一般社団法人日本印刷産業連合会（日印産連）プライバシーマーク審査センターは、この度のプライバシーマーク審査関連資料の漏えいについて、お詫びと今後の対策などを発表している。
以下、お詫び文から、その内容を掲載する。

ーーーーーーーーーーーーーーーー
この度、当審査センターと審査業務に関する契約を締結していたプライバシーマーク審査員一名が、個人所有のパソコンにより審査業務を行った後、本来破棄すべき審査関連資料を当審査センターの規定に違反して外部記憶媒体に保存していたところ、当該情報が外部に漏えいしたことが判明いたしました。
外部記憶媒体内に、同審査員が別途契約を締結している一般財団法人 日本情報経済社会推進協会 （以下、JIPDEC）の審査関連データも含まれていたことから、JIPDEC 及び当審査センターにて外部専門調査機関へ調査を依頼したところ、プライバシーマーク審査に係る事業者情報と審査関連資料が少なくとも2020年７月13日から2023年８月８日までインターネット上で閲覧可能な状態となっており、加えてその期間中に少なくとも３種類のランサムウエアによる攻撃を受けていたことが確認されました。
現時点において、審査関連資料の不正利用等は確認されておりませんが、関係者の皆様に多大なるご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。
以下に、事象の概要、発生原因、再発防止策、今後の対応等につきまして、ご報告をさせていただきます。
なお、該当する事業者様には、別途書面にてご連絡を差し上げております。

①事象の概要
・2023年８月８日、JIPDECが審査をした審査関連資料のデータがインターネット上に漏えいしている旨の連絡がJIPDEC にあり、JIPDEC が当該審査員へ連絡。
　当該審査員は、当審査センターにその旨を報告。
・８月９日、JIPDECと当審査センターとで協議の上、当該審査員のパソコンおよび外部記憶媒体を、JIPDECから専門調査機関へ調査依頼。
・８月10日、JIPDECのホームページにて「プライバシーマーク審査関連資料の漏えいについて」を公表。
・ランサムウエアによる攻撃を受け暗号化されたファイルに、当審査センターが担当した審査関連資料及び個人情報が含まれていることが判明したため、当審査センターより個人情報保護委員会へ事故報告書（速報）を提出。
・専門調査機関より、外部記憶媒体がインターネット上で閲覧可能な状態であった旨の調査報告を受ける。
　インターネット上で閲覧可能な状態となっていた審査関連資料のうち、当審査センターが担当した事業者様は388 社。

②外部記憶媒体に保存されていた情報
＜事業者様情報＞ 388 社分
　事業者名、所在地、電話番号、代表者名及び担当者名並びに一部担当者のメールアドレス
＜審査関連資料＞
　審査員がプライバシーマークの審査にあたって作成した審査報告書及び関連資料
　・個人情報保護規程類の整備状況
　・個人情報保護規程類に基づく運用状況
　・個人情報保護マネジメントシステムの体制
＜審査員情報＞ 27名分
　審査員名、住所、電話番号、メールアドレス

③発生原因
・審査員には、当審査センターの規定「安全管理マニュアル」にて、審査が終了した事業者の資料・データは、プライバシーマーク付与適格決定から２週間以内に破棄・消去することを義務付けており、毎年３回（３月、７月、11 月）、「審査センター外作業の定期報告書」にて、資料・データを破棄・消去したことを報告させている。
・当該審査員も「審査センター外作業の定期報告書」で、資料・データを全て破棄・消去したとの報告をしていたが、実際には規定に違反して外部記憶媒体にバックアップを保存していた。
　その際に外部記録媒体のセキュリティ設定方法を誤り、インターネットから閲覧できる状態になっていた。

④再発防止策
・自宅での作業時は、当審査センターにある審査用パソコンにリモートアクセスし、審査用パソコン内でデータを編集・保存する仕組みに変更し、自宅パソコンおよび外部記憶媒体等に審査関連データが保存できないようにした。
・2023年９月19日よりテスト運用を行い、作業性と安定性を確認した後、11月より全審査員に導入。

⑤今後の対応
・今回の事態を重く受け止め、引き続き二次被害発生状況の監視を行うとともに、再発防止に向けたセキュリティ強化の対応をしてまいります。また、二次被害などの新たな情報が発覚した場合は、ただちに当該事業者様にご連絡を行い、併せて当審査センターホームページにてご報告いたします。

ーーーーーーーーーーーーーーー

この件に関する問い合わせ先は以下の通り。
一般社団法人 日本印刷産業連合会　プライバシーマーク審査センター
電話：03 3553 6065 （受付時間 平日 10時～16時）
ホームページ：https://www.jfpi.or.jp/pmark_inquiry/?Return_URL=/inquiry_detail/id=28