【年金機構】の情報漏洩から学ぶこと（１） ～経緯～

　（１）日本年金機構の情報漏洩問題【注】を検証する第三者委員会（厚生労働省）は、中間報告を８月中旬に出すことを決めた。被害の全容解明や犯人の特定が難航しているため、最終報告は先送りにし、途中経過を公表する方針に転換したのだ。

　（２）事件の概要は次のとおり。
　５月８日、年金機構九州ブロック本部に不審なメールが届いた。
　１０時２８分、職員が添付ファイルを開いた。マルウェアに感染した。
　これは、「標的型メール攻撃」だった（確認済み）。　→侵入するとすぐ、遠隔操作を確立して収集した情報を送信するために、外部との通信を行う。　→ＬＡＮを介して他のコンピュータへの再感染を試みる。　→その際、これまでとは異なるウイルスに変身する（アンチウイルスソフトでは感染を食い止められない）。　→サーバーから情報を盗み出し、外部へ送信する。
　１０時５０分、不正通信が始まった。
　この通信を、内閣サイバーセキュリティセンター（ＮＩＳＣ）が検知して、厚労省に連絡した。
　しかし、年金機構は適切な処置をとらなかった。
　１５時２５分ごろ、ようやく感染端末１台をネットワークから隔離した。この間に再感染が広がった（推定）。
　５月１８日、複数の職員に対して不審なメールが届いた。午後、東京本部の職員１人が開封・感染し、年金機構へ不正アクセスが行われた。
　５月２１～２３日、年金機構人事管理部の端末から外部へ大量の送信が発生した。　

　（３）情報漏洩が起きた基本的原因は、
　　　「メールをやり取りしているシステムに、年金個人データを入れていた」
という信じがたい体制だ。
　　（ａ）建前上は、次の①と②は直接的に接続できない仕組みになっていた。つまり、個人情報は物理的に隔離された「閉鎖ネットワーク」によって厳重に管理されていた。
　　　①年金に係る個人情報を管理する「社会保険オンラインシステム」（基幹システム）
　　　②一般業務、メールやインターネットなど外部との通信が可能なシステム（情報系システム）
　　（ｂ）（ａ）－①、②が切り離されていると使いにくい。そこで、ＣＤ－ＲＯＭを用いて個人情報を情報系システムに複製していた。つまり、攻撃者にもアクセスできる場所に重要情報を置いていた。このために、大きな被害が発生した。
　　（ｃ）しかも、「コピーする際にはパスワードを使って保護する」というルールになっていたにもかかわらず、実際には守られていなかった。

　（４）塩崎恭久・厚生労働大臣が衆議院厚生労働委員会の集中審議で答弁しているように、「初歩的なミス」だ。しかし、その前に、情報系システムへのコピーが行われていたことがそもそも問題なのだ。その点を自覚した答弁を、塩崎厚労相は行っていない。
　これは年金機構だけの特殊な問題ではない。
　警視庁では、運転免許証などの個人情報を扱う端末は、ネットやメールに使用できない。外部と完全に遮断されている。外部とのメール通信などには、別のパソコンを使う。
　国税庁でも、納税者情報を扱う端末は、ネットと分離されている。
　しかし、年金機構でも、基幹システムと情報系システムとは切り離されていて、「情報流出はあり得ない」ことになっていたのだ。問題は、業務の実態がそうなっていなかったことだ。
　外部から厳重に隔離されていたイランの核施設の遠心分離機が、ＵＳＢメモリーを通じてマルウェア「スタックスネット」に感染し、制御不能に陥った事件もあった。
　さまざまな経路を通じて、建前上の体制が無効化されてしまう危険は大きい。

　【注】「【官僚】「年金個人情報」流出を３週間も放置　～無責任体質～」

□野口悠紀雄「年金機構の情報漏えいから何を学ぶべきか？　～「超」整理日記Ｎｏ．７６９～」（「週刊ダイヤモンド」２０１５年８月０８・１５日号）
　　　　　↓クリック、プリーズ。↓