学術研究機関における情報セキュリティ対応
令和４年３⽉９⽇

牧野総合法律事務所弁護⼠法⼈
弁護⼠

森

1

悟史

１

サイバー攻撃・情報漏えい等の実例①

最近話題のサイバー攻撃
・Emotet悪意ある攻撃者から送られた電⼦メールにより感染が拡⼤するマルウェア。
2021年１⽉、欧州刑事機構による摘発で⼀旦終息したものの、2021年11⽉より、再度、感染が急拡⼤。
他のマルウェアの感染を引き起こす、⾃⼰増殖して社内の他の端末にEmotetが感染する、取引先へ正規のメールを装って送信が⾏われ、さらにEmotetがばらまかれるなどの被害がある。
・ランサムウェア攻撃
コンピュータをロックしたり、暗号化して使⽤不能にし、元に戻すことと引換えに⾝代⾦を要求するマルウェア。また、情報を不正取得し、暴露による脅迫を⾏うこともある。
実例︓⽶国⽯油移送パイプラインの操業停⽌、⽇本の有名ゲームメーカーの業務停⽌及び情報漏えい、⽇本の⾃動⾞メーカーの⽣産停⽌
2

２

サイバー攻撃・情報漏えい等の実例②

・ベネッセ・コーポレーションのケース

情報システム構築等の四次委託先会社の従業員で、⼀次委託先会社の事業所において情報システム開発業務に従事していた者が、顧客情報約3504万件を⾃分のスマートフォンに複製し、そのうち約1000万件を名簿業者に売却したことから、不正競争防⽌法（営業秘密侵害罪）に問われた事件。
➡委託先からの漏えい
ベネッセは、おわびとして1⼈500円の⾦券を交付するなどしたため、107億円の⾚字に。
※委託先からの情報漏えいは⾮常に多い➡委託先監督の重要性
・半⽥病院のケース
2022年10⽉31⽇、患者の診察記録を預かる電⼦カルテ等の端末や関連するサーバが暗号化され、⾝代⾦を要求された事件。病院内のデータが情報漏えいした可能性がある。
仮想プライベートネットワーク（VPN）装置の脆弱性を悪⽤して侵⼊されたものと考えられている。
➡ランサムウェア攻撃※2023年2⽉2⽇、警察庁は、昨年1年間、ランサムウェアの被害を受けたとの申告が、全国の警察に230件寄せられたことを発表（前年より57.5％増））。
3

３

サイバー攻撃・情報漏えい等の実例③

サイバー攻撃・情報漏えいは企業の話︖研究機関や⼤学は関係がない︖
・国⽴がん研究センター
2022年1⽉26⽇、国⽴がん研究センター東病院において、職員がテレワークに利⽤していた端末がウイルス感染し、端末が乗っ取られた事件。臨床研究の被験者の個⼈情報が流出した可能性あり。
・理化学研究所
2021年9⽉24⽇、外部事業者提供の学習管理システムのサーバに不正アクセスがあり、ファイルが改ざんされた事件。約1万4000件の個⼈情報が流出した可能性あり。
・⼭形⼤学
2022年10⽉26⽇、⼤学のコンテンツマネジメントシステムの管理者ID及びパスワードが詐取され、不正アクセスを受けた事件。1059⼈分の個⼈情報が流出した可能性あり。
※2008年7⽉から2021年8⽉までの間、国内801⼤学を対象に調査したところ、累計漏えい件数が148万7811件（１⼤学あたり1857件）に上ったとの調査結果もある（株式会社ソースポッドによる調査）。
※⼤学に対するランサムウェア攻撃も（東海国⽴⼤学機構のケースなど）
4

４

個⼈情報保護法の建付け

・改正前個⼈情報保護法76条（適⽤除外） ⼤学その他の学術研究を⽬的とする機関若しくは団体⼜はそれらに属する者が、学術研究の⽤に供する⽬的で個⼈情報を取り扱う場合、個⼈情報取扱事業者が遵守すべき義務に係る規定は適⽤されない。
➡個⼈情報保護法上の安全管理措置は直接適⽤されない。
・改正個⼈情報保護法76条（適⽤除外）規定の削除。⼤学や研究機関も、原則として、個⼈情報取扱事業者。ただし、利⽤⽬的変更の制限（18条3項5号及び6号）、要配慮個⼈情報の取得の制限（20条2項5号及び6号）、個⼈データの第三者提供の制限（27条1項6号及び7号）については、⺠間企業等とは異なる取扱いが認められている。
➡⼤学、研究機関であっても、安全管理措置（23条）の規定が適⽤されるので、情報マネジメントは必須。

