概要
ITソリューションを事業とするBIPROGY(東証プライム市場に上場。旧 日本ユニシス)が尼崎市から受託した業務において、再々委託先の企業の社員が尼崎市民の個人情報が入ったUSBメモリーを飲酒による酩酊状態で紛失する事故が発生した。USBメモリーは後日発見されたが、そもそもBIPROGYや委託先・再々委託先でUSBメモリーに関するルールが守られていなかったことに加え、そもそもBIPROGYは尼崎市の承認がなければ委託された業務の再委託はできない契約になっていたところ、BIPROGYは尼崎市の承認を得ずに業務の再委託を行っていた。
経緯
BIPROGYが2022年12月12日に公表した「第三者委員会の調査報告書」および尼崎市が2022年11月28日に公表した「尼崎市 USBメモリー紛失事案調査委員会による尼崎市 USBメモリー紛失事案に関する調査報告書」等によると、一連の経緯は次のとおり。
1970年代頃
日本ユニシスが尼崎市との取引を開始した。
2000年頃
遅くとも 2000年頃までには、日本ユニシスは尼崎市を顧客とする業務につき子会社や協力会社に再委託するようになった。その1社にアイフロント社があったが、アイフロント社は形式的には日本ユニシスから再委託を受けているものの、人員を1名出すことに対して1か月あたり1万円を自社の収入とするのみで、その余の再委託費をそのまま X社への再々委託費として支払うという状況にあり、再委託を受けた業務についてアイフロント社が関与することはなかった。
2000年代初頭
尼崎市は、受注企業に対し、委託した業務の再委託を全面的に禁止した。尼崎市と日本ユニシスとの間の業務委託契約書においても再委託の禁止が明記されるようになった。その後、再委託の禁止が一部緩和されることとなり、それ以降に締結された業務委託契約書においては、「受託者は、委託業務の一部を第三者に委任し、又は請け負わせようとするときは、あらかじめ委託者の承認を得なければならない。」旨の規定が設けられるようになった。このように再委託の禁止が一部緩和されたにもかかわらず、日本ユニシスはシステムの運用・保守業務について尼崎市の承認を得ずに第三者に再委託するという運用を続けていた。
2022年
2月:X社(日本ユニシスから再委託されたアイフロント社がさらに再委託した企業)のA氏が尼崎市の非課税世帯への臨時特別給付金対応の業務委託事業の会合にはじめて出席した。この会合の冒頭で、尼崎市職員2名と日本ユニシス従業員2名は自己紹介と名刺交換をした。X社側で出席したA氏は、自分が日本ユニシスの再々委託先従業員であることを市側に明かすことができず、「今日は名刺を持ってきていない。」と述べて、市職員との名刺交換をしなかった。Aは、X社の上司から「尼崎市から日本ユニシスの従業員かと質問されても、再委託先・再々委託先の従業員であるとは言うな。」と長年指導を受けてきたため、このときも言わなかった。A氏は、日本ユニシスとは別の会社の従業員であるとは自己紹介せず、会合に一緒に出席した日本ユニシスの職員も、A氏を別会社の従業員であるとは紹介しなかった。そのため、A氏は、この会合に出席した市職員2名は、自分を日本ユニシスの従業員と誤解したと感じた。A氏はこのとき以降もこれ以前も、自身が日本ユニシスとは別会社(再々委託先)の従業員であると尼崎市職員に打ち明けたことは一度もなかった。また、 A氏は「ユニシス」「日本ユニシス」「BIPROGY」の従業員を名乗って市職員宛にメールを送信していた。
4月1日:日本ユニシスは会社名をBIPROGYに変更した。
4月上旬:BIPROGYは、尼崎市から、令和4年度の臨時特別給付金の業務の包括受託を打診され、これを受注した(この時点で契約書は作成していなかった)。
5月18日:尼崎市担当者から、契約締結までに時間を要するため、契約履行に向けての作業の準備を開始するよう指示を受けた。
5月27日:BIPROGY社内にて尼崎市案件につき決裁が完了し、契約締結をしないまま、作業が進められることとなった。
6月21日:BIPROGYが尼崎市から受託した業務に関し、BIPROGYの再々委託先X社の従業員A氏が、尼崎市の市政情報センターから江坂コールセンターに同市住民の個人情報データを記録したUSBメモリーを運搬し業務に使用した後、終業後にUSBメモリーをカバンに入れて居酒屋に向かい、飲酒を行う。その後、A氏は酩酊して、USBメモリー2本を収納した鞄を所持したまま、自身とは全く関係のないマンションの建物内に入り込み、同建物内で眠り込んだ。
6月22日:A氏は、午前3時頃に目を覚まし、鞄を当該マンション内に置き忘れた状態で、徒歩で帰宅した(鞄に財布や携帯が入っていたため、A氏はタクシーに乗ることができず、徒歩で午前8時半頃自宅に帰った)。A氏は、BIPROGYの社員(尼崎市の市政情報センターに常駐)に電話で欠勤する旨を伝え、自力で発見できる可能性を考慮し、USBメモリーを入れた鞄を紛失したことは報告しなかった。その後、A氏は、江坂駅近辺に所在する交番に鞄の紛失届を提出した上で、自ら鞄の捜索を行ったが発見することができなかったことから、同日14時頃、同常駐社員に対してUSBメモリーを入れた鞄を紛失した旨報告した。かかる報告を受け、同常駐社員は、BIPROGY社内に状況を報告の上、作業担当者への事実確認を行った。その上で、BIPROGYは16時頃までに、尼崎市に対し本件USBメモリー紛失事故の報告を行った。
