【マンスリーレポート　2002/09】規範となるべき事後対応 Kei-Net（河合塾）

　学校法人河合塾が提供する大学入試情報サイト「Kei-Net」で生じた個人情報流出事故。64名分のデータ漏洩となったが、Kei-Net側は迅速かつ真摯な対応をみせた。告知や人員体制、そして実際の被害者とのやりとりを通じ、その事後対応の詳細をリポートしたい。

製品・サービス・業界動向業界動向

2002年10月22日（火） 12時00分

　学校法人河合塾が提供する大学入試情報サイト「Kei-Net」で生じた個人情報流出事故。64名分のデータ漏洩となったが、Kei-Net側は迅速かつ真摯な対応をみせた。告知や人員体制、そして実際の被害者とのやりとりを通じ、その事後対応の詳細をリポートしたい。

>>【　経緯　】〜発見者報告からファイル削除まで

　9月11日午後、Kei-Net会員から、HP上で顧客データらしきものが見えると第一報が入った。

　担当者がすぐに調べると、1998年春から1999年春までの間に「Kei-Net Mail」の配信申し込みをしたユーザのうち64名分のデータが、Kei-Net会員からアクセスできる環境にあることが判明。流失データは、氏名、住所、メールアドレス、電話番号、勤務先・在籍学校等を含んだタイプと、メールアドレスのみが表示されるタイプの2種類。その両方が閲覧環境にあったが、判明した時点で河合塾側は双方のファイル削除を行っている。

　尚、実際に被害に遭われた方の一人、“dombly”氏からメールを頂き、さらに直接“dombly”氏とメールをやりとりを行ったKei-Net担当者にも取材を行っているので、以後、双方のコメントを織り交ぜながら展開していきたい。

>>【　告知　】〜最悪の事態をも書き記した、信用高まる第一報

　9月13日、河合塾は被害者へ向けて、告知メールを送信する。
　メールは、個人データが表示可能であった点と、お詫びの文言に始まり、「経緯」の説明へと続く。本稿で記した上記内容に加え、これまでにKei-Net会員から、延べ27回のアクセスがあった事実が記載されている。

　次に「影響と河合塾の対応」とした項目がある。
　ファイル閲覧者が第三者に見せる可能性も否定できないこと、問題判明時からホームページ等を検索し、第三者入手の有無を調べているが現在のところその形跡は見つかっていないこと、だからといって会員データを使って迷惑メール・迷惑電話が全くこない、とは言い切れないこと…といった具合に克明に記したあとで、可能な限りの対応をする旨と、本件は弁明の余地のない初歩的なミスである旨を記載し、お詫びを以って結んでいる。HP上でも告知はなされた。

“dombly”氏：
　『起こりうる最悪のケースに敢えて言及し警告を発している第一報は、被害者としてもむしろ信用が高まるものだった』

Kei-Net担当者：
　『64名の方には、13日に告知の電子メールを送りましたが、数日後同じ内容をプリントアウトした文書も郵送しました。数年前のデータだったのでそのアドレスが使われていない可能性もあり、また、中にはメールをあまりチェックしない方もおられると思ったので漏れのないようにしました（すぐにメールで反応のあった方には郵送しませんでしたが）。』

>>【　社内体制　】〜通常のサポートではなく“相談のプロフェッショナル”が直接対応

　本件に関わった部門は、全般的な方針を決定する企画部門と、原因究明やログ調査等を担当した情報システム部門、直接顧客に接するKei-Net担当。これらの間で連絡を取り合い、事後対応は進められた。

　また顧客対応は、通常のサポート（コンテンツや会員登録の問い合わせ等）ではなく、普段はアドバイザー（受験生やその親などへの対応）をしている2名がユーザとの直接対応にあたり、ネットワーク関係に長けている別の2名に相談を仰ぐかたちで進めたという。

[ Prisoner DAMLAK ]

（詳しくはScan Incident Reportをご覧ください）
http://shop.vagabond.co.jp/m-sir01.shtml

《ScanNetSecurity》