情報セキュリティの話

こんにちは、和美です。
静岡県は浜松市に一年近く住んで常駐していた仕事先の話です。

【 目次 】

1. 初めに
2. 故人の個人情報
3. 閑話休題：黒歴史
4. 循環取引
5. EMOTET
6. 不正アクセス
7. パスワード漏洩
8. 確認テスト

1. 初めに

会社のコンプライアンス研修として、資料を自分で読んで確認テストを受ける教育がありました。
知らなかったことが多く出てきたので、調べたこともまとめて公開です。
…… 社外に出していい内容しか書いていません。大丈夫。

2. 故人の個人情報

まずはコンプライアンス・マニュアルの行動指針から。
「個人情報の保護」の項目に

個人情報 ＝ 生存する個人の情報で、氏名等により特定の個人を識別できるもの

と書かれていました。
和美が引っ掛かったのは「 生存する 」 の部分です。
生存していない、つまり死んだ人の個人情報は存在しないという事でしょうか。

という事で調べてみました。
参考リンク：3 亡くなった人の個人情報は個人情報保護法で保護されますか？：リバーシティ法律事務所
こちらによると、

個人情報保護法では、個人情報とは「生存する個人の情報」となっており、死者の個人情報は保護の対象ではありません。

行動指針にある通り、生者に被害が及ばない範囲で、死者に個人情報は存在しないようです。
事故・事件の被害者への報道はもはや名誉棄損に限りなく近いことをやっていると思っているのですが …… と思っていたら、「 存命遺族の『 敬愛追慕の情 』 を侵害された 」という扱いになるようです。
自分が事故や事件に巻き込まれて死んだ時は嫌いなTV局を訴えてほしいと思ったのですが、我が家では父親ぐらいしかやってくれそうにないのが辛いです。

…… やっぱりインターネットに本名を晒すと面倒なことになりますね！
古い話になりますが、2011年に起きたニュージーランドの地震の時、亡くなった方のmixiの個人ページがニュースで報道されていて不快でした。
（ 写真にはさすがにモザイクが掛かっていたと記憶していますが ）

上記参考リンクの中に貼られていたリンクが気になったので、引き続き故人の権利についての話です。
亡くなった人の「暗号日記」ネットの集合知で解読――そこに潜む「リスク」とは？：NO MORE 情報漏えい
ピーターラビットの作者、ビアトリクス・ポターが受けた被害 （ と呼んでいいと思う ） を思い出しました。
彼女が十六歳頃から二十年以上暗号で書き続けていた日記が死後に公開され、ファンによって解読され、解読された平文が出版されて挙句、生誕百五十周年記念イベントで展示されていたのです。
和美がその日記の本を見たのは周年記念の特別展ですが、嫌がらせ以外の何物でもないと未だに思います。

3. 閑話休題：黒歴史

題名から気になったのでこちらも読みました。
参考リンク：【このままじゃ死ねない！】わたしの黒歴史はどうなるの？故人のプライバシーについて弁護士に聞いてみた：NO MORE 情報漏えい

Facebookに自分の子どもの写真をアップするのは、自分の判断なので良いのですが

…… 子供の権利を親が侵害していいという話はどこにもありませんが。
写真から居住地や現在地や生活パターンが掴まれて、空き巣や誘拐事件に繋がる可能性を考えられないんでしょうか。
「 土曜日に（場所名）へ遊びに行ってきました 」 の一文だけで、土曜日が休み（ 平日が仕事の可能性が高い ） で（ 場所 ）に遊びに行ける距離に住んでいると分かるんですよ。
それが鹿児島から北海道のような長距離なら、日帰りではない可能性が高いので文章も変わるでしょうし。

4. 循環取引

「 取引先との不正取引の禁止 」 という項目の最後にあった「 グループ内の循環取引にも要注意 」 の意味を調べました。
「複数の企業・当事者が示し合わせて計画し、商品の転売や業務委託などの相互発注を繰り返すことで、架空の売上高を計上する」ことで、最初の売主と最後の買主が同じ、輪のように取引が繋がっているのが特徴だそうです。
…… 不正会計にありそうですね。
輸送料を節約するためか、実際の循環取引では、商品は移動せず、伝票だけが流れていく架空取引が大半だそうです。
実例として「 企業の営業責任者が、売上ノルマ達成を目的として取引先業者と癒着し仮装している場合」と出てきて、「 仮装」の意味に、「 ある出来事があたかも実際にあったかのように見せかけること 」 という偽装のような意味があるのを初めて知りました。

5.EMOTET（エモテット）

ここからは情報セキュリティの話です。今年度は情報漏洩がテーマとの事。
情報漏洩リスクの事例の項目一件目に「ウィルスを含む添付ファイル付きのメール（Emotet（エモテット））と書かれていたので調べました。
マルウェアの一種の名指しらしいです。
参考リンク：EMOTET（エモテット）とは？特徴から危険性、対策方法まで徹底解説
ただ、

