リース契約満了により返却したハードディスクの盗難及び再発防止策等について

神奈川県ホームページより

【以下、令和2年4月1日現在】

県が富士通リース株式会社横浜支店とのリース契約満了に伴い返却したサーバーから、県のハードディスクが盗まれたことが判明したのでお知らせします。

県民の皆様に不安を与え、県への信頼を揺るがすものであり、誠に遺憾であるとともに、皆様に、深くお詫びいたします。

なお、外部に出てしまったハードディスク18本は、12月21日までに全て回収し、12月27日には、情報提供者（A氏）により復元されたデータがすべて消去されたと仲介者から県に連絡がありました。

また、再発防止策の検討チームを12月16日に発足し、再発防止策検討会議での検討を重ね、1月27日に情報流出防止策を決定しました。現在、具体的な対策の実施方法などについて、引き続き検討を進めています。

経過

令和元年11月26日（火曜）夕刻、県の情報と思われる電子データを持っているという方（以下「A氏」と表記）の仲介者から、県のデータで正しいか確認してほしいとの連絡があり、翌11月27日（水曜）に電子データの内容を確認したところ、公開情報や内部資料などが多く確認されたが、一部個人情報や重要情報も含む県の内部情報と思われるものが確認できた。

A氏は、オークションサイトから購入した中古のハードディスク9本について、データ復元ソフトウェアを使用したところ、一部データが復元できたとのことで、A氏から任意で提供されたハードディスク1本のシリアルナンバー（個体番号）が、県から富士通リース株式会社横浜支店（以下「富士通リース」と表記）に返却したものと一致したため、県のハードディスクが外部に出たものと認め、同社に対し事実確認を指示した。

富士通リースの調査の結果、富士通リースがデータ消去を委託している株式会社ブロードリンク（以下「ブロードリンク」と表記）の社員1名が18本のハードディスクをデータ消去作業前に盗んでオークションサイトに出品し、18本すべて落札されていることが12月5日（木曜）に判明した。

A氏が購入した9本のハードディスクは、12月5日20時に、本人同意のもと、仲介者から県に返却いただいた。

ブロードリンクからは、ハードディスクを盗難した社員について、12月6日（金曜）に警視庁大森警察署に告発したこと、行方のわからない残り9本のハードディスクの回収については、警察の捜査にゆだねるとの連絡があった。

なお、外部に出てしまったハードディスク18本は、12月21日までに全て回収した。

情報提供者（A氏）が落札した9本のハードディスクから復元されたデータが、すべて消去されたと、12月27日に仲介者から県に連絡があった。

被害状況（令和2年4月1日現在、新たな被害は確認されていません）

12月7日現在、ハードディスクが外部に出たことによる具体的な被害の発生は確認されていない。

今回盗難された18本以外のハードディスクについては、溶解処理や解体・圧縮処理されており、外部に持ち出された事実は確認されていないが、継続して調査している。

原因

盗難された原因は、富士通リースからデータ消去・廃棄作業を請け負ったブロードリンクの社員管理・作業管理体制や事故防止対策の不備により、ハードディスクが盗難可能な状態にあったことだが、県としてもデータ消去の履行確認が不十分であった。

再発防止策等

重要情報が格納されている機器（サーバー等）をリース満了によりリース会社に返却する場合は、従前より情報漏洩防止のため、県内部の初期化作業でデータを全て消去した後、リース会社が「データ復旧が不可能とされている方法によりデータ消去作業を行うものとする」としている。

今後は、情報漏洩防止を徹底するため、契約満了時には、県庁から搬出する前に職員が立ち会いのもと、データ記憶装置を物理破壊させるなど、契約の見直しを行う。

再発防止策を検討するため早急に検討チームを発足します。（第1回検討会議を令和元年12月26日に開催、第2回検討会議を令和2年1月24日に開催、第3回検討会議を令和2年2月25日に開催）

令和2年1月27日に県内部の手続きにより「県情報を保存するために使用した情報機器からの情報流出防止策（PDF：708KB）」を正式決定した。

記者発表以降の取組

警視庁及び県警察への相談・情報提供

個人情報保護委員会（PPC）への報告・相談

県顧問弁護士への法律相談

オークション運営管理者への協力要請（所在不明だった残り9本を全て回収）

セキュリティポリシーの周知徹底

県民からの「お問い合わせ専用ダイヤル」の設置（12月12日に開設）

株式会社ブロードリンクを3か月の指名停止措置（法令違反）

富士通リース株式会社を6か月の指名停止措置（県発注契約に関する不正又は違反）(令和2年3月6日に3か月から6か月への延長を決定）