#942 業務従事者から閲覧可能に ～ グリーの社内作業用サーバで権限設定の不備

今回は、社内の作業用サーバで発生した権限設定不備による個人情報の閲覧可能状態について取り上げます。リスナーの皆さんにはどのようなミスが起きたのか、どの段階で検知されたのか、そして実務で使える対策と再発防止のポイントを具体的にお伝えします。特にアクセス権管理やログ監査、周知教育といった実務的対策を中心に、今すぐ見直せる項目を分かりやすく解説します。

大手ゲーム会社の持株会社が構築したマイナンバー収集用の社内作業サーバで、アクセス権限の設定ミスによりグループの業務従事者が複数フォルダを閲覧できる状態になっていたというインシデントです。影響は2024年7月17日から2025年9月24日まで継続し、検知は社内の定期的なシステムチェックで行われました。影響対象には過去在籍者や取引先に関する個人情報が含まれ、合計で数千件規模の氏名やマイナンバー、住所、場合によっては口座情報が含まれていました。原因は共有設定やアクセス権付与の運用不備であり、初動対応としては対象フォルダの共有設定を修正し、影響者への個別連絡を進めています。今後の再発防止策としては情報管理体制の強化、取り扱いルールの徹底と従業員教育の強化を掲げています。現時点で外部流出や不正利用の確認はないと発表されていますが、早期発見と適切なアカウント管理の重要性が改めて示される事例です。

権限設定の不備とは本来特定の担当者だけがアクセスすべきフォルダやファイルに対して、不要な人にも閲覧や操作の権限が付与されている状態を指します。クラウドやファイルサーバでは共有設定やグループ権限の設定ミス、デフォルトの公開設定のまま運用してしまうことが典型例です。こうした状態は内部脅威やヒューマンエラーによる情報漏えいを招きやすく、最小権限やアクセスレビューが実施されていないことが多い点が問題です。

長期間見過ごされた背景にはいくつかの要因があります。まず担当者が限られている業務用フォルダで運用ルールが暗黙化していた可能性があります。次に権限設定の変更や共有の履歴を自動で監視する仕組みが不十分だったことが考えられます。さらに定期的なアクセス権のレビューや外部監査が行われていなければ、設定ミスに気づきにくくなります。組織文化として情報取り扱いの手順が徹底されていないと、些細な設定変更が長期間放置されるリスクが高まります。

記事によれば社内の情報セキュリティ部門が定期的なシステムチェックを行う中で発見したとあります。具体的にはアクセス権設定の定期監査やファイルサーバの共有設定確認、そしてアクセスログの突合といった手法が有効です。自動検知の観点では設定のスナップショットを定期的に取得して差分を検出する仕組みや、異常なアクセスパターンを検知するSIEMの導入が役立ちます。今回のように人手のチェックで見つかるケースもあるため、自動化と人的確認を組み合わせるのが望ましいです。

まず優先すべきは最小権限の徹底とロールベースアクセス制御の導入です。権限付与は業務フローに紐づけて承認プロセスを挟むべきです。次にアクセスログの保存と定期的な監査、設定変更の履歴管理を実装してください。加えてデータの分類を行い、特に機微な個人情報には追加のアクセス制御や暗号化を適用することが重要です。最後に定期的な訓練と実地の演習を通じて運用ルールを定着させることが技術対策を維持する鍵です。

長期的な影響としては顧客や取引先からの信頼低下、法的対応や監督当局からの指導、場合によっては損害賠償のリスクが考えられます。さらに情報管理体制の見直しに伴うコスト増や業務負荷も無視できません。学ぶべき教訓は、個人情報を含むデータは技術対策だけでなく運用と教育が一体となって初めて守られるということです。定期的なレビューと早期検知体制、透明性のある情報開示と速やかな対処が信頼維持に直結します。