パスワードを忘れた? アカウント作成
16580 story

大日本印刷が個人情報保護体制の強化内容を公開 39

ストーリー by nabeshin
カード不正請求の却下が簡単にできる仕組みが必要 部門より

あるAnonymous Coward 曰く、

2006年に過去最大規模の個人情報漏えい事故を起こし、2007年には資本提携したばかりの丸善でも業務委託先であるNTTコミュニケーションズによって約65万件の顧客情報が入った磁気テープの紛失事故を起こされてしまった、印刷業界大手の大日本印刷だが、8月末に公開された2007年度版CSR報告書にて個人情報保護体制の強化についても触れられている。
同社ウェブサイト上で公開されているCSR報告書によると、(1)個人情報をデータ記憶媒体へ出力できる担当者を社員及び子会社社員4名に限定(2)個人情報データの暗号化、ハイセキュリティエリア以外でのデータ記憶媒体の使用禁止、データ記憶媒体及び書き出し作業ログの監視(3)データ記憶媒体の不正持ち出しを防ぐため、ハイセキュリティエリア退出時に金属探知機による検査の実施(4)個人情報取り扱い担当者への再教育の実施(5)外部監査の実施などの対策が挙げられ、また、物理的なセキュリティ設備の強化についても述べられたものとなっている。
見た限り、悪意を持った社員による持ち出しや紛失に対しても対策が取られている様に思えるが、これによって失われた信頼を取り戻すことができるだろうか。また、あなたの会社のセキュリティは大丈夫だろうか。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2007年10月31日 18時27分 (#1242620)
    大日本印刷の情報漏洩事件では、悪意の関係者が盗み出したものであり、
    おそらく発覚するリスクは承知だったのではないかと思います。

    今回の保護強化策は、防止策というよりも抑止策というものであって、
    盗み出すことは以前より難しくなったものの、可能であることは
    変わりないでしょう。

    この四人のうちの一人でも、のっぴきならない状況になって盗まざるを
    得なくなったら、おそらく盗めてしまうでしょう。
    ログ確認なども、盗まれた事後の犯人探しとしてしか役に立たず、
    盗まれた情報を取り返せるわけでもありません。

    金属探知器とはいうものの、金属探知器は金属の量によっては反応しない
    こともありますので、USBメモリーやmicroSDなどを分解して小さくしてから
    持ち込めば分からないでしょう。

    せいぜい、四人の給料は一般社員の数倍程度に上げて高額にしておき、
    絶対安月給にはしないこと。
    多重債務者になってヤミ金に嵌められたりなんかしないように。

    • 高給取りに犯罪者が居ないなら、今ごろ日本は世界有数のクリーン政治家団体ですよ!
    • >せいぜい、四人の給料は一般社員の数倍程度に上げて高額にしておき、
      >絶対安月給にはしないこと。

      印刷会社にそれは無理。印刷業界は給料安いよ~
      電機労連がうらやましいのでAC
    • 報告書を読むと、どうもポケットのない作業着での入室が義務化されているようなので、
      分解して持ち込むというのも難しいのでは……ああ、髪の毛の中に隠せば良いのか!

      まぁそこまでやっても
      1. 監視カメラでUSBメモリを組み立てているところがバレバレ(警備員が常駐しているということは
        内部の作業の様子もリアルタイムで監視している可能性が高く、発覚覚悟でやっても即座に警備員が飛んできそう)
      2. そもそもUSB端子なさそう&媒体出力口の封印を解く手段があるかどうか不明
      という問題が残るわけだけど。

      もっとも、正規の手順を踏んで入手した「データ記憶媒体」を他に流されたらどうしようも
      無いんじゃないかと。そこらへんの対策もやってんのかな?
  • 恐らく社内でそっち方面に一番明るいと思われるのが自分と言う状況では、

