「個人情報漏えい事件を斬る(2)：利便性の裏にリスクが潜むファイル交換ソフト」で、ファイル交換ソフトによる情報流出を取り上げた。日頃からセンシティブな情報に接している事業所の関係者のパソコンが、流出源となるケースが目立っていた。今回は、その後どうなったのか追跡してみたい。

電力業界でファイル交換ソフトでの情報流出が続発

　2005年6月、三菱電機プラントエンジニアリングで、ファイル交換ソフト「Winny」をインストールした個人パソコンがウイルスに感染し、発電所の電機設備保守に関する内部情報が流出するという事件が発覚した。その翌7月には、電力業界を管理監督する立場の原子力安全・保安院で、原発点検用資料がインターネット上に流出していたことが判明している。

　SMB（中堅中小企業）におけるセキュリティ対策の遅れが、しばしば指摘される。だが、経済産業省の下部組織である原子力安全・保安院では、情報管理規則を定めておらず、無防備体制だったことが露呈した。このトラブルを受けて原子力安全・保安院は、「ファイル交換ソフトの入ったPCは利用しない」という規則を定めた。

　と思ったら、8月には、三菱重工業の協力会社である非破壊検査の技術者の個人PCから、発電所検査情報が流出していたことが発覚。9月には、九州電力で、社員の個人PCから火力発電所の技術資料や個人情報が流出していたことが発覚した。監督官庁から電力会社、業務委託先会社に至るまで、電力業界全体の情報管理責任が問われる事態に直面している。

　何か事件が起きると、学習効果が働いて皆注意を払うようになるのが普通だが、この業界ではそうもいかないようだ。

高速大容量ネットワークの普及で情報漏れも大容量に

　電力業界で起きたファイル交換ソフトによる情報流出事件をみると、いくつか共通点がある。

　第1に、社外からの指摘を受けて初めて会社側が情報流出の事態に気付いたというケースばかりだということ。裏を返せば、社内で情報流出の有無をチェックできていなかったことを示している。

　第2に、高速大容量ネットワークが当たり前の時代になり、外部流出するファイルのデータ容量が大きくなってきていること。例えば、三菱電機プラントエンジニアリングのケースでは44MB、非破壊検査のケースでは700MB、九州電力のケースでは124MBのファイルデータが流出している。

　一旦インターネット経由で情報が流出したら、不特定多数のファイル交換ソフト利用者に大容量ファイルが渡ることになるから、前回取り上げたUSBメモリ紛失・盗難のケース以上に、データが悪用される危険性は高くなる。

ファイル交換ソフトの入ったPCは利用しないこと

　ところで、名だたる中央官庁や大企業が防げないほど、ファイル交換ソフトの情報流出対策は難しいのだろうか。実は、膨大な設備投資をしなくても可能なのだ。会社としてコントロールできないリスクに対しては、最初から避けるような対策をとるのが賢明である。

　「ファイル交換ソフトの入ったPCは利用しない」といった、ごく常識的な取組みを徹底させていれば、電力業界のような事態に陥ることはないのである。小規模事業所なら、トップの一声で即座に実行できる対策だろう。

こまめなセキュリティ対策の積み重ねが企業を救う

　情報流出被害が続発するファイル交換ソフトに対して、IT業界側も動き出している。2005年10月12日、マイクロソフトは、「悪意のあるソフトウェアの削除ツール」で、ファイル交換ソフトを経由して感染するウイルス「Antinny」への対応を開始した。Microsoft UpdateやWindows Updateでこまめに更新プログラムをインストールする習慣が身についている方なら、既にこの機能がPCに追加されているはずだ。

　ファイル交換ソフトの場合、情報システム管理者がどんなに頑張っても技術的限界がある。自分のPCは自分の手で守るという意識を各ユーザーに持ってもらうことが必要である。

　例えばマイクロソフトでは、「中小規模事業所向け セキュリティ ガイダンス センター」のホームページで、SMB向けにセキュリティ対策に関する情報も提供しているので、プログラム更新の合間にチェックしておくと参考になる。

　次回は、PCの盗難・紛失にまつわる個人情報流出について取り上げてみたい。