5５

具体的な安全管理措置①

個⼈情報保護法23条（安全管理措置）には、具体的な管理措置は明記されていない。
もっとも、前述のとおり、Emotet、ランサムウェア攻撃など情報漏えいの多くは、ネットワーク経由。
したがって、情報管理措置といえば、まずは技術的安全管理措置。
・技術的安全管理措置①アクセス制御
情報システムにアクセスできる者を限定する②アクセス者の識別と認証
正当なアクセス権を有する者であることを、ユーザID、パスワード等で識別、認証する③外部からの不正アクセス等の禁⽌ファイアウォール、セキュリティ対策ソフトウェアの導⼊及びアップデート
ログの定期的な確認④情報システムの使⽤に伴う漏えい等の禁⽌
通信経路⼜は内容の暗号化、パスワードの利⽤などでも、技術的措置だけで⼗分なのか︖
6

６

具体的な安全管理措置②「個⼈情報の保護に関する法律についてのガイドライン（通則編）」では、具体的な安全管理措置の内容として、技術的安全管理措置の他、物理的安全管理措置、組織的安全管理措置、⼈的安全管理措置を挙げている。
・物理的安全管理措置①個⼈データを取り扱う区域の管理
管理区域と取扱区域を分けて、⼊退室管理及び持ち込む機器等の制限等を⾏う
間仕切り等の設置、座席配置の⼯夫、のぞき込み防⽌措置の実施②機器及び電⼦媒体等の盗難等の防⽌個⼈データを取り扱う機器、個⼈データが記録された電⼦媒体や書類を、施錠できるキャビネット等へ保管
セキュリティワイヤ等で固定③電⼦媒体等を持ち運ぶ場合の漏えい等の防⽌
持ち運ぶ個⼈データの暗号化、パスワード設定④個⼈データの削除及び機器、電⼦媒体等の廃棄書類については、焼却、溶解等適切なシュレッダ処理等を⾏う
電⼦媒体については、専⽤のデータ削除ソフトウェアの利⽤⼜は物理的に破壊

7７

具体的な安全管理措置③・組織的安全管理措置①組織体制の整備

個⼈データ取扱いに関する責任者の設置及び責任の明確化
従業者が取り扱う個⼈データの範囲の明確化
個⼈データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化②個⼈データの取扱いに係る規律に従った運⽤
個⼈データ利⽤状況、持ち運び状況、削除・廃棄状況の確認
個⼈データが蔵置されている情報システムの利⽤状況の確認③個⼈データの取扱状況を確認する⼿段の整備
個⼈データ取扱状況の把握④漏えい等事案に対応する体制の整備
個⼈データの漏えい等の事案の発⽣⼜はその兆候を把握した場合の報告連絡体制（エスカレーション）⑤取扱状況の把握及び安全管理措置の⾒直し個⼈データの取扱状況について定期的に点検⼜は監査

8８

具体的な安全管理措置④・⼈的安全管理措置
従業者教育従業者に定期的に研修を⾏う
秘密保持に関する事項を就業規則に盛り込む、⼜は秘密保持契約を締結する

9

９

安全管理措置のまとめ

上記の措置はあくまで例に過ぎない。
したがって、これらができていないからといって、安全管理措置が不⼗分となるわけでもないし、逆に、これらをすべて⾏っていたからといって、安全管理措置が⼗分となるわけでもない。
個⼈情報保護委員会ガイドライン（通則編）「安全管理措置を講ずるための具体的な⼿法については、個⼈データが漏えい等をした場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈データの性質及び量を含む。）、個⼈データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例⽰の内容の全てを講じなければならないわけではなく、また、適切な⼿法はこれらの例⽰の内容に限られない。」➡各組織の実情に合わせた安全管理措置を講ずることが必要。
多くの組織では、技術的安全管理措置や物理的安全管理措置に主眼を置いており、組織的安全管理措置や⼈的安全管理措置が軽視されている傾向が・・・➡組織的安全管理措置や⼈的安全管理措置も重要。
組織的安全管理措置、⼈的安全管理措置を講じていない場合、適切な管理がされていないと評価されてしまうことも・・・
どのようなケースでどのような対応をすべきかを判断するためには➡リスクマネジメント
10