    『ダメだこりゃ』

    としか言いようが無いでしょう。

    # もっといろんな事に興味を持とうよ。頼むから。
    • 同意過ぎ

      しかも私の場合は"大した権限を持っていない"というのもプラスされるから困る
      親コメント
      • 同意過ぎ

        >しかも私の場合は"大した権限を持っていない"というのもプラスされるから困る

        でも「持てない者」だからこそ、「持てる者が安易に置き晒しにしたネタの重大性」に気がついてしまうという側面もあると思うのですよ。
        偉い人だからこそ、「友達の友達がアルカイダ」という顔の広さ [bogusne.ws]の重大性に気がつかないのですよ。
        最初はおっかなびっくり扱っている情報も、慣れで麻痺してしまうという事かもしれません。多分。
    • by Anonymous Coward on 2007年10月31日 23時49分 (#1242778)
      NECに。
      NECがグループ企業以外のいわゆるパートナー企業にもほぼ強制で入れさせてる「個人情報調査ツール」。
      ディスク内にある全てのファイルをスキャンし個人情報とNECグループの企業名を含んでるものピックアップするという名目のツール。しかもNECの立ち入り調査付き。
      NECグループで漏洩事件が続いた挙げ句の策らしいけど、そのツールがもし「ライバル会社の企業名を含んだファイル」の内容をログに出力してて、訪問した調査員が回収したら、何も隠せないよ。
      親コメント
      • タイトルは断定調なのに、その論拠は「そのツールがもし」だという仮定の陰謀論とは。
        >「ライバル会社の企業名を含んだファイル」の内容をログに出力
        競合他社に漏洩させていないかレベルではなく、競合他社の機密を探ろうというなら、
        単なる産業スパイ行為であってNECのリスクが高いだけですよ。
        もっとも、オウム教団関連企業に省庁の仕事が発注されていたような事実を見ても、
        競合他社の名前があっただけで、NDAを結んでも危ない相手と見る担当者はいるかもしれないけど。

        NECでは無い、ITゼネコン末端の1デジタル土方ですが、その手のツールはどこでもやってます。
        それが、見える形で実施されているだけで最近の内部統制ソリューションにより、
        常駐先ではメールやウェブのプライバシーは無いと言っていい状況が増えています。
        導入の時期や、粒度など末端に説明されないから他は無いと勘違いされているだけです。
        それを息苦しいと思うようなら、下請け構造に甘えている自社を正すべきでしょう。
        • by Anonymous Coward on 2007年11月01日 12時21分 (#1243037)
          下請けじゃない、自社開発のパッケージソフトをNECグループが販社として扱ってるだけでも、導入を要請されますよ。
          NECは販社から外すという計画で動いてます。売ってくれるところは他にいくらでもいるので。
          親コメント
        • こんなもの導入しても、
          「流出した後の犯人の特定がほんの少し楽になるだけ」
          で、流出そのものの防止には何の役にもたたないんだけどねぇ。

          # いくら位払ってんだろうね。
  • by Sukoya (33993) on 2007年10月31日 22時08分 (#1242713) 日記
    でも、これだけ凄い事をやっていても、わざわざテープ媒体(オープンリールじゃなくてもLTOとかDATとか)を盗難を恐れつつ運び続ける状況は変わらないってのがもぅ。
    きちんとデータを暗号化してたって、そのデータが入った媒体を盗まれた紛失した壊れたなんて事になれば大問題だし。
    お国の方針とはいえ、わざわざ定期的にデータをテープ媒体で外部施設に輸送して分散保管するのなんて、もう時代遅れだとは思うんだけれども……

    でも、随分前から続く震災のために、外部にデータを保管しない事の恐怖を嫌というほど味わっている以上、止めるに止められないんだろうなぁ。
    • Re:震災の記憶…… (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年10月31日 23時28分 (#1242758)

      わざわざ定期的にデータをテープ媒体で外部施設に輸送して分散保管するのなんて、もう時代遅れだとは思うんだけれども……

      時代遅れとかいうならせめて「これが時代にアップ・ツー・デートなメソッドだぜ」って方法書きなよ。
      もっというと、その方法が同程度の規模のシステムでどの程度採用されてるかも示してくれないと、ここだけが時代に取り残されてるかわかんないし。
      親コメント
      • by Sukoya (33993) on 2007年11月01日 0時02分 (#1242786) 日記
        そんな事はお国に言ってくださいよ。

        国が「やったら良いですよ?むしろやれ?」と言っているのに、
        たとえ随時更新じゃ無いとしても、多重化の1手段としてテープ輸送してない大企業なんて見たことないですよ!
        親コメント
        • Re:震災の記憶…… (スコア:1, すばらしい洞察)

          by Anonymous Coward on 2007年11月01日 3時19分 (#1242860)
          > そんな事はお国に言ってくださいよ。

          おいおい。
          方針に反対するからには、*あなた*が代案を示すべきでしょ。
          よりよい(up-to-dateな)代案を提示できないってことであれば、
          「時代遅れ」という主張には根拠がなかったってこと?
          親コメント
  • by bihn (18164) on 2007年10月31日 23時13分 (#1242750) 日記

    漏れないって前提なんでしょうが、漏れた場合の対応策ぐらい書いておけばいいのに。

    漏れた人に取っては、500円もらうより、漏れた情報を利用した詐欺、勧誘電話への対策と漏れた情報の完全な回収が要求なのじゃ?

