[ITmedia ビジネスオンライン] 「大変遺憾」──阪大で約7.8万人の個人情報漏えいか 委託先NECの“契約外運用”が招いた事態

　大阪大学は10月21日、全学教育用電子計算機システムの運用を委託している日本電気（NEC）から、学生や教職員などの個人情報が第三者にダウンロードされたと報告を受けたと公表した。被害規模は最大7万7851人に上る可能性がある。

　本件は、不正アクセスによる情報漏えいにとどまらず、委託先による「未報告の協力会社の関与」や「契約に基づかないデータ共有・保持」といった、委託元と委託先におけるガバナンス上の不備を浮き彫りにした。

大阪大学「委託事業者における個人情報漏えいについて」（同学Webサイトより）

7.8万人の個人情報流出　在学生や卒業生の学籍番号、アドレスなど

　漏えいの可能性があるのは、卒業生5万9014人、在学生1万5035人、教職員3802人の計7万7851人分の個人情報だ。対象項目には、氏名、大阪大学個人ID、大学が付与したメールアドレス、学籍番号または職員番号、所属情報などが含まれるという。

　同大学によると、9月26日に第三者によるファイルのダウンロードが確認され、10月9日にNECから同大学へ報告があった。21日の公表時点で、漏えい情報の不正利用や二次被害は確認されていないという。大学側は対象者に対し、フィッシングメールやなりすましメールへの注意を呼びかけている。

未報告が引き起こした事態に「大変遺憾」　問われる受託企業の責任

　本件で注目したいのは、委託先であるNEC側の運用管理における契約違反が事故の要因となった点だ。漏えいをきっかけに、大学側が報告を受けていない協力会社が、業務の一部に関与していたことが発覚した。

　さらにNECは、大学との契約に反して、当該協力会社との情報共有を目的に個人情報を含むファイルをクラウドストレージ上で共有していた。加えて、本来であれば作業終了後に削除すべきデータを、削除せず保持し続けた結果、第三者によるダウンロードを許す事態に至った。

　大阪大学は発表文の中で「本学に報告されていない協力会社が本業務に関与していたこと、及びNECが本学との契約に基づかず個人情報を含むファイルを共有及び保持していたことを重大な問題であると認識しており、その結果として本学関係者の個人情報が漏えいしたことを大変遺憾に思っております」と表明。NEC側の契約外運用の実態を強く問題視している。