「見えない設定の穴」が9年近く続いた事案から考える、福祉事業所の公開設定の点検

11月1日、NHKは、GMOインターネットグループの傘下の会社で、顧客企業の社員のIDを管理するサービスを手がける会社の顧客の情報が、およそ9年近くのあいだ外部から取得できる状態になっていたと報じました。対象はおよそ4万5,000人分とされています。

詳しい経緯や原因は、報道の時点では十分に分かっておらず、今後の発表を確認する必要があります。ただ、「外部から見られる状態が、長いあいだ続いていた」という点は、福祉事業所にとっても、自分たちの身の回りを見直すよいきっかけになります。

悪意のある攻撃だけが原因とは限りません

個人情報の漏えいというと、外からの攻撃を思い浮かべがちです。しかし実際には、「本来は限られた人だけが見られるはずのものが、見られる状態になっていた」ということも起こります。この場合、攻撃されたわけではなく、設定の見落としが入口になることがあります。しかも、気づかないまま長く続いてしまうことがあるのが、やっかいなところです。

福祉事業所で見直したい、4つの「公開の範囲」

身近なところでは、次の4つを確かめてみてください。1つ目は、クラウドの共有フォルダやファイルが、「リンクを知っている人は誰でも見られる」設定になっていないか。2つ目は、アンケートや申込みフォームの回答をまとめた表が、関係のない人にも共有されていないか。3つ目は、ホームページに置いている申込書などのファイルに、個人情報が残っていないか。4つ目は、退職した職員や、もう使っていない外部の人のアカウントが残っていないかです。

点検は、むずかしい作業ではありません

点検といっても、専門的なツールは必要ありません。共有している資料の一覧を開いて、「誰が見られる設定か」を1つずつ眺めるだけでも、気づけることがたくさんあります。年に数回、職員みんなで、お茶を飲みながら確かめる時間をつくるのも、よい方法です。

職員の入れ替わりのときこそ、見直しの時期です

退職や異動があるときは、設定が古いままになりやすい時期です。退職した職員が使っていたアカウントを止める、担当が変わったら共有フォルダを見られる人を更新する。この2つを「引き継ぎのチェックリスト」に入れておくだけで、見落としはぐっと減ります。

ホームページも同じです。長く更新されていないページや、使っていない問い合わせフォームが残っていると、そこが気づかれにくい入口になることがあります。使っていないページやフォームは、思い切って整理しましょう。持っていないものは、守る必要もありません。

「共有したつもり」と「実際に見られる範囲」がずれていないか、定期的に確かめることが、いちばん身近で効果のある対策です。

一人で抱え込まず、一緒に確かめましょう

どこから見直せばよいか分からないときは、遠慮なくご相談ください。精神保健福祉士として福祉の現場のことが分かり、個人情報保護士としての視点も持つ担当者が、事業所の状況を伺いながら、できるところから一緒に整理します。