個情委、人事労務サービスのMKシステムに行政指導 - 報告は3000件超

個情委では、利用規約やアクセス制御の状態、提供サービスの性質、個人データの取り扱い状況から、エムケイシステムが個人データを取り扱わないクラウドサービス提供事業者にあたらないと説明。サービス利用者による委託のもと、個人データを取り扱う個人情報取扱事業者であると整理した。

同社システムにおいて、サービス利用者のパスワードルールが甘く、管理者権限のパスワードも脆弱で類推可能であるなど安全管理措置に不備があったと説明。

またソフトウェアのセキュリティ更新を適切に行っておらず、深刻な脆弱性が残存。ログ管理、監視が適切に実施されておらず、技術的な対策の不備により迅速な侵入検知ができなかったとしている。

一方サービス利用者に関しては、技術的な安全管理措置の不備は認められないとした。

委託先の監督責任が生じるが、エムケイシステムのウェブサイトに漏洩対策が万全との記載もあり、サービス利用者に個人データを委託しているとの認識が薄く、監督が不十分となっていた可能性があると指摘している。

（Security NEXT - 2024/03/27 ）ツイート