# オープニング #育児の息抜き どうもー セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、 サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は育児の息抜きに関する話なんですけども 子供がおりませんのでどうしたものかなと思っていたんですけども 自分が経営をやっている時の従業員ですね。 彼らはある意味自分の子供同然にですね 自分の人生を捧げてきたかなというふうに思いますので その時を思い出しているわけなんですけども 彼らがですね成長するために何か学びですね 得られるようにということで自分が知っていることを伝えていったりと 場合によってはですね少し危険な状態になればですね 見落として守るということは当然してくるわけなんですけども 息抜きですよね。ちょっとその言葉にダイレクトに 合致するかはちょっと分からないんですけども そういったインプットをですね与えていくということから少し離れてですね その結果というかその成長を見てみようというところで 一歩退いてですね俯瞰的にその従業員がどういった対応ができるかなというところをですね 見ることはしばしばあったなというふうに思っています やっぱりですね常に補助輪を付けたような形でですね ガードレールを引いてその中をですね レールの上をですねただ走らせているだけでは本人がですねその実装できるかというのは やっぱ分からないわけですよね もしかしたら本当の子さんに対してもそのようなことがあるかもしれません そんな時にですね自分の足で立ち上がってみなよということをですね 実際にこうやってもらってそれでうまくいったらですね これはもう自分の力ですので僕自身がですね 同じことだったりとかそれ以上ですね何かインプットとして与えていくというよりも またその姿を見守りながらですね その彼らがまた別のですね後輩だったり 新しい仲間をですね育っていくというようなことをですね 微笑ましく見ていくということがあったなというふうに思っています 逆にそういったあの実装を流す中でもですねまたちょっとこう 転倒しそうになったりとかですね つまづきそうになった時はあの支えてあげるということでまぁそっとですね手を差し伸べる ということもしていたなとそんなところがですね どうでしょうあの経験があるわけじゃないんですが何かですね親心とちょっとしたですね 育児からの息抜きになるのかなというふうに思っております ということで今回は 利用者の内部識別しが本来の意図とは異なる外部の広告ツールへ送信されてしまったという インシデントについて取り上げております この放送通じてリスナーの皆さんは自社で外部サービスやツールを利用する際に どのような点に注意すべきか そして利用者情報の適切な取り扱いや設定管理の重要性について 理解を深めていただければと思います それではどうぞ # LINE GAMEでユーザー内部識別子を外部の広告ツールに送信、総務省から行政指導 LINE GAMEでユーザー内部識別紙を外部の広告ツールに送信。総務省から行政指導。 LINEヤフー株式会社は7月13日、LINE GAMEユーザー内部識別紙の外部送信について発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の大手IT企業で起きたインシデントの概要をご説明します。 同社が提供する複数のゲームアプリにおいて、パートナー企業が広告の表示状況を確認するために外部の分析ツールを利用していました。 しかしそのツールの設定を変更した際、確認が不十分だったことが原因で、2022年5月から長期間にわたり、 本来送信する必要のないユーザーの内部識別紙が外部事業者のツールへ送信される事態となっていました。 事態を把握した同社はすぐに調査と修正を行い、外部ツールからの該当データの削除と不正利用がないことを確認しています。 その後、総務省から利用者情報の適正管理と再発防止に関する行政指導を受け、今後は管理体制の強化を徹底する方針を示しています。 ユーザーの内部識別紙とは具体的にどのような情報で、漏洩するとどんなリスクがあるのでしょうか。 はい。内部識別紙とは、システムがユーザーを一人一人区別するために割り当てる1位の文字列や番号のことです。 これ自体には氏名や電話番号などの個人を直接特定できる情報は含まれていません。 しかし他のデータと紐付けられることで、そのユーザーがどのような行動をとったかといったプロファイリングに利用される可能性があります。 