【マンスリーレポート 2002/09】規範となるべき事後対応 Kei-Net(河合塾) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.11.24(金)

【マンスリーレポート 2002/09】規範となるべき事後対応 Kei-Net(河合塾)

製品・サービス・業界動向 業界動向

 学校法人河合塾が提供する大学入試情報サイト「Kei-Net」で生じた個人情報流出事故。64名分のデータ漏洩となったが、Kei-Net側は迅速かつ真摯な対応をみせた。告知や人員体制、そして実際の被害者とのやりとりを通じ、その事後対応の詳細をリポートしたい。


>>【 経緯 】〜発見者報告からファイル削除まで

 9月11日午後、Kei-Net会員から、HP上で顧客データらしきものが見えると第一報が入った。

 担当者がすぐに調べると、1998年春から1999年春までの間に「Kei-Net Mail」の配信申し込みをしたユーザのうち64名分のデータが、Kei-Net会員からアクセスできる環境にあることが判明。流失データは、氏名、住所、メールアドレス、電話番号、勤務先・在籍学校等を含んだタイプと、メールアドレスのみが表示されるタイプの2種類。その両方が閲覧環境にあったが、判明した時点で河合塾側は双方のファイル削除を行っている。

 尚、実際に被害に遭われた方の一人、“dombly”氏からメールを頂き、さらに直接“dombly”氏とメールをやりとりを行ったKei-Net担当者にも取材を行っているので、以後、双方のコメントを織り交ぜながら展開していきたい。


>>【 告知 】〜最悪の事態をも書き記した、信用高まる第一報

 9月13日、河合塾は被害者へ向けて、告知メールを送信する。
 メールは、個人データが表示可能であった点と、お詫びの文言に始まり、「経緯」の説明へと続く。本稿で記した上記内容に加え、これまでにKei-Net会員から、延べ27回のアクセスがあった事実が記載されている。

 次に「影響と河合塾の対応」とした項目がある。
 ファイル閲覧者が第三者に見せる可能性も否定できないこと、問題判明時からホームページ等を検索し、第三者入手の有無を調べているが現在のところその形跡は見つかっていないこと、だからといって会員データを使って迷惑メール・迷惑電話が全くこない、とは言い切れないこと…といった具合に克明に記したあとで、可能な限りの対応をする旨と、本件は弁明の余地のない初歩的なミスである旨を記載し、お詫びを以って結んでいる。HP上でも告知はなされた。

“dombly”氏:
 『起こりうる最悪のケースに敢えて言及し警告を発している第一報は、被害者としてもむしろ信用が高まるものだった』

Kei-Net担当者:
 『64名の方には、13日に告知の電子メールを送りましたが、数日後同じ内容をプリントアウトした文書も郵送しました。数年前のデータだったのでそのアドレスが使われていない可能性もあり、また、中にはメールをあまりチェックしない方もおられると思ったので漏れのないようにしました(すぐにメールで反応のあった方には郵送しませんでしたが)。』


>>【 社内体制 】〜通常のサポートではなく“相談のプロフェッショナル”が直接対応

 本件に関わった部門は、全般的な方針を決定する企画部門と、原因究明やログ調査等を担当した情報システム部門、直接顧客に接するKei-Net担当。これらの間で連絡を取り合い、事後対応は進められた。

 また顧客対応は、通常のサポート(コンテンツや会員登録の問い合わせ等)ではなく、普段はアドバイザー(受験生やその親などへの対応)をしている2名がユーザとの直接対応にあたり、ネットワーク関係に長けている別の2名に相談を仰ぐかたちで進めたという。


[ Prisoner DAMLAK ]

(詳しくはScan Incident Reportをご覧ください)
http://shop.vagabond.co.jp/m-sir01.shtml

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

製品・サービス・業界動向 カテゴリの人気記事 MONTHLY ランキング

  1. 「Office 365」のアカウント情報が漏えいすると企業の脅威になる可能性(IPA)

    「Office 365」のアカウント情報が漏えいすると企業の脅威になる可能性(IPA)

  2. 自分の利用しているサーバの状況を確認する方法 不正中継確認

    自分の利用しているサーバの状況を確認する方法 不正中継確認

  3. 次世代FW+Sandbox+SIEM+SOCの管理体制が限界を迎えるとき~三年後を先取りするVectra Networks社製品とは

    次世代FW+Sandbox+SIEM+SOCの管理体制が限界を迎えるとき~三年後を先取りするVectra Networks社製品とは

  4. 新たにCISOを設置、SOCにCSIRTとPSIRT機能を集約し経営体制を強化(東芝)

  5. イスラエルのサイバー防衛たてつけ~視察団報告

  6. サイバーセキュリティ経営ガイドライン改訂、経営者が指示すべき10項目見直しや事後対策取組など(経済産業省)

  7. 人の動作に偽装するボットアクセスを検知(アカマイ)

  8. セキュリティ専門家がCSIRTの新規構築、既存の見直し・強化を支援(SBT)

  9. ITだけでなくOT、IoT分野のセキュリティインシデントに早期対応するSOC(日立システムズ)

  10. 自社技術とトレンドマイクロ製品で、ネットワークセキュリティの実証実験(IIJ)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×