大阪市立大学で個人情報が流出！原因はメールの誤送信

大阪市立大学と言えば、全国的な知名度は高くありませんが、ノーベル賞受賞者が在籍するなど、高い研究実績を誇り、関西では名門大学として知られています。また、最近では大阪府立大学との法人統合を推進するなど、運営面での動向も注目され、ニュースのヘッドラインで目にすることも多くなりました。

さて、そんな大阪市立大学ですが、2018年2月16日に報道発表で同大学の卒業生や在校生の個人情報が漏洩したことを公表し、謝罪しました。ここではこの事件の内容を詳しく検証していきたいと思います。

個人情報漏洩の経緯と大学の対応

大阪市の発表によると、大阪市立大学が運営する学修支援推進室（OCUラーニングセンター）のウェブサイトを開設する際、同学の職員が関係者にメールで通知をしました。
この時、メール受信者が相互にメールアドレスなどの情報が分からないよう、Bcc欄に宛先を入力すべきところを、通常の宛先入力用のTo欄に入力してしまい、受信者が相互に個人情報が閲覧できる状態で一斉送信してしまったとのことです。

漏洩した個人情報の件数は、同学の卒業生38名、在校生20名合わせて58名分。個人情報の内容は、氏名とメールアドレスでした。

個人情報漏洩の経緯をまとめると以下のようになります。

2月13日（16：39～17：06）

大阪市立大学の職員が、同学の卒業生・学生58名に学修支援推進室ウェブサイトの開設をメールで通知。
送信対象者は、同学の教育研究センターが行う教育向上のための調査協力者。
職員が同メールの宛先設定（BCC設定）が正しく行われていなかったことに気づき、受信者にメールで謝罪し、当該メールの破棄を要請する。

2月16日

大阪市は、大阪市立大学で個人情報漏洩事故があったことをウェブサイトで公表し、謝罪のうえその経緯や内容を説明する。

大阪市立大学の体制に問題はなかったか？

大学職員がメールの送信ミスに早い段階で気づき、応急措置を行ったことから考えると、メール送信時のBCC設定については大学側にルールがあり、緊急時の対応についてもある程度の教育がされていたと考えられます。

ただし、事件発覚から公表までに数日時間がかかってしまっていることから、緊急時の連絡や事故公表までの手順が整備されていたのか、若干の疑問が残ります。

今回の事故は規模が小さく、対象者の範囲も狭いことから、二次被害の可能性は比較的低いと考えられます。
しかしながら、事故後の対応については可能な限り迅速に行う必要がありますので、緊急時の対応手順について改善の余地がないか、あらためて確認することが望ましいと思います。

大阪市立大学の再発防止策は？

大阪市立大学は再発防止策として、複数名へのメール送信時には第三者のチェックを必須とし、教員及び職員に個人情報保護の重要性について周知徹底するとしました。

しかしながら、第三者チェックについては継続性に疑問が残ります。
例えば、緊急性のあるメールを送信する際に自分以外の職員がいない場合など、第三者チェックが現実的にできないこともありえます。また、ルールを周知徹底したとしても、時間経過とともに対策がなしくずしになる可能性もあります。

では、よりリスクを低減でき、実効性が高い対策としては何が考えられるでしょうか？
ここで重要になるのが、可能な限り人間の裁量に頼った仕組みを避けるという考え方です。

例えば、メールソフトの設定で多重チェックが必ず行われるよう設定しておくことなどが有効な対策として挙げられます。
多くのメーラーでは送信時にアラートで再チェックを促したり、一旦送信ボックスにメールを移動し、送信をあらためて確定するまでは送信されないようにするなどの設定が可能です。
必要に応じてこれらの設定をしておけば、メール送信者は毎回再チェックを求められることになり、仮に第三者チェックが難しい場合でも、時間差で本人が再チェックする仕組みを作ることができます。