# オープニング #夜のルーティン見直し どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 っていうことでね、今日は夜のルーティン見直しに関する話なんですけども そうですね。僕自身は職業病とも言えるかなと思うんですけども 長年ですね、24時間365日のセキュリティ監視というですね 業務をやらさせていただいておりまして お客さんのですね、システムからアラートが上がるとですね いつ何時であっても対応を直ちに開始すると。こういった業務をですね 長年続けております。その関係もあってかですね、あの自覚は全くないんですけれども もしかしたらですね、熟睡できていない状態も続いているのかなぁと。 あの体とかにはですね、全く不具合は発生していませんので 健康に生んでくれた両親と日々の筋トレですね 感謝しかないというところでもあるわけなんですけども ただですね、一点だけその夜のルーティンというか、改善したいなというのはありまして そのアラートが鳴るとですね、しばらくその対応だったり そのログの分析だったりでですね、そのパソコンを操作しているわけなんですけども しばらくこう 何か進捗が出るまでですね、待機という状態を続ける場合があります そうするとですね、ベッドに戻らずにその 仕事部屋だったりですね、いつでもパソコンに戻れるような距離感のところでですね 待っていると。もしくは紙を取るという状態になることがありまして 最近それが続いているせいかですね むしろその待機場所の方がよく寝られるということがあります 逆にこうベッドだとなかなかですね、落ち着かないなぁみたいな そんなこともですね、ありまして これはですね、できれば直したいなというところです やっぱり寝る場所は寝る場所で、仕事する場所は仕事する場所と こういったところはですね、明確に分けることがですね 心身ともにいいんじゃないかというふうに思っております ということで今回は、ある福利厚生サービス提供企業で発生した 個人情報漏洩について取り上げております この放送を通じてリスナーの皆さんは システム回収時のテストの重要性や不具合を発見した後の 素質的な対応プロセスについて理解を深めていただければと思います それではどうぞ # 「ベネワン・プラットフォーム」のアンケート機能で他企業・団体の個人情報がダウンロード可能に、不具合を認知するも解消作業が適切に実施されず ベネワンプラットフォームのアンケート機能で、他企業団体の個人情報がダウンロード可能に、不具合を認知するも解消作業が適切に実施されず、 株式会社ベネヒットワンは9月30日、同社が提供する福利厚生サービスの企業団体の担当者向けの機能であるベネワンプラットフォームでの個人情報漏洩について発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい、ある福利厚生サービス提供企業のシステムにおいて、2322の企業や団体に所属する13,460名分の個人情報が他社からダウンロード可能な状態になっていたというインシデントです。 原因は、2025年6月に実施したシステム回収時のプログラムの条件設定の不備でした。 深刻なのは、2025年10月の社内調査で不具合を把握していたにも関わらず、その解消作業が適切に行われなかったことです。 結局、利用企業の担当者からの連絡によって7月30日に発覚しました。 初動対応として、ダウンロードした担当者に連絡を取り、データの削除と第三者への提供がないことを確認しています。 今後は体制強化により再発防止に努めるとしています。 社内で不具合に気づいていたのになぜそのまま放置されてしまったのでしょうか。 はい、これは組織のコミュニケーションや管理体制の課題が影響していると考えられます。 一般的に、社内調査で不具合を発見した担当者がいても、そのリスクの重大性が経営層や開発チームに正しく伝わらないことがあります。 また、日々の運用業務に追われ、修正の優先順位が下がってしまった可能性もあります。 不具合を認知した時点で、いつまでに誰がどのように修正し、それを誰が確認するかという管理プロセスが機能していなかったことが最も大きな要因だと言えますね。 今回のように外部からの指摘で発覚するケースはよくあることなのですか。 はい、残念ながら非常に多いケースです。 自社のシステム内部に潜む不具合や脆弱性は、開発者や運用者には視覚になりやすく、見逃されてしまうことが少なくありません。 