10 リスクマネジメント①

リスクを組織的に管理し、組織の損失の回避・低減を図るプロセス。
事業を遂⾏するに際しリスクがあることは当然➡リスクをいかにコントロールするかが問題
・リスクマネジメントのプロセス（⼿法）①情報資産の洗い出し・棚卸し（どのような情報がどこにあるのか）②リスクの発⾒及び特定③リスクの評価及び算定
定性的分析（⾦額以外の値を⽤いて、リスクの⼤きさを算定する⽅法）
定量的分析（⾦額を⽤いて、リスクの⼤きさを算定する⽅法）④リスク対応策の決定及び実施
リスク回避、リスク低減、リスク移転・共有、リスク受容⑤モニタリング及び改善※上記プロセスをPDCAで回すことが重要※営業秘密を中⼼に説明している「⼤学における秘密情報の保護ハンドブック」（平成28年10⽉全⾯改訂・経済産業省）でも、秘密情報の分類、分類に応じた情報漏えい対策の選択などが規定されている。
11

11 リスクマネジメント②・リスク対応策①リスク回避リスクを⽣じる原因を除去したり、別の⽅法に置き換えることにより、リスクを取り去る。
デメリットが多い（最悪の場合、当該業務や研究を中⽌するということ）。
②リスク低減リスクの発⽣確率を低下させたり、被害の影響度を低減させる。
リスク対応策の基本は、このリスク低減。
③リスク移転・共有
リスク⾃体を外部機関に移転したり、保険をかける。
リスクの発⽣確率は低いが、発⽣した時の影響が⼤きい場合に⽤いる。
④リスク受容対応策をとらず、そのままにする。
リスク対応策をとるだけのコストに⾒合わない場合に⽤いる対応策。

12

12 学⽣の管理①

調査研究・教育⽬的で、学⽣にも、情報・データを利⽤させることが考えられる。その中には、個⼈情報やセンシティブ情報が含まれていることも。
➡学⽣の管理も重要・学⽣の⽴ち位置・・・従業者と同等か︖
従業者とは、企業・組織のメンバーとして、企業・組織の⽬的（営利・事業継続など）のために、企業・組織と同じ⽅向を向いて、企業・組織の⼿⾜となり業務を遂⾏する者※従業者に対しては、従業者監督（個⼈情報保護法24条）が定められている。
これに対して、学⽣は、⼤学における不可⽋の構成員ではあるが、⼤学のサービスを利⽤する者➡お客様のようなもの︖➡とすると、学⽣と従業者とは別の⽴ち位置➡学⽣に従業者監督は及ばない︖
cf ⼤学の⾃治

⼈事の⾃治の他、施設・学⽣の管理の⾃治があるとされている。

学⽣は、⼤学⾃治の主体ではない（最⾼裁昭和38.5.22東⼤ポポロ事件）
13

13 学⽣の管理②

学⽣は⼤学の設備・資産（情報を含む。）を利⽤する以上、管理者の指⽰に従う必要がある。
従業者監督（個⼈情報保護法24条）が直接適⽤されるわけではないが、従業者監督と同じように考えることができるのでは。
実際には、安全管理措置の内容に従った対策が必要。
・組織的安全管理措置の側⾯
情報管理に関しての責任者の設置及び責任の明確化
学⽣が取り扱うことのできるデータの範囲の限定（本当に個⼈情報やセンシティブ情報を取り扱わせる必要があるか︖）
インシデント発⽣時、誰に報告するのかを予め決めておくこと
・⼈的安全管理措置の側⾯
学⽣に対する情報セキュリティ教育・研修
秘密保持合意書の取得
・物理的安全管理措置の側⾯
情報にアクセスできる機器の限定※「⼤学における秘密情報の保護ハンドブック」では、学⽣が秘密情報を取り扱う研究に参加することで⽣じるメリットと、学⽣に課せられる義務等とのバランスに応じて、研究への参加の是⾮について予め検討しておく必要があるとしている。
14

