テレワークに伴う個人情報漏えい事案に関する注意事項
令和２年9月23日
個人情報保護委員会事務局
個人情報保護委員会事務局
新型コロナウイルスの影響でテレワークの利用が広がる中で、当委員会が実際に確認した個人情報漏えい事案の個別事例をご紹介します。個人情報取扱事業者の皆様には発生した内容と考えられる対策を参考にしていただきたいと思います。
事例１
テレワーク中の社員がSNSで知り合った第三者からウイルスが添付された電子メールを受領したことがきっかけでPCがウイルスに感染し、出勤時にそのPCを社内ネットワークに接続したことで、社内システムの情報が外部に漏えいした事例
- 攻撃手法のイメージ図
- 対策例
- テレワーク環境ではVPN機器(*3)へ接続しない限りインターネットを利用できない仕組みを導入することで社内と同等のセキュリティ対策を適用する。 (*3 インターネット上に安全なセキュリティ経路を作るためのネットワーク装置)
- 少しでも不審に感じたメールに添付されているファイルやリンクは絶対にクリックしない、テレワークの場合でも一人で判断せず誰かに相談する等、従業員の方のセキュリティに対する意識を高める。
- テレワーク特有の職場とは異なる環境に則したセキュリティ確保のためのルールや相談体制を整備する。
事例２
脆弱性があるVPN機器への不正アクセスにより社員の認証情報等が外部に漏えいした事例
- 攻撃手法のイメージ図
- 対策例
- 利用システムは稼働する前にソフトウェア・セキュリティプログラムのアップデートを行う等、セキュリティの検証を十分に行う。
- VPN機器経由にてリモート環境から社内システムへアクセスする際には、多要素認証を導入することで、万が一IDとパスワードが漏えいした場合であっても、なりすましによる不正アクセス被害を防ぐ。