日本年金機構から125万件の年金情報が漏洩した問題で、同機構は漏洩データを保管していたファイル共有サーバーを社会保険庁時代から恒常的に利用していたことが明らかになった。年金記録などを格納する基幹システム(社会保険オンラインシステム)から個人情報をファイル共有サーバーに移していたところ、標的型ウイルスに感染したパソコン経由で情報が漏れた(関連記事:日本年金機構にサイバー攻撃、ファイル共有サーバーから125万件の年金情報が流出)。サーバー上に個人情報を置くことは原則禁止していたという。

 同機構のシステム統括部によれば、少なくとも2010年1月の機構発足時には、基幹システムから抽出した個人情報をファイル共有サーバー内のフォルダに格納して、職員間や事務所間で共有していた。フォルダは階層構造であり、上位から、全国、ブロック、県、拠点といった順だった。今回、「あるフォルダとその配下のサブフォルダとファイルが盗まれた」(システム統括部)。サーバーには「エクセル」や「アクセス」のファイルが格納されていた。

 ルール上、個人情報をファイル共有サーバーに格納することは原則禁止という。格納する際は、アクセス制限をかけたりファイルに「人に推測されにくいパスワード」(同)を設定。さらにどんなファイルを格納したかを一覧にして総務部に報告することを課していたという。ただしパスワードの設定は職員に任せており、格納のたびに第三者が確認することはなかったようだ。今回漏れた125万件のうち、約55万件はパスワードが設定されていなかった。

 基幹システムから個人情報を抽出するには、権限のある職員による申請が必要だった。抽出データは暗号化された上でCD-ROMに格納されて職員に渡されていたという。同機構は回答を控えたが、職員がパソコンでCD-ROMの内容を復号し、ファイル共有サーバーに移していたと見られる。

 ファイル共有サーバーをどういった業務で使っていたのか。機構は具体的な業務名の回答を控えたものの、一例として、「全国レベルではなく、拠点レベルでお客様に電話したり通知したりするためのリストを作る業務に使っていた」と話す。

 一般に基幹システムのデータを現場が簡単に編集する目的で、エクセルやCSVで現場向けデータを作成・提供することは決して珍しくない。ただ、パスワードの設定を職員任せにしてチェックが行き届かない運用であったことと、ネットがつながるパソコンで個人情報のサーバーにもアクセスできるネットワーク設計だったことが重なり、今回の流出を招いた。