2025.01.18

障害者支援施設「県いなば園」個人情報持ち出し事件：ずさんな管理体制と情報セキュリティ対策

前園進也

本記事の目的：障害福祉現場における情報セキュリティ体制の再構築

今回は、毎日新聞の記事「障害者施設1384人分のデータ持ち出し　職員『興味本位』理由に」を題材に、障害福祉サービス事業者の皆様、そしてそこで働く皆様に向けて、情報セキュリティの観点から、このニュースから読み解ける問題点や、私たちが日々の業務で注意すべきことについて解説していきます。

この事件は、決して他人事ではありません。障害福祉の現場で働く皆さん一人ひとりが、個人情報保護の重要性を再認識し、より安全なサービス提供体制を構築していくためのヒントになれば幸いです。

まずは、今回の事件の概要を簡単にまとめましょう。

今回の事件について解説する前に、まず、今回の事件が発生した「県いなば園」を運営している組織について説明します。

「県いなば園」は、三重県の外郭団体である「県厚生事業団」が運営しています。外郭団体とは、精選版日本国語大辞典によると、次のとおりです。

政党、官庁、公共団体などの組織の外にあって、それらの組織の仕事の一部を代行し、または支援する団体。官庁などから財政上の保障を得ているものが多い。

今回の事件で特に注目すべき点は、本来であれば見られないはずの個人情報が、興味本位でサーバーにアクセスすれば、二度も誰にも気づかれずにダウンロードできてしまったという事実です。

このことは、以下の点を示唆しています。

ずさんなアクセス管理: 職員が、業務上必要のない個人情報にまで容易にアクセスできてしまっていたという事実は、施設の情報システムにおけるアクセス権限の設定が、極めてずさんであったことを示しています。本来であれば、個人情報へのアクセスは必要最低限の職員に限定し、厳格に管理されるべきです。
サーバー監視体制の欠如: 職員が二度も個人情報を持ち出すという重大な不正行為を犯していたにもかかわらず、それが発覚しなかったという事実は、サーバーの監視体制が機能していなかったことを示しています。アクセスログの監視など、不正行為を早期に発見するための仕組みが整備されていなければ、同様の事件が繰り返される可能性は否定できません。
過去の不祥事との関連性: 今回の事件が発生した「県いなば園」では、過去にも入所者に対する虐待事件が報道されています¹。施設のガバナンスや倫理観が問われる状況で、情報セキュリティに対する意識も低くなっていた可能性が考えられます。

障害福祉サービス事業者は、利用者の個人情報を適切に管理する責任があります。

特に、デジタル化が進む現代においては、情報セキュリティ対策は事業運営における最重要事項の一つです。

今回の事件は、ずさんなアクセス管理とサーバー監視体制の欠如が、個人情報漏洩のリスクをいかに高めるかを示しています。

この記事を読んでくださった皆様には、今日からすぐに取り組んでいただきたいこととして、以下の２点に焦点を当てていただきたいと思います。

アクセス権限の見直し: 個人情報へのアクセス権限を、業務上本当に必要な職員だけに限定し、必要最低限に絞りましょう。アクセス権限の設定状況を定期的に見直し、不適切な設定がないか確認しましょう。
情報管理体制の強化: サーバーへのアクセスログの監視を導入し、不正なアクセスを早期に発見できる体制を構築しましょう。また、持ち出し可能な媒体（USBメモリなど）の利用制限や、持ち出し時のルールを徹底しましょう。

これらの対策は、今回の事件の教訓を踏まえ、現実的かつ効果的な対策として、特に重要であると私が考える2点に絞りました。情報漏洩のリスクを大きく低減するために不可欠です。

今回の事件を教訓に、まずはできることから着実に実行していきましょう。

今回の事件を契機に、皆様の施設における情報セキュリティ体制がより一層強化されることを願っています。