今回はそんな課題にぶち当たった際の原因を特定し、解決するための方法を紹介します。
wsl上のLinuxでpingやapt updateできなくなる。
例えばgoogleへのpingが返ってこない。
apt updateするとTemporary failureが起きる。
wsl2ではDNSサーバの設定であるresolv.confが自動的に生成される。なのでこの設定を変更する。
wslコマンドでログインする。制御をするためのファイル（/etc/wsl.conf）を作る。
中身を次のようにする。
別のpowershellを立ち上げてwslをシャットダウンさせる。
WSL2を起動して/etc/resolv.confを書き換える。
中身を書き換える。
これでDNSサーバの設定ができドメイン名が解決できるようになる。
個人情報保護委員会は、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）に基づき、株式会社 NTT ドコモ及び株式会社 NTTネクシアに対し、令和６年２月 15 日に個人情報保護法第 147 条に基づく指導等を行いましたので、お知らせいたします。
ドコモ社は、自社インターネットサービス等に関する事業について、サービス・商品の提案等を行うため、個人データを取り扱っている。
ドコモ社は、これらの事業に関し、ネクシア社に対し、電話営業用の顧客情報管理（以下「本件業務」という。）を含む業務を委託していたところ、ネクシア社の派遣社員であった者（以下「Ｘ」という。）が、令和５年３月 30 日、顧客情報管理のために業務上使用する PC（以下「本件 PC」という。）から、個人契約するクラウドサービスに無断でアクセスし、合計約 596 万人分の個人データ（以下「本件個人データ」という。）を同クラウドサービスへアップロードすることにより、外部に流出させ、漏えいのおそれが発生した。
本件業務は、令和４年７月、ドコモ社が株式会社 NTT ぷらら（以下「ぷらら社」という。）を吸収合併したことにより、ドコモ社が事業を承継したものであるところ、本件業務に関するネットワーク等の執務環境（本件 PC を含む。）については、以下の①及び②のような、ドコモ社が定めた情報管理規程に一部適合しない事項（以下「基準不適合事項」という。）が存在した。
① 顧客情報を取り扱う場合は専用の PC を利用し、顧客情報を取り扱う PC においてはインターネット及びメールの利用が制限される必要があるが、これらの制限が実施されていなかった。
② 顧客情報（ファイルシステム及びデータベース）の暗号化が必要であるところ、これが行われていなかった。
このように、ドコモ社及びネクシア社においては、大量の顧客の個人データを取り扱っていたにもかかわらず、ドコモ社がぷらら社を吸収合併した後、半年以上も、基準不適合事項のリスクが存在する状況下で、追加的運用ルールが徹底されず、本件漏えいのおそれが発生した。
ドコモ社では、情報管理規程で定めるところにより、顧客の個人データを取り扱う場合はインターネット及びメールの利用が制限された専用の PC を利用することとし、インターネット及びメールを利用する PC とは取扱区域を分けて管理するルールであった。
しかし、本件 PC は、個人データを取り扱うにもかかわらずインターネット及びメール利用の制限がなされておらず、当時の物理的安全管理措置（個人データを取り扱う区域の管理）は十分な状態とはいえなかった。
ドコモ社は、前記ア及びイの物理的安全管理措置及び技術的安全管理措置に関する問題点について、前記２．(2)のとおり、組織的安全管理措置の徹底により総合的なリスクを低減させる方針を決定したものであるから、この決定に従った運用が実際に徹底されることが重要である。
ドコモ社は、物理的安全管理措置及び技術的安全管理措置が一部不十分な状況に対して、追加的運用ルールを規定し運用していたところ、本件業務における同運用確保のための取組では、日次で行わせる自主点検の結果を月次で確認することで、確実に徹底されていることを確認することとしていた。
