Hagex-day info

紅茶とお菓子について書いているほっこりブログです

原子力規制委員会から回答はありませんでした→ありました

追記:メールは4月1日に来ていました。私のミスにより見落としていました。訂正エントリーも参考にしてください。追記ここまで



原子力規制委員会の職員研修用の文章がクラウドワークス経由で外部に流出した問題です。
原子力規制委員会に「情報漏れているよ! どうなってるのか木曜日まで回答してください」とメールを出したのですが、返信ありませんでした。その代わり、新聞でババーンと「原子力規制委員会の内部文書がネットで漏洩」と報道されたわけです……

原子力規制庁:内部資料が流出…ネット上に新人研修資料(毎日)
原子力規制庁:内部資料流出は翻訳会社 他の資料もか(毎日)
業者「パスワードかけず送付」 規制庁資料流出で(時事)
研修用内部資料がネット上に流出 原子力規制庁(テレビ朝日)

今までのエントリーはこちら

(1)原子力規制委員会の内部文章がランサーズ経由で漏洩!?
(2)原子力規制委員会のデータはやっぱり流出してはダメな奴でした

原子力規制委員会から連絡はありませでしたが、3月31日に原子力規制委員会の定例ブリーフィングの様子がYouTubeにアップされ、今回の問題について、担当者が答えていました。


原子力規制庁 定例ブリーフィング (平成27年3月31日)

20分45秒から、流出問題について記者から突っ込まれ、原子力規制委員会の担当者はつるし上げられています。
動画を見る時間がない人は、以下のIT Proにまとめられた記事を読めば概要がつかめます。

原子力規制庁が核燃料関連資料のネット流出で説明、「公知の内容で問題はない」(IT Pro)

「公知の内容で問題はない」とコメントしているけど、「じゃあなぜ機密性2なの?」と記者に突っ込まれたり、翻訳会社に依頼した文章は、規制委員会の許可無く第三者に見せてはならないから問題があるのは変わりなかったり、「この漏洩問題は原子力規制委員会のWebサイトに告知するのは」と記者から言われるも現段階で何もWebに書いていなかったりと、原子力規制委員会のダメダメっぷりがよくわかります。

ちなみに、原子力規制委員会から翻訳を受けていた会社は「エァクレーレン」。55件の研修資料の翻訳を4000万円の金額で受注していたようだ。この会社がランサーズに発注した履歴を見ると、原子力関連の仕事をかなり頼んでいるのがわかる。翻訳会社は「翻訳のダブルチェックのため、ランサーズに依頼した」と弁明しているようだけど、個人的には「全部、ランサーズ経由で仕事を発注して、中抜きしていたのでは?」と思ってしまうわけです。

エァクレーレンは、4月1日に今回の事件に対してコメントを出している。
弊社に関する情報漏洩関連の報道につきましてミラー

今般、弊社があるお客様より委託を受けた情報が、一時、第三者のアクセス可能な状態に置かれていたとの報道がありました。


本件につきましては、事実関係を調査中です。詳細が判明いたしましたら、本ウェブサイト上でもご報告いたしますので、しばらくお待ちください。


関係各方面をはじめ、皆さまにご心配・ご迷惑をおかけしていることを心よりお詫び申し上げます。

エァクレーレンのサイトを見ていると、「厳しい選考をパスした優秀なスタッフ」が翻訳業務を行っています! と宣伝しているんだけど、今回の事件をみると「全部第三者にまるなげじゃね?」と思ってしまう。
また、「情報セキュリティ基本方針」(ミラー)というページには

(略)
今後も当社がお客様との信頼関係を保持し、さらなる事業努力により、より良いサービスを提供するために、当社が取扱う情報資産に適切な安全対策を実施し、紛失・盗難・不正使用など様々な脅威から確実に保護しなければなりません。


そのためには、物理的・環境的・技術的なセキュリティの具体的対策ともに経営者・社員ともどもセキュリティに対して高い意識を持ち、セキュリティを尊重して行動を取ることが求められます。
(略)

実施事項

1.当社が取扱うすべての情報資産の「機密性」「完全性」及び「可用性」を確保し維持します。

2.上記(1)を維持・管理するため、情報セキュリティ運営体制を確立します。

3.規制、法律及び契約上の要求事項に対して違反しません。
(略)

と、1、2、3が全くできていない。「責任と義務及び罰則」という項目には

責任と義務及び罰則

当社は、本基本方針を維持するために策定された手順に従い、情報セキュリティに対する事故及び弱点を報告する責任を有し、お客様情報をはじめ、当社が取扱うすべての情報資産の保護を危うくする行為を行なった者は、就業規則および法令等に従い処分を行ないます。

と書かれているので、今後、どのような処分をだすのか気になる。

この会社、「プライバシーマーク」「情報セキュリティマネジメントシステム」と持っているので、発注者目線で見ると「情報セキュリティには気を配っている会社なんだ」と思うのは当然。しかし、実際は契約違反に機密情報漏洩という二本立て起してるわけで、利用者は何を信じればいいんでしょうかね~