そのため、意図しない第三者に渡ってしまうとプライバシーの侵害につながる恐れがあり、慎重な取扱いが求められる情報といえます。 なぜ設定を変更しただけで、そのような重要な情報が外部に送信されてしまったのでしょうか。 はい。外部ツールを導入したり設定を変更したりする際には、どのデータを収集して送信するかを細かく定義する必要があります。 今回のケースでは、その設定を行う際や完了した後のテスト段階で、実際にどのようなデータが流れているかの確認が不十分だったと考えられます。 システムを運用する上では、便利な機能を追加した裏側で、意図しない情報のやり取りが発生していないか、データフローをしっかりと可視化して監視するプロセスが不可欠です。 このようなインシデントが発生した場合、企業はどのようにして異常を検知するのでしょうか。 はい。一般的には定期的なセキュリティ観察や通信のログを監視する仕組みによって異常なデータのやり取りを検知します。 ただ、今回のケースのように長期間発覚しなかった場合、定期的なプライバシー影響評価が境外化していたり、外部パートナー企業との連携部分の監視が手薄になっていたりした可能性があります。 自社システムだけでなく、外部ツールとの接点も含めて、定期的に通信内容をチェックする仕組みを構築することが非常に重要になります。 総務省からの行政指導が入ったとのことですが、企業として今後どのような根本的対策が必要でしょうか。 はい。根本的な対策としては、まずデータの取扱いに関するガバナンス体制を再構築することが挙げられます。 具体的には、外部ツールを導入する前の厳しい審査基準の策定や設定変更時のダブルチェックの徹底などです。 また、定期的に外部の専門家による監査を受け入れ、客観的な視点でシステムの安全性を評価することも有効です。 さらに、従業員やパートナー企業に対するプライバシー保護の協力を継続的に実施し、組織全体の意識を高めることが求められます。 今回のニュースから、私たちのような一般のIT担当者はどのような教訓を学ぶべきでしょうか。 はい。最も重要な教訓は、外部のサービスやツールをブラックボックス化してはいけないということです。 便利だからといってパートナー企業やツール任せにするのではなく、自社のユーザーデータがどこへどのように流れているのかを、自らの責任で把握しておく必要があります。 特にプライバシーに関する法令や規制は年々厳しくなっていますので、設定ミス一つが行政指導のような大きな信用問題に直結するという危機感を持って、日々の業務に当たっていただきたいと思います。 なるほど。外部の便利なツールを使うときこそ、どんなデータがやり取りされているか、自分たちの目でしっかり確認するプロセスが不可欠なんですね。 設定の確認不足が大きな信用問題につながるというお話、非常に身につまされました。 日々の業務でのデータ管理を見直す良いきっかけになりそうです。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、利用者の内部識別紙が 本来の意図とは異なる形で 送信されてしまったというインシデントでした。 皆さんもお使いのアプリかもしれませんので、 ぜひその影響の範囲をですね、 ご確認いただければと思うわけなんですけども、 いわゆるですね、このプライバシーの侵害であったり、 あとは個人情報の不適切な取扱いですね。 これというのはあってはならないことでは あるわけなんですけども、 そもそもですね、個人情報の定義の部分ですね。 これは個人情報保護法にもですね、 明記されている定義がありますので、 それに照らし合わせてですね、 判断していくということになるわけなんですけども、 そのよくある議論としてですね、 個人情報に該当するかということですね。 それをこの、いわゆる弁護士の先生の観点で 個人情報保護法に照らし合わせて、 着手定義的にですね、判断していく。 これは基本の考え方になるわけなんですけども、 ただですね、僕個人としては、 利用者の観点で考えた際にですね、 取っていい情報、もしくはその利用者があまり ここちよく思わないような情報の取扱いというのはですね、 やはりあってはならないんじゃないかなということは、 ビジネスの観点からもそのように思っています。 いわゆる法律の良し悪しだけではなくて、 社会的に受け入れられるかというところですね。 こういった観点をですね、ぜひ取り入れながら、 個人情報、もしくはプライバシーをですね、 適切に取り扱っていただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.