日時：令和６年５月 22 日（水）13：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員
松元事務局長、三原事務局次長、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第285回個人情報保護委員会を開会いたします。

本日の議題は一つです。
議題１「LINEヤフー株式会社への勧告等に対する改善状況の概要及び同社への対応方針について」、事務局から説明をお願いいたします。
（内容について一部非公表）○事務局

資料１を用いて説明いたします。

本件は、LINEヤフー株式会社（以下「LY社」という。）の業務委託先企業のPCがマルウ
ェアに感染したことに端を発し、同じく業務委託先のNAVER Cloud社（以下「NC社」という。）を侵入経路としてLY社の情報システムが不正アクセスを受け、LINEアプリに関する個人データが漏えい等した事案でございます。
当委員会は、令和６年３月28日にLY社に対して勧告及び報告徴収を行い、同年４月26日にLY社より初回の報告書を受領いたしました。確認した改善状況について資料１の表にまとめましたので、内容を御報告させていただきます。表につきましては、左の列に「事実概要」として本件の問題点を記載し、真ん中及び右の列に「LY社の改善策」とその実施状況について記載しております。
まず、事実概要の一つ目として、LY社はNC社と共通の認証基盤システムやその他にもNC社が提供するシステムを使用し、NC社に対して広範なネットワーク接続を許容しており、そのような環境を踏まえたリスクや課題の認識を行い、自ら安全管理措置を講ずるべきであったにもかかわらず、それらの責任の所在や手段の検討及び把握が曖昧な状況であったことが問題であると指摘いたしました。
この点、LY社においては、まずNC社とのネットワーク接続に関する技術的な措置といたしまして、NC社との不必要な通信を遮断するため、ネットワーク間にファイアーウォールを設置し、真に必要な通信のみを許可する措置を行っております。しかしながら、LY社では、NC社とのネットワーク接続が今後存在する限りそれが不正利用されるリスクが完全に排除できないと判断し、更なる対応を進めております。
その一つ目が、NC社との共通認証基盤の利用停止と自社認証基盤への移行です。
1

二つ目は、NAVERグループ及びNC社とのシステム分離です。
三つ目として、NC社を含めた業務委託先に対する実効的な管理を実現するための監督方法の検討及び基準の策定です。
認証基盤やシステムの分離については段階的に進めていくとしており、最終的には令和８年12月に全ての分離が完了するとしております。ただ、これらについては完了時期の前倒しを検討しているということで、追って報告を受ける予定です。
また、認証基盤やシステムの分離のほか、NAVERグループ及びNC社に委託している業務につきましては、終了又は縮小を進めるとしておりまして、これらについては今年６月までに計画を策定し、順次進めていくとの報告を受けております。
事実概要の二つ目につきましては、令和３年の当委員会からの行政指導後の対応に関する問題です。令和３年行政指導後においても、今回、不正アクセスを受けたデータ分析システム等の従業者向けシステムへの二要素認証の導入は見送られておりました。その点について適切なリスク評価や安全管理措置の見直し及び評価に問題があったということを指摘しております。
これに対し、LY社では一部システムを除くほぼ全ての従業者システムには既に二要素認証を適用しており、セキュリティ診断も完了しております。また、これらのリスクアセスメントについて、年次で各システムの現状やセキュリティ対策、リスクを把握して評価する業務の仕組みを構築し、定期的なレビュー・評価を行うとしております。これについては６月末に仕組みの構築を完了し、順次運用していく予定と報告を受けております。
事 実 概 要 の 三 つ 目 と し ま し て 、LY社 は 本 件 事 案 の 調 査 及 び 原 因 究 明 に つ い て 、NC社やNAVERグループに頼らざるを得ない状況があり、LY社が本件事案の全容を把握するまでに約３か月半を要した点を問題点として指摘いたしました。これについては、漏えい等発生時のNC社との窓口を明確化し、早期に情報収集を行うとともに、LY社のログの保管ルールをNAVERグループにも適用し、NAVERグループのログを速やかに受領できるように覚書の締結をいたしました。
また、漏えい等発生時のマニュアル及びルール整備を行い、外部機関の評価を得て６月までにこれを確定させ、その後、研修等の定期実施を行うという報告を受けています。
さらに、業務委託先へは原則LY社が管理するPCを貸与し、そのPCで委託業務を行わせることとしまして、漏えい等事案発生時には速やかにPCを回収の上、LY社主導で調査を行う体制を整えるとしております。PC貸与については今年９月に配付を完了する予定です。
四つ目の事実概要として、個人データの取扱状況の把握及び安全管理措置の評価、見直し、改善に問題が見られること、漏えい等事案への対応を速やかに行えなかったことについて、LY社の組織体制が十分に機能していない点を問題点として指摘いたしました。
これに対し、LY社は規程遵守状況をモニタリングするための監査部門やセキュリティガバナンス委員会を設置しております。セキュリティガバナンス委員会においては、本件に関連する対応の推進やLY社の課題について継続的に議論していくこととなります。また、2

主要なグループ会社のCISOで構成される「グループCISO Board」を設置し、グループ会社間における議論も継続するとしております。
また、五つ目の問題点は最初に触れましたアクセス制御の問題です。これについてはファイアーウォールを既に設置済みであり、また、NC社以外の社外とのネットワーク接続の経路についても今年７月までに総点検を実施する予定です。
以上、御説明いたしましたとおり、現時点におけるLY社の対応状況につきましては、従業者向けシステムへの二要素認証の適用やファイアーウォールの設置等について一定の改善が認められたものの、現時点で計画策定中や未了の取組も多くございます。引き続き改善策の早期実施や完了を求めるとともに、未了の改善策については次回、令和６年６月28日を期限とした回答において実施状況を確認予定であり、その後も同年９月、同年12月、令和７年３月に報告を求めております。
なお、本件につきましては、資料１について公表を行いたいと考えます。
事務局からは以上です。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について御質問、御意見をお願いいたします。
では、清水委員。
○清水委員

ありがとうございます。

今、御説明があったとおりなのですが、コメントを申し上げます。当委員会は、３月28日にLY社に対して組織的安全管理措置・技術的安全管理措置の不備を指摘し、必要な措置を採るよう勧告を行いました。これに対して、LY社では多要素認証の適用、ファイアーウォールの設定といった技術的な措置を採り、今後、組織的な体制整備等を行う計画が既に立てられているということを確認することができました。
なお、LY社が提出した再発防止策に含まれるシステムの分離及び業務委託先の見直しといった対応は段階的に行われ、それらの完了は一定の期間を要するとされています。当委員会としましては、LY社が検討し、選択したこれらの対応方針を尊重し、それらを確実に実行していただくことが重要と考え、引き続き、その手段や完了時期の適切性も含めて改善状況について注視していきたいと考えております。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
小川委員。
○小川委員

御説明ありがとうございました。

本件はLINEにおいて約52万人の個人データの漏えい等が生じたものです。LINEアプリは事実上日本において上位レベルのコミュニケーションインフラになっておりまして、公共サービスにおいても広く利用されております。LY社によれば、現時点で漏えい等により個人データが悪用されたという二次被害は確認されていないとのことですが、不幸中の幸い
3

だと思います。
重要度の高い個人データが大量に漏えいしたことに鑑み、LY社においては確実に再発防止策を講ずるとともに、この二次被害の発生の有無をモニタリングし、適時ユーザーに説明するなど、ユーザーの信頼回復に尽力してほしいと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を、準備が整い次第、委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上でございます。
それでは、本日の会議はこれにて閉会といたします。

4