を果たさない」状況に陥らないように、常にメール誤送信のリスクに関する強い認識を持ち続けることが重要である。送信先が多数の場合等には、送信直前に送信担当者のみならず、送信責任者が「宛先メールアドレスの選択」、「宛先欄の選択」、「本文の内容」、「添付ファイルがつく場合にはその内容」などに誤りがないか、確認を行ったうえで送信する手順をルール化する等の事故防止策をとることも重要である。ファックス誤送信に関して前年度に比べ、ファックス誤送信の事故報告件数も114件(7.2%)から129件(9.0%)と増加している。ファックス誤送信の原因として多いのは、「ファックス番号間違い」である。するそれぞれの段階で、ミスを発生させないためにいかに工夫するかが最善のファックス誤送信防止策となる。ファックス誤送信は、「機種や設定によって操作が異なる」ことによる「操作ミス」、「勘違い」で発生することも多い。機種の入替えを行った場合や、通常とは別の機種を使用せざるを得ない場合などには特に注意が必要である。ファックス機のところに、簡単な操作マニュアルを貼るなどの工夫も有効である。盗難・紛失事故について盗難・紛失の媒体別内訳は下記の表の通りであるが、前年度と同様に書類、携帯電話の紛失が多く報告されている。媒体別の集計であるが、当該媒体のみを失う事は非常に少なく、通常は当該媒体を収納したバッグ等が盗難に遭う、若しくは紛失する場合がほとんどである。再発防止策としては媒体の安全対策措置を過信せずに、バッグ等の管理について従業者への教育を繰り返し行うことも重要である。盗難・紛失の媒体等別内訳(平成22~23年度)(注1)盗難・紛失のカッコ内は事故報告件数。(注2)盗難や紛失は、一つの事故で、複数媒体が関係することもあるので、合計と事故報告件数は合致しない。(※2)バッグ類:個人情報の盗難・紛失の事故であるが、収納されていた媒体が不明のもの。※IT関連の事故報告についてコンピュータシステム、情報システム、ネットワークシステムにおける、あるいはIT機器操作における事故等を総称した「IT関連の事故」は、平成22年度より当該事故報告が目立っています。「本来公開してはいけない情報が公開された」、「本人のみ閲覧可能な画面が第三者からも閲覧可能となった」、「第三者がシステムの脆弱性をついて入り込み、データを改ざんされた/データを持ち出された」、「第三者が実在するID・パスワードを利用して不正行為を行った(なりすまし)」等の事例が報告されています。IT関連の事故の特徴は、被害対象の規模が大きいことであり、対象事業者数が多いことやクレジット情報が含まれることもあることから、ニュース等で取り上げられることも少なくありません。場合では、適切な事前確認により防止可能なケースも多くあります。発生原因を十分に検証した上での作業手順の確認や、確認・検証体制の見直し等がポイントと考えられます。委託先で発生した場合には適切な委託先管理(監視・監督)を行うことも重要です。<参考>平成17年度~平成22年度の「個人情報の取扱いにおける事故報告にみる傾向と注意点」については、下記を参照してください。Systemは、当協会(JIPDEC)の登録商標です。