九電子会社が紛失した記憶媒体、暗号化やパスワード保護なしと判明　施錠も徹底されず

　九州電力傘下の九州電力送配電（福岡市中央区）が最大1090万口分（電力供給契約の件数）の顧客情報を保存した外部記憶媒体を紛失した問題で、保存していたデータには暗号化・パスワード保護のどちらも施していなかったことが取材で分かった。紛失した記憶媒体は外部SSDだという。

【その他の画像】

　同社によると、暗号化やパスワード保護を施していなかった理由について、「サーバ室は多重の入退室管理が行われており、限られた人しか立ち入れないため、セキュリティは担保されているとの認識だった」と説明した。「当該データはサーバから直接抽出した文字列のデータであり、データの仕様などが分からないと読み解くのは難しい」とも回答している。

　また保管方法については、外部記憶媒体を鍵付きキャビネットで保管する運用を始める際、九州電力送配電の社員と委託先社員が現場で口頭合意していたとしている。ただ、「キャビネットの施錠まで明確に指示できていなかった」という。

　社内ルールでは、業務・データの重要度に応じて対策を施す必要があるとしており、今回のケースについては「多重の入退室管理が施されているサーバ室内に保管することで、持ち出し・盗難を防ぐ対策は妥当と判断していた」と説明。ただ、今回の事態を受け、管理方法を見直す方針だ。

　最終所在確認の4月27日から所在不明が判明した5月26日までの間に、サーバ室に入退室した人物は57人。全員が委託先の社員で、九州電力送配電の社員は含まれていない。委託先は10社にわたるという。

　誤廃棄の可能性についても質問したところ、関係箇所の捜索や関係者への聞き取りに加え、誤って廃棄された可能性も調査したが、現時点では発見に至っていないと回答した。