高度なサイバー攻撃対策の前にやること！【情報資産の管理】

自治体の業務委託先が #ランサム攻撃 を受けて、 #個人情報 が #流出 したかもしれないという報道を見て、改めて感じたことがありますので、書きたいと思います。
その業務委託先には、水道使用者の個人情報１０万件以上で、アンケート調査目的で渡していたようです。氏名、住所、使用者の番号、使用水量などを提供したようです。

個人情報の利用目的に合致しているか？

筆者がその自治体のホームページを見た限りは、利用目的の中に、アンケート調査は見つかりませんでした。役所なので、難解な解釈があるのかもしれませんが、万一、流出しても説明ができる状況にしておかなければなりません。

最小限の情報にしているか？

使用者の番号があれば、他人がアプリに登録できたりするのではないかと思いますが、本当にその業務を行うのに、最小限の情報に絞っているかをチェックすべきです。公表された情報には、「等」もついておりますので、そのほか、何を渡したのか、整理したほうがいいでしょう。

業務委託が終わったら、確実に消去させる

契約上、業務委託が終わったら、委託先は、それに関する情報は消去することになっているものが多いと思います。
ただ、サイバー攻撃などで、昔の情報まで保存している業者が多いことが分かっています。過去の発注先からの問い合わせや、次の受注を取るための材料にしているかもしれませんが、サイバー攻撃などで流出すると、被害が甚大なものになります。発注元としては、確実に消去させることが重要です。

たったひとりの従業員の不審メールで侵入される

VPN装置をやめれば防げた！みたいな論調が多いのですが、不審メールをたったひとりがクリックしただけで、侵入されてしまいます。そして、１００％の従業員が間違いをしないということは、なかなか難しいです。
そこが筆者の研究になっています。

おわりに

非常に地味ですが、 #情報資産 を日ごろから確実に管理しておくことで、万一（というより被害を受ける確率は高いかも）、サイバー攻撃の被害を受けた場合でも、被害を最小限にすることができます。
当たり前の話で、失礼しました。