今回は利用企業の担当者が不審に思い連絡してくれたことで発覚しましたが、 もし悪意のある攻撃者が先に見つけていたら、深刻な情報漏洩事件に発展していた危険性もありました。 外部からの通報を速やかに受け付け、迅速に調査を開始できる体制を整えておくことが、被害を最小限に抑えるための重要な鍵となります。 システム回収時の設定不備が原因とのことですが、どうすれば防げたのでしょうか。 はい、システム回収時のテスト工程をより厳格にすることが求められます。 プログラムの条件設定を変更した際は、その機能だけでなく、関連する機能全体に影響がないかを確認する回帰テストが不可欠です。 今回のケースでは、本来アクセスできないはずの他社のデータが見えてしまうという権限設定のテストが不十分だったと考えられます。 開発者自身のテストに加えて、第三者によるセキュリティ診断などを活用し、人為的な見落としを防ぐ仕組みを構築することが根本的な対策となります。 該当のデータをダウンロードした担当者は1名とのことですが、どうやって確認したのですか。 はい、これはシステムのアクセスログを解析することで確認したのだと思います。 システムには、いつ、誰がどのデータにアクセスし、どのような操作を行ったかという記録がログとして保存されています。 このログを調査することで、システム回収が行われた2025年6月以降に、該当の機能を利用したユーザーを特定できます。 その結果、データをダウンロードしたのが今回連絡をくれた一社一名のみであったという事実を、客観的な証拠に基づいて確認できたということですね。 このインシデントから、私たちが長期的に学べる教訓は何でしょうか。 はい、不具合を隠さず、迅速に対処できる組織文化の情勢が何よりも大切だということです。 システムにミスはつきものですが、それを発見したときにすぐに報告し、 お組織全体で解決に向かう体制がなければ、今回のように被害リスクを拡大させてしまいます。 まだ、個人情報を扱うシステムでは、一つの設定ミスが他社を巻き込む重大な事故につながるという危機感を常に持つ必要があります。 技術的な対策だけでなく、人や組織の在り方を見直すことが、長期的なセキュリティ強化に不可欠です。 なるほど、システムの不具合に気づいた後の対応プロセスがいかに重要か、よくわかりました。 外部からの指摘を真摯に受け止め、ログを活用して迅速に被害範囲を特定することも欠かせないですね。 技術的なテストの徹底はもちろん、報告しやすい風通しの良い組織作りもセキュリティの一部なのだと気づかされました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、福利厚生サービスで発生した個人情報漏洩ということでした。 最近、情報漏洩のインシデントが多発していますので、 この辺りの原因だったり背景についてはですね、どこかでまとめてお話しできればと思っております。 脆弱性診断のですね、目的はですね、 これはあくまでも脆弱性を洗い出すことではなくて、 その洗い出された脆弱性を修正して直すことにあります。 今回ですね、残念だなぁと思ったのがですね、 事前に不具合を把握していたけれども、その解消ができていなかったということですね。 本当に残念だなというふうに思っています。 せっかくですね、その費用をかけて、時間をかけて脆弱性診断をしてくれたのにも、 かかわらずですね、その本来の目的が達成されていなかったと。 この手段と目的がですね、入れ替わってしまうことというのは、 様々な場面で発生しているとは思いますが、 この脆弱性診断についてはですね、特にこの手段と目的については、 しっかりと整理していただければというふうに思っています。 AIがですね、民主化されると同時に、この脆弱性診断だったりも、 皆さんの手によってですね、実行できるような環境が整備されていくことになります。 そうするとですね、その脆弱性診断の結果だけにですね、満足せず、 その出された結果に対して、今後の課題を整理していく。 そしてその脆弱性を直すことによって、セキュリティが向上される。 これが目的であるということを見失わずにですね、 しっかりとセキュリティの向上に努めていただければと思います。 今日も10分セキュリティラジオは、月曜から土曜に、祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!