英国情報コミッショナー事務局が建設会社にセキュリティ義務違反で440万ポンドの罰金を科す

ハントン・アンドリュース・カースLLP(Hunton Andrews Kurth LLP)法律事務所の投稿記事によると、 2022年10月24日、英国の個人情報保護機関である情報コミッショナー事務局(「ICO」という)は、2019年3月から2020年12月までの期間、EU一般データ保護規則(「GDPR」)の第5条(1)(f)および第32条(注)に違反し､従業員の個人データを安全に保管しなかったとして、インターサーブ・グループ・リミテッド(Interserve Group Limited、以下“Interserve”という)に440万ポンド(約7億4,800万円))の罰金を科した。ICOは、このような違反により、2020年3月から2020年5月の間に発生したサイバー攻撃に対してInterserve自体が脆弱になり、最大113,000人のInterserve従業員の個人データに影響を与えたと判断した。侵害されたデータには、連絡先の詳細、国民保険番号、銀行口座の詳細、民族的出自、宗教、身体障害の詳細、性的指向、健康情報などの特別なカテゴリのデータが含まれていた。

わが国でもニトリ、イトーヨーカドー等大量の顧客情報漏洩事件が跡を絶たない。日経新聞記事から一部抜粋

同様なグローバル・スタンダードとなりつつあるGDPR違反行為が判明したときに、わが国の法執行機関や法務省等法執行機関は如何なる制裁行為を取るであろうか。特に、今回の事案では被害者は従業員である。

以下、投稿記事を仮訳する。

個人データ侵害の最初の原因は、Interserveのシステムによって隔離またはブロックされていない従業員に送信されたフィッシング・メールであった。この電子メールは、コンテンツを表示およびダウンロードした別の従業員に転送され、その結果、従業員のワークステーションにマルウェアがインストールされた。Interserveのアンチウイルスはマルウェアを隔離してアラートを送信したが、攻撃者はInterserveのシステムにアクセスできたが、ICOはInterserveが攻撃者の活動内容を徹底的に調査していれば、このような被害は起こらなかったと判断した。

ICOの調査では、Interserveが疑わしい活動に基づくアラートのフォローアップに失敗し、古いソフトウェアシステムとプロトコルを見直さず導入し、かつ適切なスタッフ・トレーニングと不十分なリスク評価が不足していたため、最終的にサイバー攻撃にさらされ、脆弱になったことが判明した。

罰金に関する声明で、英国情報コミッショナーのジョン・エドワーズ（John Edwards）氏

John Edwards氏(Wikipediaから引用 )

は、他の企業・組織に対し次のメッセージを伝えた。「企業が直面する最大のサイバーリスクは、社外のハッカーからではなく、社内の自己満足からである。あなたのビジネスがシステム内の疑わしい活動を定期的に監視しておらず、専門家の警告に従わなかったり、ソフトウェアを更新せず、スタッフにトレーニングを提供しなかったりした場合、あなたのオフィスに同様の罰金が科せられる。

この点でICOは、人々のデータをよりよく保護するために、企業・組織は(1)疑わしいサイバー活動を定期的に監視し、最初の警告を調査する必要がある。(2)常にソフトウェアを更新し、古いプラットフォームまたは未使用のプラットフォームを削除する。(3)定期的なスタッフ・トレーニングを提供し、十分安全なパスワードと多要素認証の採用を奨励する。(4)厳格なプランバシー・ポリシーと安全なデータ管理システムを更新すべきである。」と述べている。

*********************************************************

(注) わが国の個人情報保護委員会のGDPRの仮訳から抜粋する。

第5 条個人データの取扱いと関連する基本原則

個人データは・・・

(f) 無権限による取扱い若しくは違法な取扱いに対して、並びに、偶発的な喪失、破壊又は損壊に対して、適切な技術上又は組織上の措置を用いて行われる保護を含め、個人データの適切な安全性を確保する態様により、取扱われる。（「完全性及び機密性」

第32 条取扱いの安全性

最新技術、実装費用、取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者及び処理者は、リスクに適切に対応する一定のレベルの安全性を確保するために、特に、以下のものを含め、適切な技術上及び組織上の措置をしかるべく実装する。

(a) 個人データの仮名化又は暗号化；

(b) 取扱システム及び取扱サービスの現在の機密性、完全性、可用性及び回復性を確保する能力；

(d) 取扱いの安全性を確保するための技術上及び組織上の措置の有効性の定期的なテスト、評価及び評定

のための手順。

安全性の適切なレベルを評価する際、取扱いによって示されるリスク、特に、送信され、記録保存され、又は、それ以外の取扱いがなされる個人データの、偶発的又は違法な、破壊、喪失、改変、無権限の開示、又は、アクセスから生ずるリスクを特に考慮に入れる。
第40 条で定める行動規範又は第42 条で定める承認された認証メカニズムに忠実であることは、本条第1 項に定める要件の遵守を説明するための要素として用いることができる。
管理者及び処理者は、管理者又は処理者の権限の下で行動し、個人データにアクセスする自然人が、管理者の指示に基づく場合を除き、EU 法又は加盟国の国内法によってそのようにすることを求められない限り、その個人データを取扱わないことを確保するための手立てを講ずる。

***********************************************: