令和６年●月●日 個人情報保護委員会

LINEヤフー株式会社への勧告等に対する改善状況の概要及び同社への対応方針

公表資料

資料１

● LINEヤフー株式会社（以下「LY社」という。）の業務委託先企業のPCがマルウェアに感染したことが契機となり、LY社の情報システムが不正アクセスを受け、コミュニケーションアプリであるLINEに関する個人データが漏えい等した事案について、個人情報保護委員会は、LY社に対し、令和６年３月28日、個人情報の保護に関する法律（平成15年法律第57号）第148条第１項の規定により勧告を行い、同法第146条第１項の規定により、改善状況を報告するよう求めていた。
● 令和６年４月26日、LY社から報告のあった改善状況について確認したところ、現時点において、LY社の従業者向けシステムへの二要素認証の適用や、NAVER Cloud社（以下「NC社」という。）のデータセンターとLY社のデータセンター間のファイアーウォールの設置等について一定の改善が認められた。
● しかしながら、現時点で、計画策定中や未了の取組も多く、LY社においても一部の取組について完了時期の前倒し、早期実施を検討しているが、引き続き、改善策の早期実施、完了等を求めるとともに、実施状況が未了の改善策については、令和６年６月28日を期限として実施状況の報告を求めている。
事実概要
勧告等の事項【個人データの取扱状況の把握及び安全管理措 組織的安全管理措置の不備置の評価、見直し及び改善】を是正するために必要な措⑴ NC社との関係に応じたリスク管理に関する 置として、NC社との共通認問題点
証基盤システムの利用、NC
LY社は、個人データの安全管理のために必要 社との広範なネットワークかつ適切な措置を講ずる責任の所在と手段の検 接続を許容するネットワー
討及び把握が曖昧なまま、NC社との共通認証基 ク構成及び重要度の高い個盤システムや、広範なネットワーク接続を許容 人データを保管する情報シするネットワーク構成を利用しており、個人ステムに対するアクセス者データの取扱状況の把握及び安全管理措置の評 の識別と認証の方式に関す価、見直し及び改善に問題があった。
るリスクや課題を適切に把握するために、安全管理措置が徹底される組織体制を整備し、また、漏えい等事組案に対応する体制の整備並織びに安全管理措置の評価、的見直し及び改善を行うこ安と。

LY社の改善策・NC社がシステム管理を担う認証基盤の利用停止と自社認証基盤への移行
・NAVERグループ及びNC社とのシステム分離

未了

未了

・NC社を含む業務委託先に対し、実効的な業務委託先管理を実現するための監督方法の検討及び基準の策定
未了

実施状況及び今後の予定
LY社が管理するシステムについて、認証基盤の分離を優先的に実施し、NAVERグループと認証基盤及び認証情報を共通化している状態を解消する。
NAVERグループ及びNC社が管理するシステムについて、認証基盤の分離を実施する。

令和６年６月完了
予定

LY社：令和７年３月末(※)
LY社の国内子会
社：令和８年３月
末(※)
LY社の海外子会
社：令和８年12月(※)
LY社及びLY社子会社が利用しているシステムで、NAVERグループ及びNC社 LY社：令和７年３が管理するシステムについて、その利用停止や別システムへの移行等を実 月末(※)
施し、NAVERグループとシステムを分離する。
LY社の国内子会
社：令和８年３月
末(※)

全管理
措置

完了

未了

完了
未了

1

LY社の海外子会
社：令和８年12月(※)
NC社に対する実地監査を行い、本件事案発生の一因となったNC社の安全管 理措置の実施状況の確認並びに是正の指摘及び要求を行った。また、今後のNC社における是正状況を主導的に確認するため、 NC社に対する監査権等を定めた覚書を締結した。
NAVERグループ及びNC社へ委託している業務について、業務委託の終了又は縮小を進める。

令和６年６月までに計画策定、順次実施予定(※)
個人データの取扱いの委託を行わない業務委託先の管理において、セキュ リティリスク評価基準を見直し、チェックシートを新設した。
取引先及び業務委託先に対してセキュリティ面、信用面等の多角的なリス 令和６年３月社内ク評価を実施する社内ルールを策定し、定期的な監査を実施する。
ルール策定完了、順次監査実施予定

【個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善】⑵ 令和３年行政指導後の対応に関する問題点
LY社は、令和３年行政指導に対し、再発防止策の一つとして、重要度の高い個人データにアクセス可能な権限のログインには多要素認証を導入するとしたが、本件事案で不正アクセスを受けたデータ分析システム等への多要素認証の導入は見送られており、リスクの適切な評価や安全管理措置の見直し及び評価に問題があった。

・従業者向けシステムに対する二要素認証の適用、リスクアセスメント
・重要システムの認証プロセスに対するセキュリティ診断と発見された脆弱性の修正

組織的安全管理措置の不備を是正するために必要な措置として、NC社との共通認証基盤システムの利用、NC社との広範なネットワーク【漏えい等事案に対応する体制の整備】
組
接続を許容するネットワー
LY社は、本件事案の事実関係及び原因の究明
織ク構成及び重要度の高い個について、NC社やNAVERグループに頼らざるを的人データを保管する情報シ安 得ない状況であり、本件事案の全容を把握するステムに対するアクセス者全 ために約３か月半を要したことから、漏えい等の識別と認証の方式に関す管 事案に対応する体制の整備に問題があった。
るリスクや課題を適切に把理握するために、安全管理措措置が徹底される組織体制を置整備し、また、漏えい等事案に対応する体制の整備並
びに安全管理措置の評価、【組織体制の整備】
LY社においては、令和３年行政指導後も、他 見直し及び改善を行うこ社との広範なネットワーク接続を継続している と。にもかかわらず、アクセス制御等の技術的安全管理措置が講じられていなかったこと、個人データの取扱状況の把握及び安全管理措置の評価、見直し及び改善に問題が認められること、漏えい等事案への対応を速やかに行うことができなかったことから、その組織体制が十分に機能していたとは言い難い。

【アクセス制御】

広範なネットワーク接続に

LY社は、NC社に対し、LY社のネットワーク及 よるリスクを理解し、NC社
技術 び社内システムへの広範なアクセスを許容して のシステムや端末からLY社
的 いたにもかかわらず、サーバ、ネットワーク及 のネットワークやシステム
安 び社内システムを保護するための十分な措置を に関して、真に必要な通信全 講じておらず、特定の通信をブロックするのみ のみを許容し、その他のア管 で、それ以外の通信は広く許容されていたこと クセスを認めない仕組み等
理 から、本件の攻撃者による不正アクセスを防止 の適切なアクセス制御を行措 及び検知することができなかった。
うこと。
置・事実関係の調査・原因究明
等、漏えい等事案に対応する体制の整備

未了

LY社の従業者向けシステムに二要素認証を適用した。また、従業者向けシ 令和６年12月完了
ステムに対して、認証プロセスを迂回する試みや、認証要素を悪用できる 予定方法がないかのセキュリティ診断を実施した。
旧ヤフー株式会社のデータセンターにある一部システムについては令和６年12月までに二要素認証の適用を完了する。

未了

重要システムとそれに対して求める安全管理措置基準を定義し、ISO27001 令和６年６月末完を活用したリスクマネジメントプロセスの中でリスクを把握・管理する仕 了、順次運用予定組みを構築する。また、年次のリスクアセスメントとして、各システムのデータ保管の現状やセキュリティ対策、それに伴うリスクを把握し評価する業務の仕組みを構築するとともに、規程として定める。さらに、これらを確実に実施するため、CISO（Chief Information Security Officer：最高情報セキュリティ責任者）直下にセキュリティ監査部門を設け、リスク対策の定期的なレビュー・評価の仕組みを構築する。

完了

漏えい等事案発生時のNC社との窓口を明確化した。また、LY社のログ保管 期間ルールに従い、NAVERグループのシステムのログを１年間保管することとし、必要に応じてNC社から受領できるように覚書を締結した。
漏えい等事案発生時の調査範囲の判断プロセスについて改善点を洗い出
令和６年５月計画し、必要なマニュアル及びルールの整備を行い、外部機関の評価を得た上 立案、同年６月外で確定する。また、その実行性を担保するために、演習の定期実施を行部評価完了、順次う。
実施予定

未了

未了
・セキュリティガバナンス委
員会の設置
・LY社のグループ全般のセキュリティガバナンスについて抜本的見直しや高度化を行うため、主要グループ会社のCISOで構成する「グループCISO Board」を設置

・NC社との不必要な通信の遮断
・社外とLY社データセンター間の接続経路の総点検

未了

未了

未了

業務委託先へは、原則LY社が管理するPCを貸与し、漏えい等事案発生の際 令和６年９月貸与には速やかにPCを回収し、フォレンジック調査を行う。
PC配布完了予定CISOを責任者として、個人データの取扱いレベルと安全管理措置を定義して、セキュリティ規程に定めるとともに、各部門にセキュリティ責任者を任命し、個人データが適切に取り扱われているかについてリスクアセスメントを実施している。また、令和６年４月から規程遵守状況をモニタリングするための監査部門を設置した。
令和６年４月、LY社社長CEOが委員長を務めるセキュリティガバナンス委
員会を組成し、本件に関連する対応の一層の推進及びLY社の課題全般についての議論を継続している。
令和６年４月、LY社CISO、LY社の主要なグループ会社CISO及びオブザーバーとしてのソフトバンク株式会社CISOで構成される「グループCISOBoard」を設置し、LY社グループ内におけるセキュリティの統一ルールの策定と遵守の徹底や、それらを前提としたLY社グループ会社間での委託関係の整理等の議論と推進を行っている。

完了

NC社データセンターからLY社データセンターへのネットワークアクセスに ついて、ファイアーウォールの設置を実施し、必要な通信のみを許可、それ以外の通信は拒否する設定を行った。

未了NC社以外で、社外からLY社データセンターに専用線やVPN等を介して接続 令和６年７月完了
している経路に対して、ネットワークアクセス制御の適切性及びインシデ 予定
ント対応の準備状況に関する点検を実施する。

（※）LY社にて完了時期の前倒し、早期実施を検討している。

2