# オープニング #私のおすすめプレミアム放送 どうもー。セキュリティジョッキーの松戸です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は私のおすすめ プレミアム放送に関する話なんですけども まさかの2日連続このハッシュタグということでですね、 VoicyさんなかなかDJ泣かせたなぁと思っているわけなんですけども 昨日ですね、プレミアム放送ではむしろ役に立たない放送をしたらいいんじゃないかということでですね マッチョ界隈の今日のトレーニングメニューというようなですね 内容どうかなというお話をさせていただいたんですけども その後ですね、ちょっとこういろいろ考えてみまして、これもどうかなというふうに思っているのがですね 社内の打ち合わせの状況をですね、そのまま生放送でですね流していくような、そんな内容どうかなと思っています もちろんですね、セキュリティ会社を経営しておりますので、そのお客様情報とかですね あの機密情報とかは一切流さないというところは当たり前なんですけれども よくですね、僕自身社長をやっていた頃はですね その主に幹部というかですね、部長とか本部長向けなんですけども 僕自身がですね、その企業に対する思いであったりとか 経営者として重要に考えていることみたいなところをですね どうですかね、1時間ぐらいちょっとお説教チックかもしれなかったんですけども 月に1回ですかね、勉強会という形で お話をさせていただいておりました そんな中でですね、聞いた感想をですね、フィードバックをいただきながら 自分自身のですね、経営にも反映していたというようなことがあってですね 決してこう一方通行ではなくてですね、僕自身も学びを得られる すごい貴重な機会だったなぁと今も思っています そんな内容をですね、もうあのプレミアム放送ですね お金払って聞いてくださっているわけですから、そんな方はある意味 僕の愛する従業員と言っても過言ではないわけですね 同じ仲間としてその社内のですね、勉強会の様子を一緒に聞いていただくと これ本気でいいなぁとちょっと思っているので、来年の企業ではですね ぜひその会社で検討していきたいと思います ということで今回は、廃棄したPCから個人情報が漏えいするリスクについて取り上げております この放送を通じてリスナーの皆さんは、企業化PCを安全に廃棄するための正しい手順や 物理的な破壊の重要性について理解を深めていただければと思います それでは、どうぞ # 廃棄したPC端末が一部データが残存する状態で流通、第三者が取得し発覚 廃棄したPC端末が一部データが残存する状態で流通。第三者が取得し発覚。 株式会社ミカサは6月16日、廃棄したPC端末が一部データが残存する状態で流通したことによる個人情報漏洩の可能性について発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回ある製造業の企業で発生したインシデントについて解説いたします。 概要としては、4月下旬に廃品処理業者を通じて廃棄したPCがデータが残ったまま市場に流通し、第三者の手に渡ってしまったというものです。 原因は、廃棄時にハードディスクなどの特定箇所の破壊処理が不十分であったためです。 漏洩した可能性があるのは、オンラインショップを利用した顧客最大4298名の個人情報です。 初動対応として、企業はこのPCを速やかに回収し、専門家を交えて調査と分析を行いました。 幸いにも、データの復元には煩雑な作業が必要だったため、実際の情報漏洩リスクは低いと推察されています。 再発防止策として、専門業者と連携し確実な廃棄システムの再構築を行うと発表しています。 そもそも特定箇所の破損が不十分だったということですが、PCを廃棄する際に行う物理破壊とはどのような作業なのでしょうか? はい。物理破壊というのは、パソコンに内蔵されているデータが記録された部品を取り出し、 専用の機械で直接穴を開けたり、強い圧力をかけて粉砕したりする作業のことです。 データの読み取りを物理的に不可能にするのが目的です。 今回はこの破壊が中途半端に終わっていたため、データが読み取れる状態のまま流通してしまいました。 安全に廃棄するためには、業者任せにするだけでなく、完全に破壊されたことを確認できる証明書を提出してもらうことがとても大切です。 一度流通してしまったパソコンを第三者が取得したとのことですが、企業側はどのようにしてこの事実を検知できたのでしょうか? はい。