九電子会社紛失の記憶媒体、暗号化やパスワード保護なし　施錠も不徹底

九州電力傘下の九州電力送配電（福岡市中央区）が最大1090万口分の顧客情報を保存した外部記憶媒体を紛失した問題で、保存データに暗号化とパスワード保護のいずれも施していなかったことが、九州電力への取材で明らかになった。紛失した記憶媒体は外部SSDとみられる。

九州電力は暗号化やパスワード保護を施さなかった理由について、「サーバ室は多重の入退室管理が行われており、限られた人しか立ち入れないため、セキュリティは担保されているとの認識だった」と説明。「当該データはサーバから直接抽出した文字列のデータであり、データの仕様などが分からないと読み解くのは難しい」とも回答した。

保管方法については、外部記憶媒体を鍵付きキャビネットで保管する運用を始める際、九州電力送配電の社員と委託先社員が現場で口頭合意していたとしている。ただ、「キャビネットの施錠まで明確に指示できていなかった」という。

社内ルールでは業務・データの重要度に応じた対策が必要とされており、今回のケースについて「多重の入退室管理が施されているサーバ室内に保管することで、持ち出し・盗難を防ぐ対策は妥当と判断していた」と説明。ただ、今回の事態を受け、管理方法を見直す方針だ。

最終所在確認の4月27日から所在不明が判明した5月26日までの間に、サーバ室に入退室した人物は57人。全員が委託先の社員で、九州電力送配電の社員は含まれていない。委託先は10社にわたるという。

誤廃棄の可能性についても質問したところ、関係箇所の捜索や関係者への聞き取りに加え、誤って廃棄された可能性も調査したが、現時点では発見に至っていないと回答した。