神奈川県庁のデータ流出事件

神奈川県庁のデータ流出事件が発生しました。

TVでも大々的にやっているので、細かいとことは省きます。

事件を実際に起こしたのは、ブロードリンク社の社員です。

発覚したのは、該当社員からYahooオークションで、HDDを落札した人が、HDDの中身を復旧したところ神奈川県庁のデータが見つかり、連絡してくれたとのこと。HDDのデータ普及する時点で、普通の人ではなくSE系の方だと思いますが、知らせた上に神奈川県庁へ返却したという素晴らしい人ですね。

HDDのデータは、本で例えると「目次」と「本文」に分かれて管理されています。

皆さんが、PCでデータを消すという行為は「目次」を消しているだけです。「本文」はそのまま残っているので、目次を作り直せば、データの復旧が可能です。

そのため、データ消去を確実にする場合は、専用のソフトを使って、全データ領域に0や乱数を上書きするか、物理破壊するかなどの対応が必要です。かなりの専門業者であれば、上記の消去方法でも一部復旧する余地があったりします。それくらいデータの完全消去は難しい問題です。

この事件が、何故発生したのかは、正直、ブロードリンク社の管理体制が杜撰すぎます。

以下が、ブロードリンク社のセキュリティ対策です。

1. 指紋認証ならびにカード認証によるデータ消去室の入退室管理
2. 誰がどの扉に何時何分に入退出しかたをログデータとして記録
3. 各所に設置した24時間監視のカメラ
4. 仕入れたパソコン類にバーコードを添付し、入荷からデータ消去までをトレース
5. データ消去作業室からモノを持ち出せないように手荷物検査を実施
6. データ消去作業室のドアは1分間開けっ放しになるとブザーが鳴動
7. 入室時のユニフォームはポケットを縫い付けるなどの盗難防止体制

一見、そこそこの対策をしてそうです。

ただ、大きな問題点は以下の3点です。

1. 入退出ログは記録しているが、何か問題がない限りチェックしない。
2. 手荷物検査も正社員には不定期かつ、鞄の中身を見る程度で形骸化。
3. 担当者に物品を渡すまでは管理しているが、作業後のチェックはなし。

容疑者は、朝の早い時間に消去室に入室して物品をもちだしていたようで、完全にこの3点のスキを狙って犯行をしています。

こういった重要データを管理する場所（データセンターなど）であれば、金属探知機のゲートや手荷物検査用のゲート（空港にあるようなもの）があります。また、入室目的の申請、申請作業の前後の記録、最後は入退出のログと作業記録の突合で、不審な入退出がないか整合性のチェックを第三者がしています。

まぁ、大抵ニュースになるようなセキュリティ系の事件は、内部犯ですね。外部から侵入して、データを盗むのは、そこそこハードルが高いですが、内部だとかなり簡単だったりします。社員を信用していると聞こえはいいですが、こういった重大事件になると信用だけでは難しいのでは考えさせられます。