心配なつむくま

ホラー・怖い系が好きで、ホラー映画、ホラーゲーム実況、心霊体験談などを中心にブログ掲載しています。たまに旬なニュースの感想なども。

自治体のハードディスク廃棄:指針に明記すれば本当に大丈夫?

ハードディスク破壊についてのニュース

数日前ですが、『総務省は、住民の納税記録など個人情報を保存していたパソコンを自治体が廃棄する際は、ハードディスク(HD)などの記憶装置を物理的に破壊するよう、近く改定する自治体向け情報セキュリティー指針に明記する。』というニュースが報道されていました。

www.tokyo-np.co.jp

個人的に気になったので、この件についてちょっと調べてみました。

 

そもそも今はどうなっている?

総務省ホームページを確認すると『地方公共団体における情報セキュリティポリシーに関するガイドライン』が掲載されています。

ガイドラインは、平成13年に策定され、平成15年、平成18年、平成22年、平成27年、平成30年と定期的に改定されてきています。

 

現状のガイドラインを確認すると『物理的セキュリティ』の項目内に既に以下の記述があります。

ガイドライン内の記述

機器の廃棄等
情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装置
から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならない。

 

機器の廃棄等 パソコンが不要になった場合やリース返却等を行う場合には、ハードディスクから情報を消去する必要がある。

 

(注5)情報を消去する場合、オペレーティングシステム(OS)の機能による初期化だけでは、再度復元される可能性がある。データ消去ソフトウェア若しく はデータ消去装置の利用又は物理的な破壊若しくは磁気的な破壊などの方法を用いて、全ての情報を復元が困難な状態にし、情報が漏えいする可能性を低減しなければならない。

 

今回の改定検討内容との比較

現在の記載内容ではデータ消去、物理的破壊、磁気破壊が並列で記載されており、データ消去ではなく、破壊する事を要件としているのかもしれません。

漏洩リスクに対してどちらがより有効な対策かも重要な個人情報を取り扱い上では必要な検討課題だとは思いますが、今回の改定の要因となった神奈川県でのHDD流出事件の対策としては、それだけでは不十分ではないでしょうか。

 

昨年の神奈川県での事件

昨年の事件では、神奈川県からは初期化のみした状態で、データ消去の事業者に受け渡しがされ、そのハードディスクを廃棄事業者の社員が持ち出してヤフオクで転売し「世界最悪級の流出」とも言われる事態となりました。

 

www.pref.kanagawa.jp

ja.wikipedia.org

 

どこに問題があったのか?

今回の事件を受けて、改定をするのであれば、以下の3点を検討する事が望ましいと考えます。

  1. 初期化のみでハードディスクを受け渡しをしてしまった
  2. 自治体職員のスキル、配置は適正か?
  3. 重要な個人情報の暗号化等を実施していなかった

初期化のみでハードディスクを受け渡しをしてしまった

初期化のみだと誤ってフォーマットした場合のデータ復旧ソフト等がフリーソフト等も含めて色々とあり、専門的な技術がなくても比較的容易に復旧されてしまう可能性があります。

今回議論されている物理的破壊の徹底も勿論一つの対策であるとは思います。

jp.easeus.com

自治体職員のスキル、配置は適正か?

一方で、今回の問題点は従来のガイドラインでも物理破壊に限定していないものの、磁気破壊ないしはデータ消去ソフトの利用が明記されているもののそれを実現されていなかった事があります。

また、当時の論調として廃棄事業者と合わせてリース会社の監督不行届だとされていましたが、ガイドライン上では、『情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならない。』と明記されており、自治体側がリース返却する前の段階で復元不可能な状態にする事を求めています。

 

つまり、何が言いたいかというと、既に既存のガイドラインでも守れていれば、今回のような事態にはならなかったのではないか?という事です。そして、ガイドラインを改定しても結局はいかにそれを守られるか?が大切ではないでしょうか。

 

更に今回の問題がより深刻だと想像されるのが、

  • 自治体の中でも財政的に豊かだと思われる神奈川県で起きたこと
  • より多くのセンシティブな個人情報は市町村で管理されていること

神奈川県レベルでもハードディスクの破壊を業者任せにしている事を考えると果たして、町・村においてどのような管理が出来ているのでしょうか?

 

ここに関してはおそらく職員の怠慢というよりも、適正なスキルの人材が必要な人数配備出来ているのか?だと考えますが、この点についてはまた別の機会に言及してみたいと思います。

 

重要な個人情報の暗号化等を実施していなかった

職員数は減っていく中で、物理破壊の実施もしくはその立ち会い等、更に人的リソースを割かざるを得ない要件が追加されようとしていますが、人的な対応で対処しようとするとどうしても漏れは発生してしまいます。

廃棄時の対応だけでなく、扱う情報の重要性を考えるとより機密性の高いファイルやそのような情報を管理するハードウェアは暗号化し、管理しておく事も一つの方法です。