要約

  • ICOは、2024年のランサムウェア事案を巡り、Ogi NetworksとData Cymruに譴責を出した。持ち出された情報は3,300人に関係し、大半は子どもだった。
  • 委託関係の双方で統制の不備が認定された。Ogiではアカウントとパスワードの管理、Data Cymruでは処理者条項、監視、監査が問題となった。

英国情報コミッショナーオフィスは、事案が2024年11月1日に発生したとしている。Ogi Networksが2012年1月に作成した「Test2」というテスト用アカウントでは、「Password1」というパスワードが12年以上使われていた。ICOによると、アカウントは有効なままだったか、誤って再有効化された可能性がある。公表資料は、アクセスがどのように取り戻されたかまでは特定していない。

認定事項はこのアカウントだけではない。ICOは、子どもと家族を支援する二つの事業に関係する3,300人分の情報が持ち出され、その大半が子どもの情報だったとしている。また、182.7 GBが暗号化され、Data Cymruのシステムから42 GBが持ち出されたと説明した。暗号化と持ち出しは別の事実だ。すべての関連サービスが停止したとは書かれておらず、個人への具体的な被害も示されていない。

規制当局は、サービス関係の両側に責任を認定した。Ogiには英国GDPR第32条違反を理由に譴責を出した。ICOは、アカウント監査の不足、弱いパスワード管理、ローカル管理者アカウントの確認不足を挙げている。Data Cymruは第28条4項と第32条の違反で譴責された。処理者との取り決めには必要な条項がなく、サービスの提供、監視、監査を誰が担うかも明確でなかった。ICOはさらに、休眠アカウントを削除または更新させず、確認も定期的でなく不完全だったとした。

責任の分かれ方が重要だ。事業者は認証情報を作成し、技術的な管理を実施できる。一方、顧客側にも、有効なアカウントの一覧、確認者、確認を終えた証拠が必要になる。監視や監査の担当を契約で決めなければ、双方に安全上の義務があっても、古いアカウントが組織間に取り残される。ICOは双方の不備を認定したが、事案の全工程をどちらか一方に帰属させたわけではない。

ICOによると、両団体はその後、是正措置を報告した。金銭的な制裁ではなく譴責だった。執行上の判断は示されたが、運用面の問いは残る。委託先との境界を越えて、アカウントの責任者、期限、確認方法を今は証明できるのか。公表資料はサービス停止を報告せず、影響を受けた子どもの氏名や後続被害の規模も示していない。

出典：ICO発表；Ogi Networksの執行記録