    • > 漏れた人に取っては、500円もらうより、漏れた情報を利用した詐欺、
      > 勧誘電話への対策と漏れた情報の完全な回収が要求なのじゃ?

       お金なんかじゃありません、うちの子供を返してください
       おかあさん、気持ちはよくわかりますがここは冷静になって…

      ってやつですか。
      個人情報が漏れていいことはないけど、他の事故にくらべて敏感すぎますね。命と違って「対策と漏れた情報の完全な回収」ができそうな雰囲気がありますから。
  • >個人情報をデータ記憶媒体へ出力できる担当者を社員及び子会社社員4名に限定

    それ以前の話として、全部自動化して、人手が介在しないようにすべき。
    そっちの方が信頼性高いのでは?

    #それは、机上の空論です
  • by Anonymous Coward on 2007年10月31日 17時01分 (#1242581)
    クライアントのところで受け取ったCD-Rを、
    下流行程に流して良いデータなのかどうか内容を確認しないまま、
    受け取ったその足で二次受けの制作会社のところへ持ち込んだりはしないワケですね。
    それは良かった。二次受けのプレッシャーが減り、事故も減る事でしょう。
    • 契約に秘密保持条項が増えるだけなのでは?
    • 普通はそんな事しないと思いますけど・・・。
      受け取る「二次受けの制作会社」も意識が低すぎるでしょう。
      • by Anonymous Coward on 2007年11月01日 11時05分 (#1242985)
        > 普通はそんな事しないと思いますけど・・・。
        > 受け取る「二次受けの制作会社」も意識が低すぎるでしょう。

        ちょっと前までDNPから御仕事を頂く制作会社に居たのですよ。
        Pマークを取ろうとするところまでも至れない小さな制作会社でしたが、
        社内の情報漏洩対策が充分じゃないからと言って、
        「受け取らずに御帰り頂く」と言う選択肢は無いです。

        意識が低過ぎる? 勿論です!
        意識の低い元受にとっては、意識の低い下請じゃないと困る。
        そうでないと「意識の低いワークフローでの案件」が成立しませんからね。
        意識の低い元受担当の皆様に、喜んで頂けておりました。

        意識の低さが嫌でそこから逃げ出しましたけど、

        # このDNPの対応が、結果的に
        # 「意識の低い元受担当と意識の低い下請を根絶する」
        # と言う事であれば喜ばしいと思いますが...。
        # そんな事は無いでしょうね。
        親コメント
  • by kyazuo (3932) on 2007年10月31日 17時54分 (#1242603)
    携帯電話を含むのかどうか気になりますね。
  • by Anonymous Coward on 2007年10月31日 13時53分 (#1242499)
    問題があればこの四人の内誰かってことでしょうか。もしくは全員?

    まじめな話、どうやって限定するのかが根本だと思うんですけどね。
    一般向けの報告書だからそこまで記述してないだけかもしらんけど。
    • Re:責任逃れ? (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2007年10月31日 22時34分 (#1242730)
      四人にくちなし
      親コメント
    • by Anonymous Coward
      >問題があればこの四人の内誰かってことでしょうか。もしくは全員?

      まず、4名になったと考えればその意味がいくつかあることに気づきます。

      ・一人ではないということ
       自分だけが何かをすることで不正が完結しづらい状況
      ・1社だけではないということ
       身内だけではないので、相互監視の働きを期待
      ・担当者が決められていること
       問題があった場合疑惑はまず自分を含む少人数にかかるということ

      一人で不正をするにも、社外の監視の目があり
      尚かつ、疑惑の対象となりやすくなるため
      不正を行うのに全員を抱き込む危険を冒すことがないようになっているのだと思います。

      問題があった場合、まずは個人ではなく会社が責任を負います。
      その会社の調査の結果、誰かのミスや意図的なと漏洩かとかが判明するのでしょう。
      とはいえ問題があったとき、担当者に対する追求は一般社員よりは強いでしょうね。

