【追記】LINEヤフー、総務省から行政指導--度重なる情報漏えい受け、経営体制見直しも

　ソフトバンクは3月5日、情報漏えいが続く傘下のLINEヤフーが、総務省から行政指導を受けたと発表した。親会社であるAホールディングスを傘下に持つソフトバンクは、セキュリティガバナンス確保の方策を検討していくとしている。

　総務省は、LINEヤフーに対し、不正アクセスによる通信の秘密の漏えい事案に関し、通信の秘密の保護及びサイバーセキュリティの確保の徹底を図るとともに、再発防止策等の必要な措置を講じ、その実施状況を報告するよう、文書による行政指導を実施。

　内容として、安全管理措置及び委託先管理の抜本的な見直し及び対策の強化、親会社等を含むグループ全体でのセキュリティガバナンスの本質的な見直し及び強化、利用者対応の徹底が盛り込まれているという。

　総務省では、情報漏えいの要因として、システムやネットワーク構成等に係るNAVER側への強い依存があると指摘。LINEヤフーに対し、経営体制の見直しなどを求めた。

NAVER側に許容された、旧LINE社内環境への広範なアクセス

　LINEヤフーの前身である旧LINEは、NHN Japan時代からチャットサービス「LINE」の運用に、親会社であるNAVERの傘下となるNAVER Cloudのプラットフォームを活用。2023年11月の情報漏えい発覚時も、LINEヤフー内の旧LINEとNAVER Cloudの社内環境はネットワークで接続しており、NAVER Cloudの従業員管理システムで旧LINEの従業員のID・パスワードといった情報を管理・保存していたという。

　法的な契約上は、旧LINEは物理的なサーバー・ソフトウェアなどのインフラの構築・運営業務をNAVER Cloudに委託する状態で、NAVER Cloudの旧LINEの社内環境への広範なアクセスを許容していたと説明している。

　また、旧LINEとNAVER間では、従業員アカウントの認証基盤についても共通化。加えて、旧LINEのサーバーの保守・開発向けに発行した旧LINE従業員のアカウント情報は、NAVER Cloud社内に設置したNAVER Cloudの「Active Directory」サーバー内に保存しつつ、旧LINE社の人事システムに結びついたサーバーと情報を同期する設定だったことも明かしている。

　総務省は、旧LINEのシステムやネットワーク構成、従業員のアカウント情報などの取り扱いに相当に強い依存関係が存在している上で、NAVER Cloud側の安全管理措置に不備があったため、旧LINEに対しての不正アクセス、サービス利用者の情報漏えいに至ったと指摘。

　同時に、そういったリスクに対する技術的な安全管理措置やセキュリティ対策が不十分、検知する適切な仕組みの未導入といった技術的不備や、旧LINEの業務委託先となるNAVER Cloudへの定期的な評価や基準遵守に関する定めが存在しないなど、適切な業務委託先の管理・監督が未実施といった点も指摘している。

総務省「資本的な支配を含め」見直しを

　総務省はこれらの背景として、旧LINEの社内ネットワークやシステム構築がNAVERの技術的支援を大きく受けて複雑に形成されたこと、現在でもその保守運用などをNAVERに頼らざるを得ない関係があることを挙げている。

　加えて、LINEヤフーの親会社を担うAホールディングスは引き続き中間持ち株会社としてソフトバンクとNAVERの傘下にあるため、資本的な支配を相当程度受ける関係が存在していることも挙げ、安全管理のための的確な措置を求めることや適切な委託先管理の実施が困難という事情も影響したと推察している。

LINEヤフーと各社の関係イメージ（出典：LINEヤフー）
※クリックすると拡大画像が見られます

　総務省は、同省が2021年4月に行政指導を実施したにも関わらず事故が再発したこと、サービスとしてのLINEは日本に大多数のユーザーを抱えることなどから極めて遺憾であり、根本的に見直し、強化と再発防止に努めるよう厳重に注意。具体的な指導事項として、新たな懸念が生じた際の追加措置の可能性にも言及しつつ、方針や実施状況の2024年4月1日までの報告、今後1年間の四半期に一度の定期報告を求めている。

　また、今回の事故で総務省からLINEヤフーに報告を求めた際に回答が未回答や不十分、不明瞭な点が散見されるなどがあった理由として、アクセスログなどの必要な情報の多くがNAVER側に存在し、それらの収集・分析に支障があったと推察。委託先の監督や原因の特定を自社で速やかにできないこと自体が大きな問題であるため、委託先から資本的な支配を相当程度受ける関係を含めて見直すことなども求めている。

【追記：3月5日18時10分】背景、指導内容などを追記しました。