サイバーセキュリティ対策・人材育成

アフラック生命保険株式会社とチューリッヒ保険会社は2023年1月10日、外部委託事業者のサーバーが第三者による不正アクセスを受け、両社が保有する保険加入者および過去加入者最大208万931名の個人情報が流出したと明らかにしました。

説明によると両社が委託していたのは米国の外部事業者で、管理するサーバーが2022年1月7日以降、不正アクセスを受けた可能性が浮上しています。両社が事実を把握したのは2023年1月9日のことで、海外の個人情報リークサイトに保険加入者の個人情報が掲載されているとの情報があり、同社らが調査したところ、事実であると判明しました。

流出対象となったのは、アフラック社のがん保険加入者最大約135万人、チューリッヒ社の自動車保険契約または過去契約者最大約75万人です。流出項目は姓や性別、生年月日や保険情報など、各社が保有する個人情報の一部とのこと。

両社は現在、詳細は明らかにすべく調査を継続しています。被害が懸念されるユーザーについては個別に連絡するほか、アフラック社は対象事業者のサーバーから個人情報の削除確認を発表しています。

建設連合組合健康保険組合は2024年2月9日、組合静岡支部にて管理する被保険者の個人情報3,775件が記録されたUSBメモリを紛失したと明らかにしました。

USBメモリには連合が毎年作成する台帳用のでーあが記録されていました。ところが2024年1月26日、静岡支部の担当者が台帳作成に取り掛かろうとした際、USBメモリが所在不明になっていることが判明。組合は発覚後、事務所内外の徹底的な捜索を行いましたが、USBメモリは見つかっていません。

建設連合国民健康保険組合によると、紛失したUSBメモリには「氏名」、「郵便番号」、「住所」、「生年月日」、「電話番号」、「当国保組合の資格取得日」、「当該支部内での管理番号」などの情報が含まれていたことがわかっています。ただし、USBメモリには高度な暗号化と複雑なパスワード設定による漏洩防止策が実施されており、公表時点で外部流出は確認されていないとのこと。

組合は再発防止策として、USBメモリ授受において複数名での確認、使用履歴の記録、保管状況の定期的な確認、外部事業者受け渡し時の受領証作成を徹底すると発表。再発防止に努めるとしています。

全国各自治体にサイバーセキュリティに関する基本方針の作成と公表を義務付ける案を総務省がまとめ、地方自治法改正案に盛り込むことが明らかになりました。

総務省が今回の法改正で目指すのは、策定や公表を義務化することで現況を改め、各自治体のサイバーセキュリティ基準を高めることです。

各種サイバーリスクへの対策やインシデント発生時の対応方針に加え、組織や職員の遵守事項などを明記するよう、ガイドラインの導入も検討しているとのこと。期限は2026年4月になる見通しで、既に策定している自治体にも見直しを促すとのことです。
義務化の背景にあるのは、サイバー攻撃における顕著な複雑化・巧妙化です。自治体や関連組織を対象にしたサイバー攻撃も多くあり、2021年には町立半田病院がランサムウェアに感染した結果、業務に支障をきたすレベル障害が発生するなど、大きな被害例も確認されています。