ベネッセ事件 「過信」兆候見逃す 対策限界「悪意持つ内部者現れたら…」 （産経新聞） - Yahoo!ニュース

通信教育のリーディングカンパニーの目を曇らせていたのは、「過信」だったのかもしれない。通信教育大手「ベネッセコーポレーション」は、自社の情報管理を妄信し、一人の社員が子供の個人情報を約１年もの間、大量に流出させ続けていたのに気付くことはなかった。 「昨年７月からやった」。流出発覚後、ベネッセの社内調査に対する松崎正臣容疑者（３９）の説明にベネッセ幹部は耳を疑った。ベネッセには数千万件の顧客情報を、デジタル、アナログの両面から徹底して守り抜いている自負があった。 「反応しない…」。警視庁生活経済課の捜査員は、松崎容疑者が顧客情報データベース（ＤＢ）へのアクセスに使っていた貸与パソコンに試しに私物の記録媒体を差してみたが、最低限のセキュリティーは確かに作動していた。 だが、松崎容疑者は偶然にセキュリティーの欠陥を発見、スマートフォン（高機能携帯電話）を使って顧客情報を毎月１〜２回、大量に

[daruyanagi]

「過信」なんかじゃなくて、システムさえ導入すればあとは「無関心」なのがダメなのでは。それは「怠惰」でしかないような

[nakakzs]

つーより、「絶対的なセキュリティなんぞ存在しない」ってことを上が認識していないのだったら、どんな対策してもそのうち起こりうるんじゃないかと。担当者が借金苦にやる可能性もあるし。

[tsupo]

顧客情報にベネッセ関係者名義で特殊な住所のダミー情報を混在させ、ダイレクトメールなどが届けば顧客情報の流出に気付ける仕組みも採用したが、機能しなかった。名簿業者は「ダミーと思われるものを省くのは常識」

[mahal]

この手の保安業務のインセンティブ設計って本当に難しいよな。「流出しないのが当たり前」的な意識では改善活動自体嫌がられるし、逆にネズミ捕り的に現場にケチつけることで評価稼ぐ構図は組織のSAN値落としそうで。

[houyhnhm]

ハードウェアの対処だけしてソフトウェアズル剝けだったでしょ、これ。

[IGA-OS]

今後はデータベースのアクセスは制限される。それを理解しない上層部がデータを明日までに出せとか吠え出して担当者が板挟み。

[hatayasan]

「悪意を持つ内部関係者が現れれば情報は守れない。うちもいつ、たがが緩むか…」

[mkusunok]

だからちゃんと処遇しないとね「悪意を持つ内部関係者が現れれば情報は守れない。うちもいつ、たがが緩むか…」

[tetsutalow]

“貸与パソコンに試しに私物の記録媒体を差してみたが”まてまてまてホントかこれ