セキュリティ
従業員がセキュリティポリシーを順守せず、内部管理ファイルが一般公開状態に
英国政府のコーポレートファイナンス顧問機関は、従業員数十人分の氏名と業務用メールアドレスを含む内部ファイルを、約40時間にわたって一般公開状態のまま放置していたことを認めました。
この情報漏えいはThe Guardianが最初に報じたもので、UK Government Investments(UKGI)の年次報告書で明らかにされました。報告書によると、2025-26会計年度中に発生したもので、原因は職員が「確立された情報セキュリティポリシーを順守しなかった」ことにあるとされています。流出した文書には「高レベルの管理情報」に加え、政府職員51名分の氏名と業務用メールアドレスが含まれていました。
UKGIは財務省が所有する組織で、企業救済から数十億ドル規模の株式売却まで、あらゆる案件について閣僚に助言を行っています。今回の件については、義務的な通知の基準には該当しなかったものの、自主的に英国情報コミッショナー事務局(ICO)へ報告したとしています。また、監査・リスク委員会にも報告するとともに、外部機関による調査を依頼しました。
報告書ではそれ以上の詳細はほとんど明らかにされていません。UKGIは漏えいが発生した時期やファイルが公開されていた場所、誰かがそのファイルにアクセスまたはダウンロードしたかどうか、対象となった職員がどの部署に所属していたかについて言及していません。また、調査を行った外部機関の名称や、その調査で示された提言内容も公表していません。
調査の結果、UKGIの対応は適切だったと結論づけられ、セキュリティ対策とインシデント対応体制のさらなる改善が提言されました。報告書によれば、こうした提言の「大部分」はすでに実施済み、あるいは今後数カ月以内に導入される予定だとしています。
今回の不手際は、UKGIが英国政府にとって最大級の商取引の数々に関わってきた年に発生しました。政府が保有していたNatWest株の残りをようやく売却したほか、小型モジュール炉(SMR)の資金調達に関する助言、Eutelsatの資金調達やRoyal Mail買収の支援などを手がけています。
The RegisterはUKGIに対し、流出したファイルに氏名とメールアドレス以外にどのような情報が含まれていたか、どこで一般公開状態になっていたか、公開中にアクセスされた証拠があるか、そしてその後どのような追加の安全対策が導入されたかについて、さらなる詳細を問い合わせています。
今回の件が単なる失態にとどまるのか、それとも職員に実質的なリスクをもたらしたのかは、UKGIがまだ明らかにしていない詳細次第と言えるでしょう。®
