情報漏えいが続く今、保守を頼んでいても確認したい「担当の空白」

何が公表された？ 「最新にしているはず」の先まで問う注意喚起

個人情報保護委員会は、外部からの不正アクセスによって大量の個人データが漏えいした、または漏えいのおそれが生じた事案に接していると説明しています。今回の資料は、個別のWordPressサイトが侵害されたという発表ではありません。実際の事案から見えた、守り方の抜けを事業者に示したものです。

添付された事例には、制作や導入を業者に頼んでいても、その後の保守契約がない、あるいは保守契約に脆弱性への対応が含まれていないケースが挙げられています。情報を集めていても、誰が対策を実行するか決まらず、弱点が放置された例もあります。

資料は管理する情報の性質や量、事業の規模に応じて必要な対策を考えるよう求めています。掲載された技術的対策の「手法の例示」を、すべての小規模サイトに一律に義務づけたものとして読むのは正確ではありません。

小さなサイトにもある「誰かがやるはず」の空白

問い合わせフォームに氏名や連絡先が届くなら、その情報を預かるサイトです。大規模な会員サイトでなくても、保守の担当範囲を確かめる意味があります。WordPress本体だけでなく、プラグイン、テーマ、フォーム、サーバー、メールなど、運用の境目がいくつもあるからです。

例えば、制作会社はページの修正を担当し、サーバー会社は設備を管理し、社内担当者は問い合わせを読む。この分担だけでは、「フォームのプラグインに重大な弱点が見つかったとき、だれが利用状況を確かめ、更新し、フォームの動作を再確認するか」は決まりません。これは仮定の例ですが、契約名だけでは分からない空白を示します。

個人情報保護委員会は、弱点の把握、対処、実施状況の管理を一つの流れとして示しています。WordPressサイトに置き換えると、更新通知を受け取るだけで終わらせず、作業後の版と動作を確認し、結果を残すことが大切です。

今日の確認は、契約書と管理画面を並べるところから

契約書や運用メモを開き、対象・判断・実行・完了確認・異常時の連絡先を一枚に書き出します。全部を自分で直す必要はありません。「誰に頼めば進むか」を決めるための確認です。

弱点が自分のサイトに関係するか、対応の優先度や作業日を誰が判断・承認するかも決めておきます。

1. 対象を挙げる。WordPress本体、使用中のプラグインとテーマ、フォーム、サーバー、メールを確認します。利用していない機能や古い保存データも把握します。
2. 弱点を見つける人を決める。公式の更新情報や管理画面の通知を誰が見るか、緊急の連絡を誰が受けるかを確認します。
3. 更新する人と期限を決める。保守契約に更新・脆弱性対応が含まれるかを読み、含まれない項目は担当者と依頼先を決めます。
4. 完了を確かめる。更新後の版だけでなく、公開ページ・画像・問い合わせフォームが使えるかを確認し、結果を残します。
5. 異常時の連絡を決める。不審な管理者、見覚えのない転送、フォーム通知の異常を誰に伝えるかを決めます。

必要がなくなった個人データの消去も、今回の注意喚起が取り上げています。フォームの送信記録、受信メール、エクスポートした表が何年も残っていないか、保存が必要な根拠と合わせて見直しましょう。

すでに不審な動きがある場合は

まず発見した時刻、URL、画面、通知、関係するアカウントを記録し、保守担当へ連絡してください。原因が分かる前にファイルをまとめて削除したり、古いバックアップを上書きしたりすると、調査に必要な手がかりが失われることがあります。

個人データの漏えい、またはそのおそれがある場合は、状況によって本人への通知や関係機関への報告が必要です。要否や報告先は個人情報保護委員会の公式案内で確認し、必要に応じて専門家へ相談してください。サイトが止まっているだけで漏えいが確定したことにはなりません。