メールの添付ファイルを開こうとした際、警告文が複数回ポップアップ表示されてもファイルを開いてしまい、ウィルスに感染してしまう！！

という辺りに少し人為的なミスを感じましたが ……。
2020年の感染事例では、九件とも全て社内パソコンでウイルスが添付されたメールを開封したことが原因だそう。
キャンドゥが被害に遭っていたのは全く知りませんでした。

上記参考リンク：EMOTET（エモテット）とは？特徴から危険性、対策方法まで徹底解説（ 再掲 ）の本文中にも知らない単語が出てきたので調べました。

マルウェア

「…… そこからかよ 」という辛辣な突っ込みの声が聞こえてきそうですが、ウイルスとの違いが分からなかったので改めて調べてみました。
データを無断で書き換えるコンピュータウイルス、内部情報を勝手に流すスパイウェア、データに鍵を掛けて代金を要求するランサムウェア、悪質な広告のアドウェアなど「 迷惑なやつ全部 」 の総称だそうです。
…… 悪質ではない広告の方が少ないという現実。

バンキングトロジャン

銀行を標的にした、無害なソフトを装ったトロイの木馬のような悪質なソフト。トロイの木馬自体はコンピュータウイルスではないそう。

ペイロード

EMOTETの開発グループは、EMOTETを利用する他のサイバー犯罪グループからの2次的なペイロードを運ぶことで料金を徴収しており、

と出てきます。
元は運輸業で運行に必要な物を除いた貨物や乗客などの積載量を指す英語ですが、IT用語としては、パケット通信においてパケットに含まれるヘッダやトレーラなどの付加的情報を除いた、データ本体のこと。
用語検索：ZDNet Japan
上述の引用文は、他の犯罪グループのデータ（ ウイルスなどマルウェア ）を運んで儲けているという事でしょうか。

フォレンジック調査

感染被害状況を調査する項目に

個人で調査を行うよりも安全面を担保する対応方法としてお勧めなのが、フォレンジック調査です。

フォレンジック（ forensics ）は法医学的な、科学捜査の、の意味で、感染したパソコン本体に別のツールを繋いで、専門家が安全に証拠を取り出すことだそう。
フォレンジックとは： FSS.jp
データ復元調査の場合、スマートフォンに何度もデータが書き込まれることで削除データが上書きされる恐れがあります。とあるのは、パソコンに比較してスマートフォンはゴミ箱の容量が少ないからでしょうか。
犯罪絡みでも個人情報の提出要求を突っ撥ねたAppleの方が安全に感じますね。
【全文訳】アップル、FBIの捜査協力要求を拒絶！クックCEOがメッセージを公開！：iPhone Mania
「フォレンジック調査 」 の言葉の定義は 「 犯罪の立証のための電磁的記録の解析技術及びその手続き 」 だそうですが、裁判上での証拠保全に限らず、今回のようなマルウェア感染調査や、不正アクセスによる顧客情報流出の事後調査など色々あるようです。
フォレンジック調査とは？費用や相場・おすすめ業者を徹底比較！：Cyber Security.com

6. 不正アクセス

不正アクセスの被害では、2021年に入ってからまた新しい情報が出てきた、カプコンの事例が取り上げられていました。…… 過去の求人応募者の情報だけは、さすがに庇いようのないカプコンの手落ちだと思いますが ……。
身代金を要求されているので、前章で調べたマルウェアの中のランサムウェアですね。
代金を支払っても要求通りデータが取り戻せるとは限らないのが、犯罪者との取引の難点です。
ふと、被害者への謝罪を500円の金券で済ませたベネッセグループの事件を思い出しました。
ベネッセ個人情報漏洩事件の全て｜企業は加害者？それとも被害者？：Cyber Security.com

7. パスワード漏洩

クラウドサービスでは、定期的にアクセス可能なメンバーの棚卸と、ID・パスワードの設定変更を行ってください。

…… いつまでこんな無駄な事をさせるんでしょうね。
パスワードの定期変更は不要：総務省が歴史的な方向転換：トラスト・ログインブログ
総務省の公示は2018年ですよ。
個人毎にログインIDとパスワードを設定すればどこから漏れたか分かりやすいですし、パスワードを使い回す原因は 「 人にパスワードを記憶させるから 」 ですよ。
大手だと、Yahoo！はSMSによるワンタイムパスワード方式に変わりました。
…… パスワードを紙に書いていたことで助かった話も複数ありますし。
ヘリオス航空522便墜落事故：Wikipedia
こちらの調査の項目後半に出てくる男性客室乗務員は、他の乗務員が手帳に書いていたパスワードで操縦室を解錠したそうです。

8. 確認テスト

〇×、数字選択形式のExcel確認テストがあったので受けました。
問題が16問あり、一通り資料に目を通して解答した段階では90点でした。
個人情報の保護に関する問題と、上場企業としての責務を間違えていました ……。