6月24日:A氏は、吹田警察署の警察官2名とともに鞄の捜索を行ったところ、上記マンションの建物内において、自身の鞄を発見した。発見時、USBメモリーは鞄のファスナーが付されているポケットの中に、ファスナーが閉じられて周囲から見えない状態で収納されていた。なお、鞄には、A氏の財布や市政情報センターの入館証等が入っていたが、紛失以前と比較して無くなっているものはなかった。
また、BIPROGYは、本件 USBメモリー紛失事故の発生後から、ダークウェブの監視等の方法により、当該データが漏えいしたと解すべき事情が存在しないかの検証を行ったが、第三者委員会の調査報告書の作成時点において、かかる事情は認められていない。
6月27日:令和4年度の臨時特別給付金の業務に関する契約書が同日付けで締結された。
7月1日:BIPROGYはUSBメモリー紛失事案に関して第三者委員会を設置した。また、尼崎市も尼崎市USBメモリー紛失事案調査委員会を設置した。
11月28日:尼崎市は、尼崎市 USBメモリー紛失事案調査委員会による尼崎市 USBメモリー紛失事案に関する調査報告書を公表した。
12月12日:BIPROGYは第三者委員会の調査結果と役員の処分、再発防止策を公表した。
内容・原因・改善策
BIPROGYが2022年12月12日に公表した「第三者委員会の調査報告書」および尼崎市 USBメモリー紛失事案調査委員会による尼崎市 USBメモリー紛失事案に関する調査報告書によると、調査により判明した事実ならびに原因および改善策は次のとおりとされている。
| 内容 | 尼崎市から委託を受けたBIPROGYが再委託したアイフロント社がさらに再委託したX社のA氏が、尼崎市民の個人情報データを記録したUSBメモリーを一時的に紛失した。 |
| 原因 | <USBメモリーの使用> 江坂コールセンターのシステム環境は尼崎市民の諸情報が登録されたシステム(市政情報センター)と遮断されていたため、尼崎市民の情報を登録し、更新する際には、市政情報センターにおいて更新された最新の尼崎市民に関する情報をUSBメモリー等の可搬メディアを用いて江坂コールセンターまで運搬する必要があった。メモリの運搬を誰が担当するかについて明確な決定はなく、A氏が市政情報センターに常駐していたことから、暗黙のうちに、A氏がUSBメモリーにデータを格納して運搬するということとなった。なお、USBメモリーにはパスワードが設定され、記録されたデータについては暗号化処理が施されていた。ただし、このパスワードは、だいぶ前から尼崎市と、BIPROGY、BIPROGYから再委託・再々委託を受けていた別会社の従業員らが使いまわししているパスワードであった。 情報セキュリティの保全に関する各種規範の不遵守の横行 BIPROGYの情報セキュリティ研修の形骸化 X社の再々委託先としての適切性 委託先における個人データ取扱状況を把握していなかったこと |
| 改善策 | 1 BIPROGY役職員のコンプライアンス意識の醸成 (1) 徹底した意識改革 (2) 充実した研修の実施 (3) 多様な視点からの問題意識の共有 2 BIPROGY役職員のリスク管理意識の強化 3 リスクに応じた対応がとれる業務執行の仕組み作りとその適切な運用の確保 4 会社の組織風土の改善 5 改革の実効性と継続性の確保 |
| 内容 | BIPROGYと尼崎市の契約では「受託者は、委託業務の一部を第三者に委任し、又は請け負わせようとするときは、あらかじめ委託者の承認を得なければならない。」旨の規定が設けられていたが、BIPROGYは尼崎市の承認を得ずに、システムの運用・保守業務について第三者に再委託するという運用を続けていた。再委託が禁止されており、仮に再委託は尼崎市から承認を得ずに再委託をしていた。 |
| 原因 | <動機> BIPROGYにおいて、自社のサービス・エンジニアリングのみでは人的リソースの点から受託業務への対応が困難であった。 <正当化> <機会> |
| 改善策 | 上記参照 |
<この事例から学ぶべきこと>
本事例では、幸いなことに尼崎市民の個人情報は流出しませんでした。もっとも、BIPROGYグループでは、情報セキュリティの保全の観点から情報セキュリティマネジメント・システムを、個人情報の保護の観点から個人情報保護マネジメント・システムをそれぞれ導入し、これらの推進のための体制が構築されていましたが、末端の現場では機能していませんでした。本社スタッフ部門がどんなに情報セキュリティの水準を上げようとしても、現場では劣化した運用がなされるということを頭に入れて、全社的な水準の底上げには相当のエネルギーを必要とするということを理解しておくべきです。
また、本事例では、USBメモリーのデータを消去しない、管理者パスワードが共有されるなど基本的なミスが目立ちました。「(可能な限り)USBメモリーを使用不可にする」「管理者パスワードの共有を禁止する」など、情報セキュリティの確保に向けて再点検をしておくべきと言えます。
