「根本的な原因は、自社の情報セキュリティへの過信、経営層のITリテラシーの不足、性善説に立った監査体制など、企業風土に起因する甘さがあったことだ」。ベネッセホールディングスの原田泳幸会長兼社長は2014年9月10日の記者会見で、今回の情報漏洩事件を受け、同社の情報管理体制を大幅に見直すことを明らかにした（関連記事：ベネッセ漏洩対象は国内総人口4割の4800万人、各世帯に500円金券を配布）。
大量ダウンロード時のアラートが無効に
今回の記者会見では、元社員が大量の顧客情報を外部に持ち出せた理由のいくつかが明らかになった。
今回新たに判明したのが、データの取り扱いに関するアラート（警告）設定の不備である。
同社の社内ネットワークには、従業員の誰かが大容量のデータをダウンロードしようとする際、システムがアラートを発する仕組みがあった。だが、情報が漏洩した顧客データベース（DB）は、このアラート機能を有効にしていなかったという。業務用PCから顧客DBへのアクセスはログを記録していたが、ログを定期的に監査する仕組みもなかった。
当該DBは、データ構造の異なる複数の顧客データを組み込んだデータウエアハウス（DWH）に近いものとみられる。「複数の事業にまたがって顧客の情報を分析し、次の活用につなげるマーケティング分析のために使っていた」（ベネッセコーポレーションの小林仁社長）。
元社員は、この顧客DBの保守運用業務に加えて「ベネッセコーポレーションのマーケティング部門の依頼に基づいて、データを加工する業務も行っていた」（小林社長）。この過程で、顧客DBから大容量のデータをダウンロードすることもあったという。この顧客DBに限ってアラートを無効にしていた理由は定かではないが、マーケティング分析の用途で頻繁に大量のデータを取り扱っていた、という事情もありそうだ。
データを外部記憶装置に書き出せないように制限するシステムの設定にも不備があった。書き出し制限システムをバージョンアップする際、「一部特定新機種スマートフォンへの書き出し制御機能に対応しないまま運用されていた」（同社プレスリリースより）という。元社員はこの欠陥を悪用し、データを外部に持ち出していた（関連記事：ベネッセ事件容疑者はなぜスマホでデータを持ち出せたか、IT部門は設定の再点検を）。
金属探知機で私物スマホを検知
ベネッセホールディングスはこれらの調査結果を受け、緊急対策をグループ内の全データベースに実施した。具体的には、大量データを取り扱う際にアラートを出す機能の有効化、一切の外部メディアへの書き出し禁止、アクセスログの定期的な監査などである。
物理的な対策としては、執務スペースへの私物の持ち込みを禁止した。これまで私物PCの持ち込みは制限していたが、スマートフォンの持ち込みは制限していなかったという。同社は顧客DBを扱う執務スペースに、監視カメラや金属探知機を設けることで、電子機器の持ち込みを防ぐ考えだ。
