“プライバシーマーク認証団体”が情報漏えい 審査員が個人PCで書類保存、約3年間外部から丸見えに

個人情報の取り扱い体制について評価・認証する「プライバシーマーク制度」（Pマーク制度）を運営する日本情報経済社会推進協会（JIPDEC）は11月13日、8月に発表したPマークの審査関連書類が漏えいした事案について、調査結果を発表した。 8月8日、Pマークを取得した事業者1社から「ネット上でPマークの審査関連資料と思われるファイルが閲覧可能となっている」と連絡を受け、事態が発覚した。調査を行ったところ、Pマーク審査員1人が個人所有のPCに廃棄すべき審査関連書類を保存して持ち帰っていたことが明らかに。資料を保管していたNAS（Network-Attached Storage）に適切なセキュリティ対策がなされておらず、ネット上で閲覧できる状態になっていた。 その後の調査では、この1件以外にも最大888社の審査関連情報と審査員名簿が漏えいした可能性があることも判明。さらに、この審査員が2005年1

[sny22015]

プライバシーマークの価値がモンドセレクション並みになってしまった

[n-styles]

李下に冠を正さずだ。大日本印刷がやらかしたときに「認定を取り消すと市場シェアが圧倒的で影響がでかすぎるから取り消さない」というショボい采配をしたせいで全く価値がなくなったPマークさん。

[oktnzm]

（李下に冠～じゃなくて、そこは紺屋の白袴とかでは・・・）

[whkr]

プライバシーマーク取ってたベネッセも3千万件流出させてたし、もう廃止でいいんじゃないかな。

[JULY]

タイトルだけ見ると「なんで個人 PC 上のファイルが、３年間も継続的に外部から丸見え？」と思ったら、それを（明確な書き方をしてないけど）個人の NAS に置いてた、ということらしい。ちょっと救いようがないなぁ。

[snare_micchan]

今はISMS（ISO27001）という上位互換のほうが定着してるよね。Pマークは存在意義があまり…

[thekoruku]

むしろこのマーク持ってる企業のほうがやばいってなりそう

[kibitaki]

piyokangoさん待ち／今さら審査員のプライバシー守ってんじゃねーぞ／Pマーク審査員はPマーク基準のことしてなかったし、JIPDECは「事前許可を取れば、個人所有PCでのPマーク審査の一部業務を行うことを認めていた」ガバい

[everybodyelse]

めっちゃワロタ/ なんか最近どこもプライバシーマーク取ってないよね。コストがかかるだけであんま意味ないって思い始めてる。

[hobbiel55]

この審査員が在籍している間に審査した企業のPマークは一回取り消して審査しなおすべきでは。当然、協会が対応する企業の人件費とかも負担してさ。

[poad1010]

この記事をおすすめしました

[pmakino]

「NASに適切なセキュリティ対策がなされておらず、ネット上で閲覧できる状態に」<対策もなにもデフォルトでは外部閲覧不可では。外部からアクセスできるようにする機能もあるが、どう設定を誤ると公開状態に…?

[nilab]

「Pマーク審査員1人が個人所有のPCに廃棄すべき審査関連書類を保存して持ち帰っていた」「資料を保管していたNAS（Network-Attached Storage）に適切なセキュリティ対策がなされておらず、ネット上で閲覧できる状態に」

[abstruct3431]

プライバシー（を漏洩された人の）マーク、か。さっすが天下り企業、やることがひと味もふた味も違う

[MzdA0w73tg]

もうさ、分かってたことだけどこのマークに何の意味も無いよね

[yu_fuk]

一言「ダメじゃん」

[rryu]

さすがにもうこれはPマーク終了と言わざるをえないのでは…

[mas-higa]

元々プライバシーマークは情報漏洩した企業を取締ったりする仕組みじゃないからねぇ

[csal8040]

“個人情報の取り扱い体制について評価・認証する「プライバシーマーク制度」（Pマーク制度）を運営する日本情報経済社会推進協会（JIPDEC）は11月13日、8月に発表したPマークの審査関連書類が漏えいした事案について、

[for-my-internet-demo]

”今回の件の発覚後、該当審査員への審査業務の委託を停止し、11月9日付で審査員資格を取り消した。”

[daybeforeyesterday]

うーむ

[torish]

“JIPDECでは事前許可を取れば、個人所有PCでのPマーク審査の一部業務を行うことを認めていた。” ん？！

[trace22]

認証の社会的価値を毀損したとして取得企業から怒られるべき

[U2400]

プライバシーを人質にした寄生虫企業。

[ysync]

相手が上手な事もある攻撃にやられた以前のおっぴろげではねぇ。プライベートクラウド（）とか言って、外から自宅のnas見れるようにでもしてたん？にしても鍵くらいはかけるだろ。

[sun330]

プライバシーマーク取得企業内にいるけど、むちゃくちゃ社内のセキュリティ対応厳しい。会社によるのでは。認証団体の不祥事は別のこと。大変だから返上したって会社がそもそも危ないと思う。

[mako_cheng]

いい加減この無駄な団体解散してほしい

[nisisinjuku]

審査員の情報漏洩か。審査先の情報でなくてよかったですね。（でいいのかな？）⇒なんとなく、更新の意義が微妙になってきましたね。

[dekaino]

規制を所管する官庁や近い団体・個人がすすんで当該規制ルールを無視・違反するのは日本の規制行政に特有の慣習・お役所仕草だゾ。法務省外局の出入国在留管理庁が人権無視したり、法務副大臣が税滞納したりな。

[quality1]

Pマークがガバガバ審査なのは知ってたが、中もこうなってるとは…

[Futaro99]

Pマーク維持し続けるのも面倒くさいから廃止されないかなー

[deep_one]

みんな間違ってるが「プライバシーマークすら取れない業者はやばい」っていう評価であって、「プライバシーマークを持っているから安心」ではないのだ。ぶっちゃけ入札要件だから取るだけだな。

[sin20xx]

認定審査の企業側での対応も担当していたけども、ぶっちゃけ審査員の知識量も経験値も現場の人間以下のレベルなのでいわゆる教科書通りの回答する事しか求められないし、それ以外の対応しても審査員に理解ができない

[kz14]

「少なくとも3種類のランサムウェア攻撃を受け」クッソ無能過ぎない？

[sawarabi0130]

行政の認証が無意味なのはみんな知ってた。特にくるみんはブラック企業の証みたいになっている。廃止よりザル監査をなんとかするのが筋。

[hardt]

うちもプライバシーマーク取ってたけど担当役員が「氏名は個人情報じゃない」と言っててマジで駄目そうだった

[hobo_king]

所詮は単なる利権団体に過ぎないという事を自ら積極的に外部にアピールしていくスタイル。馬鹿すぎるから永久に解散しろ解散。

[gonai]

JIPDECはPマーク認証を受けていないのでは？

[hagakuress]

ただの既得権団体だよ。日本らしいよね。

[circled]

デジタル庁に突撃した個人情報保護委員会、今度はプライバシーマークの一般財団法人日本情報経済社会推進協会に突撃しなけりゃなりませんね？