徳島県が、住民基本台帳ネットワーク(住基ネット)の操作履歴を記録した外付けHDD2台を紛失したと8月10日に公表した。氏名・住所・生年月日・個人番号などにあたる個人情報は延べ約46万件(うち個人番号を含むものが約18万件)、記録期間は2013年末から2025年12月までの12年分に及ぶ。県は最終的に、HDDは誤ってリサイクル業者へ渡り、物理的に破砕された可能性が極めて高いと結論づけた。
46万件
記録されていた個人情報(延べ)
18万件
うち個人番号を含む件数
12年分
操作履歴の記録期間
承認なき再委託が生んだ空白 #
HDDは機器更改に伴い5月21日、リース会社のNECキャピタルソリューションへ返却された。同社はデータ消去業務をさらに別の事業者(川上キカイ)へ再委託していたが、この再委託は県の承認手続きを経ていなかった。川上キカイの保管施設で管理されていたHDDは、6月23日の数量確認で所在不明と判明。防犯カメラ映像の精査や関係者ヒアリングを行ったが外部からの持ち出しの痕跡はなく、誤ってリサイクル対象に混入し破砕されたとの結論に至った。
1. 返却
徳島県がリース会社へHDD2台を返却(5/21)。
2. 無承認の再委託
県の承認を経ずデータ消去業務を再委託先へ丸投げ。
3. 所在不明
再委託先の保管施設で数量確認時に発見できず(6/23)。
4. 誤破砕の疑い
リサイクル対象へ誤って混入、物理破砕された可能性大。
「委託の委託」が監査の目を逃れる典型例 #
この事案は不正アクセスではなく、委託先管理の破綻という地味だが根深い問題を浮き彫りにする。データ消去の外部委託自体は一般的な運用だが、再委託の承認プロセスが機能しなければ、監査の目が届かない「空白地帯」が生まれる。個人番号を含む媒体である以上、シリアル番号による個体管理や chain of custody(受け渡し記録)の徹底、再委託の事前届出義務化といった対策が不可欠だ。クラウド移行が進む一方で、物理媒体の"最後の1マイル"管理は依然としてアナログな人的プロセスに依存しており、そこが最大の弱点であり続けている。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。