14 学⽣の管理③・パスワード管理の重要性

情報システムにアクセスする際のパスワード設定の不⼗分さにより、情報漏えいしているケースが多い。
・具体的なパスワード管理策①パスワードポリシーの策定及び学⽣への周知②デフォルト（初期設定）でのパスワードを利⽤しない③英字・数字を組み合わせて、10桁以上などの制限（可能であれば、適切なパスワードを設定しないと情報にアクセスできないような技術的措置）④同じパスワードを複数のサービスで使い回さない（他のサービスから漏えいしたパスワード情報を使って、別のサービスのアカウントに不正アクセスするケースがある）⑤以前は、定期的にパスワードを変更することが推奨されていたが、現在では推奨されない。
※定期的にパスポート変更すると、いちいち覚えられないため、似たようなパスワードを設定しがち➡かえって、推知されやすいパスワードになってしまうことがある
15

15 情報漏えい時対応
・情報漏えいが疑われる場合の対応①個⼈情報保護委員会への報告（個⼈データ漏えい等の場合、個⼈情報保護法26条1項）②本⼈への通知（個⼈データ漏えい等の場合個⼈情報保護法26条2項）

その他にも③関係部署（監督⾏政庁、IPA、JPCERT/CC、警察等）への連絡・報告④事実関係の調査及び原因の究明⑤外部専⾨機関・専⾨家の招へい（フォレンジック調査）⑥事実関係等の公表⑦再発防⽌策の検討及び決定➡やることはたくさんある
時間がない
初動対応が重要
そこで・・・
16

16 IT-BCP・情報セキュリティBCP
BCP（事業継続計画）の情報システム・情報セキュリティ版。
BCPには、その他にも⾃然災害BCPや感染症BCPなどがある。
予め、インシデントが発⽣した場合に必要な情報システムの運⽤を維持する⽬的等で作成されるもの。
・具体的な対策内容①責任者の指名及び権限の明確化（責任者が対応できない場合の補助責任者の指名）②データ保管・バックアップ③代替機の準備、冗⻑化
④インシデントの判断基準・BCP発動基準（誰がどのような要件を考慮しBCPを発動するか）⑤インシデント発⽣時のエスカレーションの⽅法（2ルートあるとよい）⑥インシデント発⽣時の情報共有の範囲（内部犯⾏の可能性はあるか）⑦リカバリ⽅法（想定される被害状況から⾒た優先度の設定）⑧教育・訓練（ディザスタリカバリ訓練）⑨IT-BCPの定期的チェック及び⾒直し17

17 ⾝代⾦の⽀払いは許されるのか︖（参考）・犯罪による収益の移転防⽌に関する法律
⾦融機関等に対して、本⼈確認等が義務付けられている➡⾝代⾦⽀払いとは無関係
・暴⼒団排除条例利益供与を禁⽌しているが、その対象は暴⼒団員等⼀定の限定がある上、提供した側は刑罰の対象ではない。
・企業が反社会的勢⼒による被害を防⽌するための指針（犯罪対策閣僚会議・2007年）「反社会的勢⼒への資⾦提供は、絶対に⾏わない」→法律ではないため拘束⼒なし
・最近のサイバー攻撃の状況を踏まえた経営者への注意喚起（経済産業省・2020年）「ランサムウェア攻撃を助⻑しないようにするためにも、⾦銭の⽀払いは厳に慎むべきものである」→法律ではないため拘束⼒無し➡⾝代⾦の⽀払いは勧められるものではないが、法律上は違法ではないと考えられる。
事実、情報システムがロックされているような状況で、他の代替⼿段が考えられるのか︖
業務遂⾏できない状況が続くことは許されるのか︖
半⽥病院の例では、犯⼈側は、半⽥病院から３万ドル（約450万円）を受け取ったと主張している。
18