キーロガー名誉回復のチャンス？

NTTドコモから約25000人分の個人情報が流出した。流出したデータは社外からの閲覧が不可能で、本社のセキュリティルーム内に設置された、限られた社員らしかアクセスできない専用端末から関係者が情報を持ち出された可能性が高いそうだ。アクセス権限があったのは約250人ということなので、社内的には遠からず犯人は特定されるだろう。犯人はまたえらくリスクを背負って個人情報を持ち出したものだ。リスクに見合った見返りが得られるとは到底思えないのだが…。

犯人の動機はともかく、ある程度まとまった個人情報の流出には内部者が関与していることが多いことと、4月1日から個人情報保護法が本格施行されることを考えると、個人情報を保有する企業は、内部者による個人情報持ち出しに対する防衛手段を相当厳重にしておく必要がありそうだ。そうしてみると、今年年頭に日立が発表した業務用PC全廃というのは、多少のパフォーマンス低下は甘受するとして、ある程度現実的な対応策なのかもしれない。

ただ今回の事件で思うのは、アクセス権限を持つ者が約250人とはいえ、犯人を特定するためには相当な関係者にヒアリング（尋問）を行う必要があるだろうということ。セキュリティルームには防犯カメラが設置されていたというし、専用端末へのアクセスログも残っているだろうから、専用端末を使った人間はすぐ特定できるはず。しかし、その中の誰が実際にデータを持って行ったかはログからは特定できないと思われる（今回流出した情報が単独のファイルで存在し、ファイルへのアクセスログも残っていれば話は別だが）。

そう考えると、顧客情報のような重要情報を含むファイルについてはファイルへのアクセスログだけでなく、ファイルにアクセスした者がどのような操作を行ったかも記録しておくのが、不正をもくろむ内部者に対する心理的抑止力も含めた効果的な防衛手段のようだ。最近は個人情報の窃盗ツールとしてすっかり悪名が定着してしまったキーロガーだが、個人情報漏洩防止ツールとして名誉回復できるチャンスかもしれない。個人的にはキー操作まで監視されるのはちょっとなぁとは思うが…。

［追記（2月16日）］
やはり、日立は外販することにしたようだ。
パソコン「全廃」で情報漏れ防止、日立がシステム外販（NIKKEI NET）


［関連記事］
日立、業務用パソコン全廃へ（2005年1月3日）