個人情報漏えいと聞くと、黒いパーカーの攻撃者が暗い部屋でキーボードを連打する絵を想像しがちです。ところが今回は、もっと身近で、だからこそ厄介でした。ITmediaは、手順書の不備を背景に、本来入れてはいけない情報を含むファイルが別の省庁へ送られたと報じています。
ITmedia NEWSの記事によると、デジタル庁は団体職員150人分の氏名、ユーザーID、所属などのコードを含むファイルを誤送付しました。二次被害は確認されていません。今回の本題は、担当者を指さして終わるのではなく、同じ担当者でなくても起きたかもしれない手順の弱さです。
他省庁への送付ファイルに本来含めるべきでない職員の氏名やユーザーID、所属などのコードなどが記載されていた。二次被害は確認されていない。
今回の登場人物
- デジタル庁: 国のデジタル政策や行政サービスのデジタル化を担う行政機関です。今回は情報を管理し、説明責任を負う側です。
- 個人情報: 氏名など、生きている個人を識別できる情報です。ほかの情報と組み合わせて誰か分かるものも含まれます。
- 手順書: 作業を誰がどの順で行い、何を確認するかを書いた文書です。置いてあるだけでは足りず、誤解なく実行できる必要があります。
- 個人情報保護委員会: 個人情報の扱いを監督する国の機関です。一定の漏えいでは、報告や本人通知のルールを示します。
何が起きたか
ITmediaによると、他省庁へ送るファイルに、本来含めるべきではない団体職員150人分の情報が記載されていました。記事は、氏名、ユーザーID、所属などを示すコードが含まれていたと報じています。少なくとも記事が示す原因は外部侵入ではなく、送付作業と手順書に関わるものでした。
現時点で二次被害は確認されていないと報じられています。ここは「被害ゼロ」と言い換えてはいけません。二次被害が確認されていないことと、個人情報が本来と違う相手へ渡った事実は別です。また、後から悪用が判明する可能性を記事から断定することもできません。確認できた範囲をそのまま置くのが大切です。
ここが本題
事故の説明で「担当者が手順を間違えた」と言えば、原因が分かったように見えます。でも、それは事故が起きた場所を示しただけかもしれません。
本当に知りたいのは、なぜ間違った手順を進めても途中で止まらなかったのかです。手順書の表現が曖昧だったのか。ファイルから不要情報を除く人と、送信する人が同じだったのか。送る直前に内容を確認する仕組みはあったのか。こうした問いに進まないと、担当者が替わった次の日に同じ事故が再放送されます。
「人のミス」は原因ではなく入口
人は間違えます。だから安全な業務は、「気をつける人」を探すより、間違えても被害まで進みにくい形を作ります。
たとえば、送信用ファイルを作るときに不要な列を人が毎回削除する方式は、削除漏れが起きやすい。最初から送付に必要な項目だけを別ファイルへ自動出力すれば、間違いの入口を狭くできます。自動化が難しくても、送信前のチェックリスト、別の職員による確認、送付先と添付ファイルの組み合わせ確認はできます。
デジタル庁の個人情報等管理規程も、誤送信や誤交付、ウェブサイトへの誤掲載を防ぐ措置として、複数職員による確認やチェックリストの活用を挙げています。つまり「ちゃんと確認しましょう」は精神論ではなく、組織の規程に置かれた統制です。
安全ベルトがある車で「ぶつからないよう頑張る」だけを対策にしないのと同じです。頑張るのは大事。でも、頑張りが一瞬ほどけても事故を大きくしない仕組みが必要です。
手順書が危険物になるとき
手順書は、本来なら事故を減らす道具です。ところが曖昧な手順書は、読む人ごとに違う動きを正当化してしまいます。「該当する情報を除外する」とだけ書かれていて、該当情報の列名や確認方法がない。「必要に応じて確認する」と書かれていて、誰がいつ確認するかがない。こうなると文書はあるのに、作業は人の解釈へ戻ります。
良い手順は、正しい行動だけでなく、間違えやすい分岐を具体的に示します。入力ファイル、出力ファイル、削除すべき項目、送付相手、確認者、作業記録を分ける。終わったかどうかを「なんとなく」ではなく、チェック欄やログで残す。手順書は作文コンテストではなく、同じ作業を同じ結果へ運ぶレールです。
ただし、今回どの一文がどう誤っていたか、確認者が何人いたかなど、事件固有の詳細は公表済み情報だけでは断定できません。一般的な改善策を、そのまま「今回欠けていたもの」と決めつけない注意も必要です。
最小権限というもう一枚の壁
誤送付対策は確認だけではありません。そもそも送付作業をする人が、不要な個人情報まで入った元データを持つ必要があるのか、という問いがあります。
業務に必要な人へ、必要な範囲だけアクセスを許す考え方を「最小権限」と呼びます。送付用の作業者が必要項目だけを見られるなら、余計な情報を添付する可能性は下がります。ダウンロード記録やアクセス記録を残せば、事故発生時にどこまで確認すべきかも追いやすくなります。
デジタル庁の管理規程には、アクセス権限の限定、アクセス記録の保存・分析、ダウンロードの監視なども盛り込まれています。規程があることと、個別業務で実装されていることは別です。今回見るべきなのは、ルールの存在を数えることではなく、そのルールが実際の作業画面と手順へ落ちていたかです。
透明性は謝罪文の長さではない
漏えい後の説明で必要なのは、深く頭を下げた回数だけではありません。何が漏れたのか、何人か、誰へ渡ったのか、回収や削除を確認したか、本人へ通知したか、再発防止をいつ実施するか。読者が判断できる事実を示すことが透明性です。
個人情報保護委員会は、行政機関などで報告対象となる漏えいが起きた場合、発覚からおおむね3〜5日以内の速報と、原則30日以内の確報という一般ルールを示しています。ただし、今回の事案がどの報告要件に当たり、すでに何を報告したかは、確認できた情報だけでは決めつけられません。
だから読者が次に見るべきなのは、担当者の処分だけではなく、原因分析と対策の対応表です。手順書のどこが問題で、それをどう直し、その直し方をどう検証するのか。ここが見えなければ、「再発防止に努めます」は便利すぎる四字熟語の仲間になってしまいます。
行政DXの信用は地味な作業でできる
行政DXというと、アプリ、クラウド、AIのような目立つ技術が話題になります。でも、市民が預けた情報を正しい相手へ正しく送る仕事も、同じくらい中心です。画面が新しくても、添付ファイルの確認が古い根性論のままなら、信用はそこで止まります。
しかも行政サービスは、「嫌なら別の会社へ乗り換える」が難しい分野です。国民や団体は手続きのために情報を渡します。だから、政府側には民間サービス以上に、目的外の共有を防ぎ、事故が起きたら説明する責任があります。
今回の事故を「150人で済んだ」と小さく見るべきでも、「デジタル庁は全部危険だ」と広げるべきでもありません。一つの事故から、どの業務設計が弱かったかを狭く正確に学ぶ。それがいちばん再発防止へ近い態度です。
まとめ
デジタル庁の個人情報漏えいは、外部からの高度な攻撃ではなく、送付作業と手順書の問題として報じられました。だからこそ、担当者の注意不足だけで終えると本題を逃します。
問うべきは、誤った操作がなぜ確認を通り抜けたか、不要な情報へなぜアクセスできたか、修正した手順をどう検証するかです。人は間違える。その前提で、間違いを漏えいまで育てない業務フローを作れるか。行政DXの信用は、派手な新機能より、こういう地味な一手でできています。