記事に詳細は明記されていませんが、一般的にこうした事案が発覚するルートはいくつか考えられます。 例えば、中古市場やネットオークションに出品されているのを関係者が発見するケースや、 購入した全員の第三者が前の持ち主のデータが残っていることに気づき、企業に連絡してくれるケースなどがあります。 最近は企業のコンプライアンス意識も高まっているため、外部からの通報をきっかけに速なかに事実確認を行い、対象の端末を回収できたのだと考えられます。 そういった経緯だったのですね。では今後同じような事故を防ぐためには、企業としてどのような根本的対策を講じるべきでしょうか? はい。根本的な対策としては廃棄プロセスの多重化が必要になります。 まずは自社内で専用のデータ消去ソフトを使って、情報を完全に上書き消去してから業者に引き渡すというルールを設けることが有効です。 その上で、情報セキュリティの国際認証などを取得している信頼できる業者を選ぶことが重要になります。 そして最終的には、データ消去完了証明書や物理破壊の完了証明書を必ず受領し、社内の管理大臣と付き合わせて確認する体制を構築するべきです。 データ消去や物理破壊の他に、パソコンを普段使用している段階から情報漏洩を防ぐためにできる対策は何かあるのでしょうか? はい。日常的な対策として非常に有効なのが、パソコンのストレージ全体を暗号化しておくことです。 最近のOSには標準で強力な暗号化機能が搭載されており、これを有効にしておけば、正しいパスワードがなければ中身のデータを読み取ることはできません。 この暗号化を行っていれば、万が一廃棄の段階で物理破壊が不十分なまま第三者の手に渡ってしまったとしても、データの復元は極めて困難になるため、情報漏洩のリスクを大幅に低減することができます。 とてもよくわかりました。今回のインシデントから、企業のIT担当者が持ち帰るべき長期的な教訓は何だとお考えでしょうか? はい。パソコンの導入から運用、そして廃棄に至るまでのライフサイクル全体を通して、最後に責任を持つことの重要性です。 外部の業者に廃棄を委託したからといって、情報漏洩の責任まで委託できるわけではありません。 委託先の管理監督責任は常に自社にあるという認識を持ち、プロセスが適切に実行されているかを監査する仕組みを作ることが不可欠です。 社内のIT資産がどのように処分されているか、現状のフローを見直すいい機会にしていただきたいです。 なるほど。パソコンの廃棄はただ業者に任せて終わりではなく、日頃からの暗号化や手放す前のデータ消去、そして廃棄後の証明書の確認など、最後に責任を持って管理することが重要だとよくわかりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回は、廃棄したPCからの情報漏洩ということで、 ハードディスクから個人情報が漏洩した可能性があるということでした。 このハードディスクから削除をしたはずのデータが 復元されてしまうということについては、 皆さんもお聞きになられたことが あるんじゃないかなと思うんですけども、 仮にその廃棄が適切でなかったり、 その委託した業者が適切に処理していないと、 そこから情報が漏洩してしまう可能性があるということで、 ぜひPCは廃棄までしっかりと気をつけていただく必要があるということになるわけです。 僕自身が廃棄までのサイクルというところで言うと、 このハードディスクだけではなくて、 場合によってはメモリだったり、全ての記憶されるべき領域において、 漏洩のリスクがないかというところをリスク分析する場合があります。 それは保存されている情報が極めて機微な場合ですね。 具体的に言うと暗号資産の秘密鍵が該当します。 皆さんビットコインとかご存知だと思うんですけども、 その秘密鍵が漏洩してしまうと、全ての資産が奪われてしまうということになるわけなので、 ハードディスクだけではなくて、例えば一時的にしか保存されないと 言われているメモリに関しても、漏洩リスクというものをリスク分析する場合があります。 これはやはり、漏洩資産を去ることながら、保存されている情報の価値ですね。 これによってどこまで対策をするかということを決めていく必要があるわけです。 ですから、通常お仕事で使われているパソコンはですね、大量の顧客情報が含まれている可能性があると思いますので、 廃棄については適切に処理していただきますようお願いいたします。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.