アンケートサイトの会員情報が持ち出された事案から、福祉事業所が学びたい3つのこと

GMOインターネットグループのGMOリサーチ&AI株式会社は、10月5日、同社が運営するアンケートサイト「infoQ」が不正アクセスを受け、会員の個人情報が外部に持ち出されたことを確認したと発表しました。公表された内容を整理しながら、福祉事業所の私たちが学べることを考えます。

発表された内容をやさしく整理すると

会社の発表によると、持ち出された個人情報は最大で94万8,498件で、会員全員分にあたるとされています。内容は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員IDなどです。一方で、クレジットカード情報とマイナンバーは、もともと保有していないと説明されています。

また、一部の会員のポイントが、ご本人の意思によらずポイントが交換されていたことも分かり、被害分は全額を補填するとのことです。会社はサービスを止めて調査を続け、会員には個別にメールで連絡するほか、会社を装った不審なメール、電話、SMSに注意するよう呼びかけています。なお、件数や内容は発表の時点のものです。

学びたいこと①：預かる情報を、必要なものだけに絞る

今回、会社がクレジットカード情報とマイナンバーを持っていなかったことで、漏れた情報の範囲は限られました。ここから学べるのは、預かる情報を必要なものだけに絞ることの大切さです。

福祉事業所でも、申込書や見学のときの記録に、本当は必要のない情報まで書いてもらっていないでしょうか。守りきれない情報は、最初から持たないという選択も、立派な守り方のひとつです。

学びたいこと②：おかしいと思ったときの、連絡の入り口を用意する

報道では、会員からの問い合わせも受けて、不正アクセスを確認したと伝えられています。利用者さんやご家族が「あれ？」と思ったときに、すぐ相談できる窓口があることは、被害を小さくするためにとても大切です。

ホームページに、お問い合わせ先をわかりやすく載せているか、電話やメールを見る担当が決まっているか、一度確かめてみてください。

学びたいこと③：起きたあとの、お知らせの仕方を決めておく

今回の会社は、会員へ個別に連絡し、注意してほしい点も合わせて伝えています。万一のとき、誰が、誰に、どの方法で、何を伝えるのか。あらかじめ決めておくだけで、慌てずに動けます。

暗号化されていても、パスワードの変更は忘れずに

発表では、パスワードは暗号化されていたとされています。ただ、ほかの情報と一緒に持ち出されている以上、念のためパスワードを変えておくと安心です。特に、ほかのサービスで同じパスワードを使っている場合は、そちらもあわせて変更してください。職員が個人で入っている会員サイトであっても、仕事用のパスワードと同じものを使っていないか、この機会に確かめてみましょう。

朝礼の5分で、話し合ってみませんか

こうした事案は、職員みんなで話し合う、よい材料にもなります。朝礼や会議の5分で「うちの事業所には、どんな情報があるかな」と声に出してみるだけでも、意識は大きく変わります。専門的な知識がなくても、気づいたことを言い合える雰囲気づくりが、最初の一歩になります。

私は個人情報保護士として、こうした「起きる前の準備」をご一緒に整理するお手伝いもしています。むずかしい書類を作る前に、まずは「うちの事業所なら、どんな情報があるかな」と話し合うところから始めてみませんか。