□ この度、日本年金機構は、保有する個人情報データの一部、約125万件が外部に流出したと発表しました（2015年6月1日）。事件が起きたのは5月8日、九州ブロックの職員がマルウェア（下記注※）付きの電子メールを開封したことより、不正アクセスが実行されました。流出したとされる約125万件の個人情報の内訳は、「二情報（基礎年金番号、氏名）」が3.1万件、「三情報（基礎年金番号、氏名、生年月日）が約116.7万件、「四情報」（基礎年金番号、氏名、生年月日、住所）が約5.2万件とのことです。
　なお、使用されていたマルウェアが昨年末に確認された医療費通知偽装と同じ種類であったことから、CloudyOmega攻撃の実行グループの関与が疑われています。
注※ マルウェア（malware）は、悪意のあるソフトウェアの総称です。malicious（悪意がある）とsoftware（ソフトウェア）を組み合わせた造語で、ウイルス、ワーム、トロイの木馬、ボット、スパイウェア、バックドア、ルートキット等が存在します。現代社会では、人の世界に存在するウィルスと同様に、コンピューターの世界にも、日常的に存在し活動しています。

□ 同機構の管理者は、1台目の端末感染について、情報セキュリティ会社よりパターンファイル更新の連絡を受け、事態収束と判断してしまった結果、感染が拡大し、40台以上のPCが感染しています。また、同機構は、権限を与えられた職員が、サーバーに格納されている情報ファイルを業務で使用するクライアントPCにダウンロードして、パスワードをかけた後、保存、使用することを認めていました。問い合わせがある度にサーバーにアクセスしてデータを参照する煩雑さを回避するためです。ところが、今回流出した約125万件のうち、約55万件にはパスワードがかかっていませんでした。警視庁公安部、NISC（サイバーセキュリティ対策推進委員会）は、このことを問題視しています。
　果たしてそうでしょうか？

□ 攻撃者は、標的者の端末PCにマルウェアを忍び込ませ、感染させた“標的者”のPCを外部から操作し、“足がかり”にして、LANで接続されている他のPCに次々と侵入し、組織全体のネットワーク・システムを把握し、重要な情報を盗取してゆきます。
　また、
　本件の場合、公開されている「調達情報」のメールアドレス（日本年金機構九州ブロック本部管理部総合調整・経理グループ：kyusyu-block-tyoutatsu@nenkin.go.jp、日本年金機構本部調達部契約グループ：kikou-tyoutatu@nenkin.go.jp）から侵入されたとされていますが、最初にマルウェアに感染したのは窓口職員のPCであるとは思えません。
　なお、 同機構が注意喚起を行った際に取り上げられていた不審メールは次の通りです。

　例１）
　件名 「厚生年金基金制度の見直しについて（試案）」に関する意見
　差出人 ****@yahoo.co.jp（フレンドリー名不明）
　ＵＲＬ記載 Yahoo!ボックスのＵＲＬが記載
　本文 （読み取れず）

　例２）
　件名 【医療費通知】
　差出人 健康保険組合運営事務局 ****@excite.co.jp
　添付ファイル名 医療費通知のお知らせ.lzh
　本文 本メールは、保険を利用して診察や診療を受けられた方に、医療費をお知らせしています。

　例３）
　件名 給付研究委員会オープンセミナーのご案内
　差出人 ****@yahoo.co.jp（フレンドリー名不明）
　添付ファイル名 給付研究員会オープンセミナーのご案内.lzh
　本文 ****　様
　平成27年5月に**大学と企年協が共同で実施いたしました企業年金アンケート結果の報告会と意見交換会を下記の通り実施いたします。アンケートの集計結果に基づく報告会は、今後の企業年金の方向性を考えるうえでも、基金関係者にとって大いに参考になると思います。会員の皆様の積極的なご参加をお願い申し上げます。お申し込みは添付資料をクリックしてください。

　例４）
　件名 厚生年金徴収関係研修資料
　差出人 （読み取れず）
　添付ファイル名 厚生（以降読み取れず）
　本文 （読み取れず）

□ 125万件の個人情報の漏洩事件が、窓口職員のたった１台のPC管理の責任として事態を収拾するのであれば、2020年に開催予定の東京オリンピックを前に、我が国の情報システムは破綻すること必然です。
　車、鉄道、飛行機など、事故対策を設計する際、重要なのは“フェイル・セーフ（fail safe）です。
　装置やシステムは必ず故障することを前提に、誤操作、誤動作による障害が発生した場合、常に安全側に制御するよう予め信頼性設計を行うことです。そして、損害賠償請求や信頼回復のための措置を、戦略法務的視点、ブランド・マネジメントの視点で整備しておくことです。
　私たちは、これを「広義のバックグラウンド設計」と位置づけています。

→LEGAL NETではフェイル・セーフ（fail safe）の設計思想を踏まえ、システム構築、監査を実施しています。お気軽にお問い合わせ下さい。