ウェールズ天然資源公社、データ漏えいで従業員の機微なダイバーシティ情報が流出

ウェールズ天然資源公社(Natural Resources Wales、NRW)は、現従業員および元従業員に関する機微なダイバーシティ・モニタリング情報が関わる個人情報の漏えいを報告しました。今回の漏えいは、2013年4月から2018年3月までの間にNRWに雇用されていた人物が対象となっています。

辞書＆百科事典

社内調査により、従業員データを含むスプレッドシートが誤ってオンライン上に公開され、問題が発見・是正されるまでの間、情報が閲覧可能な状態になっていたことが明らかになりました。

ウェールズ天然資源公社のデータ漏えい

NRWの漏えい通知によると、流出したスプレッドシートには、職場のダイバーシティおよび平等モニタリングを目的として収集された特別カテゴリーの個人データが含まれていた可能性があるとしています。

流出した可能性のある情報には、従業員の民族的出自、障害の有無、宗教または信条、性的指向、ウェールズ語能力、介護責任、その他の平等モニタリングに関するデータが含まれていました。NRWは、すべてのデータ項目が影響を受けたすべての個人に該当していたわけではないと強調しています。

NRWは影響を受けた具体的な人数を公表していませんが、ダイバーシティ関連の記録は個人の属性、健康状態、信条、私的な事情など、アイデンティティに関わる重要な側面を明らかにしかねないため、情報の機微性の高さから深刻なプライバシー上の懸念が生じています。NRWは「すべてのデータ項目がすべての個人に該当していたわけではありません」と述べています。

誤って情報が公開されていたことを把握した後、NRWは直ちに対応しました。具体的には、スプレッドシートを公開していたウェブサイトから削除し、当該情報が完全に消去されるよう措置を講じています。

同社はまた、他の公開情報についても見直しを行い、関連する漏えいリスクの特定と低減に努めました。法律で義務付けられている通り、NRWは本件をイギリス情報コミッショナー事務局(ICO)に報告しています。

同社はすでに全容調査を完了しており、今後同様のインシデントが発生するリスクを最小化するため、引き続き社内プロセスと管理体制の見直しを進めています。NRWは「情報が悪用されたという証拠は確認されていませんが、心当たりのない連絡には注意を払い、懸念がある場合はご報告いただくようお願いいたします」とコメントしています。

機微な従業員データセットはソーシャルエンジニアリングの標的となる可能性があります。攻撃者はこうした情報を悪用し、説得力のあるフィッシングメールやなりすまし、標的型詐欺を仕組むことができるためです。

今回の漏えいの影響を受けた人は、自身の雇用歴、個人的特性、ウェールズ語に関する情報、ダイバーシティに関連する話題に言及する不審な連絡に注意を払う必要があります。

NRWは、今回のインシデントによって影響を受けた従業員が抱く不安や懸念を認識し、謝罪しています。同社は、影響を受けたと思われる人物に対して直接連絡を行っています。

2013年4月から2018年3月までの間にNRWに勤務しており、自身が今回の影響を受けた可能性があるにもかかわらず連絡を受けていない元従業員・現従業員は、[email protected] までNRWに問い合わせるよう呼びかけられています。

今回のインシデントは、業務用スプレッドシートを公開することのリスクを改めて浮き彫りにしています。ファイルを一般公開する前に、データの最小化、アクセス制御、文書レビュー手続きを実施することの重要性を示す事例と言えるでしょう。

辞書＆百科事典

アクティブなマルウェアやフィッシングの発生から24時間以内に、SOCを最新の情報でアップデート。ANYRUNの早期検知でインシデントを未然に防ぎましょう。