しかし、上記取組では、自主点検において虚偽の申告が含まれないことを前提としているため、意図的に追加的運用ルールに反したＸの取扱いは是正できず、また、自主点検結果の月次の確認では、いつ行われるか予測できない私的なインターネット接続を即時で検知できないものである。したがって、ドコモ社においては、個人データの取扱いに係る規律に従った運用に問題があり、組織的安全管理措置の不備があったものと言わざるを得ない。
法第 23 条は、「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」と規定している。しかしながら、ネクシア社では、個人情報等の取扱いについて、以下の問題点が認められた。
ネクシア社では、派遣社員であるＸを含む従業者に、情報セキュリティ遵守のため機密保持に関する誓約書を提出させ、また、情報セキュリティ研修の実施を行っていたものの、情報セキュリティ研修では、一般的な情報セキュリティの考え方及び法の令和２年改正部分を紹介するにとどまっており、大量の顧客データを管理する事業者における研修としては十分とはいえず、結果としてＸによる本件漏えいのおそれの発生を防止するに至らなかった。
したがって、ネクシア社における従業者の教育は、従業者が適切な情報セキュリティの確保や個人データの適正な取扱いの重要性に関する認識を醸成するには不十分な内容であったと言わざるを得ず、人的安全管理措置の不備が認められる。
 |
| IHG：ジョージ・ターナー氏 |
当国保組合の静岡県支部では、組合員の皆様の情報を管理するための台帳を毎年作成しており、その印刷・製本を外部業者に委託しております。
令和６年１月２６日、例年と同様に台帳作成用データの授受作業に取り掛かろうとした際、毎年使用しているＵＳＢメモリ（１本）が支部事務所内の所定の場所に保管されていないことが判明しました。（前年の委託時から最大約１年間紛失の状態が続いていたと思われます。）
その後、支部事務所内及び外部業者などをくまなく捜索しましたが、発見できておりません。
なお、現在までに情報の外部流出による被害は確認されておりません。
静岡県支部の被保険者（組合員及びご家族）の情報のうち、「氏名」、「郵便番号」、「住所」、「生年月日」、「電話番号」、「当国保組合の資格取得日」、「当該支部内での管理番号」。（３，７７５件）
※口座番号や、健康保険を使用した履歴や病歴などの情報は入っておりません。
当該ＵＳＢメモリに保存されたデータには、高度な暗号化及び複雑なパスワード設定による漏えい防止策が施されています。
今回については、ＵＳＢメモリの受け渡し記録及びＵＳＢメモリの管理体制が不十分であったことが原因です。以下の対応を行い、再発防止に努めます。
○個人情報を含むＵＳＢメモリ等の授受の際は、必ず複数人で確認し、日付・用途・ 担当者・先方の担当者等を記録し、所定の場所にＵＳＢメモリ等が正しく格納されているか定期的に確認することを徹底する。
○授受の際は必ず受領書を発行し、互いに押印し原本と写しを双方で保管することを徹底する。
○高度な暗号化及び複雑なパスワードの設定を引き続き徹底する。
静岡県支部の関係者の皆様には、ご迷惑とご心配をおかけする結果となりましたことを深くお詫び申し上げるとともに、再発防止に努めてまいります。
現在、該当する組合員へお知らせする準備を進めています。
この度、当社ファイルサーバーへのウイルス感染により、検体検査の遅延が発生し、大変ご迷惑をお掛けしましたことを深くお詫び申し上げます。これまでに判明している経緯と対応につきまして、以下の通りお知らせいたします。
① 8：20 頃 サーバー障害を確認② 8：45 頃 サーバーへのウイルス感染を確認③ 8：50 頃 ネットワーク遮断④ 9：00 頃 管理会社への支援要請⑤ 10：00 頃 影響範囲の確認と特定および対策・復旧対応開始
現在、検査業務については平常に戻り結果報告の遅延はありません。ランサムウェア感染に関しては、所轄警察署ならびに第三者機関の個人情報保護委員会、プライバシーマーク審査機関への報告を済ませております。
更に、ウイルス感染したサーバーを外部機関に解析調査依頼し、被害状況や情報漏洩度など詳細な解明を行い、恒久的対策を検討してまいります。
現時点においては個人情報の流出は確認されておりませんが、流出の完全否定は出来ておりませんので、引き続き調査を進めてまいります。
