9月の侵害を11月に通知した
カリフォルニア州司法長官の一覧では、侵害日は9月2日、報告日は11月9日と記録されている。Baker Tillyの通知書によると、同社が問題を把握したのは9月6日だ。外部の専門家と調査し、10月28日に影響を受けたデータの確認を終えたとしている。[2]
不正な行為者が取得したのは、Baker Tillyが顧客向け業務で使う第三者事業者の基盤に保存されていた情報だ。通知書は事業者名を示していない。Baker Tillyは、自社ネットワークやシステムへの不正アクセスが続いている証拠はないと説明した。
ここは二つに分けて読む必要がある。自社ネットワークで継続的な侵入が見つかっていないことと、外部基盤にあった情報が取得されていないことは別だ。後者については、通知書が取得を認めている。
1万456人は全被害者数ではない
BleepingComputerは、テキサス州司法長官の登録を基に、同州で1万456人が影響を受け、氏名、住所、社会保障番号などが対象になったと報じた。[3] ただし、この人数はテキサス州分であり、全地域の合計ではない。
公開されたサンプル通知書には、個人ごとに異なる情報種別を差し込む欄が残ったままだ。BleepingComputerも、通知書だけでは全体人数や具体的な情報種別を確定できないと指摘している。1万456人という数字を全被害者数と読み替えないことが重要だ。
通知には顧客の扶養家族向けの別文面もあり、子どもの情報が影響したケースも想定されている。大人の信用情報だけを監視すれば終わる問題ではない。未成年者名義の不審な口座や郵便物は、家族が気づきにくい点にも注意が要る。
会計・税務の委託先には、給与、家族、納税、企業取引に関する情報が集まりやすい。漏えい項目が同じ氏名と住所でも、どの業務の資料から出たかによって悪用の手掛かりは変わる。被害通知を受けた企業は、従業員へ一斉に転送するだけでなく、対象となった契約、年度、資料の種類をBaker Tillyへ確認し、自社が本人へ追加説明する必要がないかを法務・人事と判断する必要がある。
また、外部基盤の運営会社が未公表のため、同じサービスを使う他社まで影響したかは確認できない。事業者名が分からない段階で、似た時期の別の侵害を同一事件と結び付けるのは早い。Baker Tillyや州当局による追加開示が出るまでは、確認済みの範囲にとどめるべきだ。
「悪用の報告なし」は安全宣言ではない
Baker Tillyは通知時点で、対象情報に関連するなりすましや詐欺の報告を把握していないとした。影響を受けた人にはExperianによる24カ月間の信用・個人情報監視を無償提供する。[1]
一方、漏れた可能性がある氏名、住所、社会保障番号は、時間がたってから別の情報と組み合わせて使われることがある。現時点で被害報告がないことは、将来の悪用がない保証ではない。通知を受けた人は、記載された登録期限と連絡先を確認し、提供される監視を使うか判断したい。
通知書は、信用報告書の確認、詐欺警告、信用凍結の方法も案内する。信用凍結は新規の与信を止める効果があるが、自分がローンや口座を申し込む際にも解除が必要になる。状況に応じて選び、通知書を装ったフィッシングにも警戒する。登録は郵送された文面や州当局が公開した通知と照合し、突然届いた別のリンクから個人情報を入力しない。
委託契約だけでなくデータの所在を管理する
企業側の教訓は「委託先のセキュリティを確認する」だけでは足りない。事故後に必要なのは、どのサービスへ、誰の、どの項目を保存し、いつ削除する予定だったかという一覧だ。これがなければ、影響範囲の調査と本人通知に時間がかかる。
最低限、次の情報を管理表へ結び付けたい。
- サービス名、運営会社、保存地域、再委託先
- 保存する個人情報の項目、対象者、業務上の目的
- 管理者権限、ログの保存期間、暗号化と削除方法
- 事故時の連絡期限、調査への協力、利用者への通知分担
契約書に事故通知の条項があっても、担当者が変わり連絡先が古ければ動けない。年1回の書面確認に加え、管理者アカウント、使われていない連携、保管データを定期的に棚卸しする。業務を終えた情報は「いつか使うかもしれない」と残さず、法定保存期間と事業上の必要性を分けて削除する。
委託先がさらに別のサービスへデータを渡す再委託も見落としやすい。利用開始時に一覧を受け取っても、後からクラウド基盤や解析サービスが追加されることがある。変更時の事前通知、拒否や解約の権利、削除証明を契約へ入れ、重要情報を扱う再委託先には同じ検査条件を適用する。利用企業が認識していない連鎖の先で事故が起きれば、顧客への説明が遅れる。
委託先の事故を想定した社内訓練も必要だ。第一報で全容が分からない場合に、誰が取引を止め、誰が影響データを照合し、誰が顧客へ連絡するかを決める。初報と確定報を分ければ、未確認の人数や情報種別を広げずに対応を始められる。
被害人数より通知までの手順を見る
大規模な情報流出では人数が注目される。しかし利用企業が次の委託先を選ぶときは、単一の数字より、検知から封じ込め、データ特定、本人通知までの手順を確認したい。Baker Tillyの事例では、9月6日の把握から10月28日のデータ確認完了まで約7週間を要した。
すべての調査を即日終えることは難しい。それでも、委託先がログを保持しているか、対象データを検索できるか、州や国ごとの通知期限へ対応できるかで、必要な時間は変わる。委託先評価では認証取得の有無だけでなく、過去の事故対応訓練と、利用企業がログや調査結果を得られる条件まで確かめるべきだ。
評価質問では「侵害はありませんか」だけでなく、最後の復旧訓練で影響データを特定するまで何時間かかったか、ログを何日保持しているか、再委託先から通知を受ける期限は何時間かを尋ねる。回答を契約更新時に読み直し、実態が変わったサービスは代替や縮小を検討する。確認できない場合は、社会保障番号など変更しにくい識別子を預けない設計へ切り替える判断も必要だ。
第三者サービスの利用を止めるのではなく、預ける情報を減らし、所在と削除期限を追えるようにする。自社の境界外にあるデータも、自社が顧客へ説明する責任からは外れない。
まとめ
- Baker Tillyが11月に通知したのは、9月に第三者事業者の基盤で起きた侵害であり、発生日と開示日を分けて読む必要がある。
- テキサス州の1万456人は全体人数ではない。情報種別や全被害範囲には未公表部分が残り、現時点の悪用報告なしも将来の安全を保証しない。
- 利用企業は委託先の認証だけでなく、データの所在、削除期限、ログ、事故通知の分担を管理表で追える状態にする必要がある。
読者のコメント (0)
コメントを残す