Aflac代理店のPC盗難による15万件の顧客情報紛失を考える

　2007年7月17日(火)、Aflac（アフラック：アメリカンファミリー生命保険会社）の販売代理店の社員がPCを電車内で盗難に遭い、204,716証券、152,758契約者の個人情報を紛失したという件について、少々、口出ししたくなった。

• 当社販売代理店によるお客様情報の紛失について (2007/7/26 Aflac)
• アフラックが15万人分の顧客情報を紛失 業務PCの盗難で (2007/7/26 ITmedia)
• アフラック15万人の顧客情報紛失 パソコン盗難 (2007/7/26 産経新聞)
• アフラック:代理店社員がパソコン紛失 顧客約15万人分 (2007/7/26 毎日新聞)
• アフラックが顧客情報20万件紛失、通勤中に置き引き被害 (2007/7/26 読売新聞)
• アフラック、約15万3000人分の顧客情報を紛失 (2007/7/26 日経BP)

　まず、伝えられている情報の中に、「紛失」と「盗難」が両方含まれているので、整理しておきたい。
　「紛失」したのは、顧客情報。
　「置き引き」されたのは、PC。
であるから、両方が含まれている。PCの中に収められた顧客情報も置き引きされたのではあるが、セキュリティ対策が講じられているので情報の方は「紛失」という訳だ。
　つまり、それらの情報が流出している事が判明するまでは「置き引き」されていなくて、管理内から無くなったので「紛失」と言い切る。あとは、流出したり悪用されない事を祈るばかりであろう。

　この表現は、詭弁のようにも聞こえるが、現在の情報セキュリティ対策を考えると、ロックしてアクセス出来なくする、暗号化してアクセス出来ても読めなくする、遠隔または条件で消去してしまうなどが一般的であるので、妥当な対応だ。個人情報の流出における伝達方法としては、一般的になっているかもしれない。

　お客様情報という表現には、契約顧客だけなのか、見込み客も含まれているのか？見込み客の件数が示されていないところを見ると、含まれていると見て良いだろう。

　口出ししたくなったのは、なぜ15万件もの個人情報を社外で携帯していたのかという事。
　ひとりの営業員が、15万名も一日に必要な情報なのですか？
　保険ビジネスの現場の事は詳しくないけれど、少なくとも、生年月日と住所の番地だけでも、その担当者が担当する顧客のみにするべきではないか。
　詳細が必要な時のみ、サーバーへアクセスして一件のみを閲覧出来るような、オフラインとオンラインのハイブリッドなシステムにするべきではないのだろうか？

　ちなみに北米では、モバイルPCの紛失・盗難についてのソリューションがもう少し進んでいる。紛失・盗難PCを回収するというソフトウェアとサービスが提供されている。
　僕の知人がやっている会社に、Absolute Software社というのがあって、ここでは、エージェント(agent)・ソフトウェアをモバイルPCのBIOSへ組み込み、定期的にモバイルPCの情報をサーバーへ通知し、その位置を特定して警察に捜索してもらうというサービスまで提供をしている。

　北米では、大学の教室からデスクトップPCやサーバーが盗まれるという事件もあり、日本よりも犯罪の脅威レベルが高いように思えるが、日本においては、今回のAflacの事件のように、「電車やタクシーでの置き忘れ、置き引き」に関して、有効なサービスだと思っている。

　紛失・盗難PCが手元から無くなったままでは、「大丈夫に違いない」と情報セキュリティ対策を信じきるしかないが、そのPCが回収を出来るのであれば、回収後にPCのログを検証する事によって、情報が流出していなくて悪用されることがなく、お客様に迷惑がかからないであろう事を宣言できるのである。
　はたして、このような安全・安心のためのソリューション・サービスは、日本でどのくらい必要になるのだろうか。

　施されるより、施せ。〔わをん〕