      まあそれが責任であり、仕事として個人情報を扱うということなのでしょうが。
  • by Anonymous Coward on 2007年10月31日 14時54分 (#1242532)
    一頃、バイクのU字ロックでも話題になった、容易に開錠出来るアノ鍵ではないのか? 無いよりはマシなのかも知れないけど。
    筐体からドライブを外す/ドライブが無いものに変更するのは無しなんだろうなぁ。

    # カメラ付携帯電話の持込み禁止は、当然過ぎるから記載しなかったんだよなぁ。
    • ポケットの無い作業着での入室義務、退室時の金属探知検査などを考えれば、恐らくそういったものの持込は
      禁止されているんだろうね。鍵については分からないが、監視カメラでの監視、ログの監視、前述の金属探知検査が
      あるので、実質的に何かするのは不可能じゃなかろうか。
      • by Anonymous Coward on 2007年11月01日 8時42分 (#1242903)
        ポケットのない作業着の強制や金属探知器なんてのは無意味です。
        入室できる人間が何かを持ち込もうなんて考えれば、いくらでも
        やり方はあります。

        USBメモリーを分解してみれば分かりますが、すごく小さい。
        USBメモリーで一番大きい部品はコネクタ部分です。
        口に入れてしまえば、歯の詰めモノと金属量はそんなに変わらないので
        反応もしないでしょう。

        ログの監視というのも防止には役に立ちません。
        あれは事後調査で使うだけです。

        コネクタや光学・磁気ドライブの接続部分を封印するのも最低限必要ですが、
        ケーブル部分も触れないようにテーブルに完全埋め込み、モニターも
        壁に埋め込むくらいにしないとダメでしょう。
        キーロガーや画面キャプチャーをする装置を取り付けられないように。

        USBなどを持ち込ませないのも大切ですが、持ち込んでも使えないように
        するのも必要ということです。

        やや過剰に思うかもしれませんが、大日本印刷の情報漏洩事件はヤフー事件の
        比ではないくらい重大な事件であり、情報漏洩された真の被害者の損害も
        大きなものだったことを考えれば、それぐらいの対策は講じるべきでしょう。

        親コメント
        • # コメントの流れからはズレるかも知れないけど

          昔、ちょっと妄想したネタ。

          ・見た目はただの USB マウス
          ・実は「USB ハブ(2ポート) + USB マウス」
          ・マウスのケーブルは実は USB ハブのケーブルで、マウス内部にハブが仕込んである
          (内部のハブからマウスに繋がっている)
          ・ハブのもう1つのポートには USB メモリが繋がっている
          ・マウスを繋いだだけに見えても、実は USB メモリも繋がっている
          ・USBメモリにデータコピーした後「マウスが壊れた」とか言って持ち出せば作戦完了

          ……あれ? USB マウスってハブ経由でも使えるんだっけ?
          • うちはUSB HUB経由でKB,マウスを繋いでいますが、問題は起きていないので、可能なはずです(妖精さんのおかげじゃない限り)。
            安定性が必要でバスパワーで電源を食うもの(シンセキーボード、複合型カードリーダ、オーディオインターフェイス、ペンタブなど)を優先的に直挿すると、必然的にマウスはHUBに追いやられてしまうんですよねぇ

            # 「そんなに繋ぐのはお前ぐらいだ」?
            # 失礼な、ただ、無理して一台に画像・動画処理とゲームとDTMぶちこんだだけですよ
            --
            openDoe-Ming Ver.0.72.9beta
            親コメント
      • あとはソーシャルアタックとか。
        付込まれそうな事実(多額の借金とか)が判明した時点で任を解く/別部署へ異動するのは労基法的にOKなんでしたっけ?

        # でも、そう云う事実(家族を含む)を抱えてる本人が認める訳ないしなぁ。
  • by Anonymous Coward on 2007年11月01日 12時48分 (#1243057)
    「うちはもっとこんな強固な対応でやってるぜ~」

    って投稿が一切無いってことは、これくらいが民間での限度ってことなんですかね。

    これでも事故が起きるならそもそも「個人情報を受託するビジネス」ってモノ自体が成り立たないモノだったって事なのかな。DMとか料金明細は各社が自前でこんなプリンタ [srad.jp]入れる時代が来るのかな?
typodupeerror

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

読み込み中...