2021年に発覚したLINEの個人情報問題は、多くの企業に「自社が使っているクラウドサービスのデータは誰が管理しているのか」という根本的な疑問を突きつけました。
しかし「LINE以外は問題ない」と安易に結論づけるのは早計です。クラウドサービスの多くは、データの保管場所・管理主体・第三国へのアクセス可能性が利用者に見えにくい構造になっています。
この記事では、LINE問題の概要を整理したうえで、企業がクラウドサービスを再評価するための確認ポイントと、リスクを低減するための対策を解説します。
対象読者
- 企業のシステム管理者やセキュリティ担当者
- クラウド導入や見直しを検討中の経営層
課題
- 利用中のクラウドサービスに潜むリスクが不明確である
- データ保管場所やアクセス権限の管理に不安がある
この記事で分かること
- クラウドサービス特有のセキュリティリスクの実態
- 自社の環境を安全に保つための5つの確認ポイント
これらの要点を押さえ、自社に最適なセキュリティ対策を講じましょう。
LINE問題とは何だったのか？（事実の整理）
LINE問題とは、2021年3月に発覚した当時のLINE株式会社（現LINEヤフー株式会社）における個人情報の不適切な管理に関する一連の事案を指しています。この章では、LINE問題の事実関係を整理し、なぜ大きな社会問題となったのかをわかりやすく解説します。
問題の概要と時系列
問題の概要として、日本の利用者の個人情報が海外からアクセス可能な状態になっていたことが挙げられます。具体的には、システム開発を委託していた中国の関連会社から、日本のサーバーに保管されている利用者の氏名や電話番号などの個人情報にアクセスできる状態でした。また、利用者がやり取りする画像や動画などのデータが、韓国のデータセンターに保管されていたことも判明しています。
当時の時系列は以下の表の通りです。
| 年月 | 出来事 |
|---|---|
| 2021年3月 | 一部報道をきっかけに、中国の委託先から日本の利用者の個人情報にアクセスできる状態であったことが発覚しました。 |
| 2021年4月 | 個人情報保護委員会が、個人情報保護法に基づく行政指導を行いました。 |
| 2021年4月 | 総務省が、通信の秘密の保護およびサイバーセキュリティの確保に関して行政指導を行いました。 |
これらの出来事から、クラウドサービスにおけるデータの保管場所やアクセス権限の管理が極めて重要であることが浮き彫りになりました。
個人情報保護法・ガイドラインとの関係
個人情報保護法・ガイドラインとの関係において、当時のLINE株式会社の対応にはいくつかの課題がありました。個人情報保護法では、個人データを外国にある第三者に提供する場合、原則として本人の同意を得る必要があります。しかし、当時のプライバシーポリシーでは、利用者の個人情報がどの国の第三者に提供されるのかが十分に明記されていませんでした。
さらに、委託先に対する監督義務の観点からも問題が指摘されています。個人情報保護委員会からの行政指導では、委託先である中国企業に対する安全管理措置の評価や見直しが不十分であったことが言及されました。利用者はサービスを利用する際、規約に同意することで自身のデータが適切に管理されると期待しています。そのため、企業はプライバシーポリシーをわかりやすく記載し、データの取り扱い状況を透明化することが求められます。
企業・官公庁への影響
企業・官公庁への影響は非常に大きく、多くの組織がクラウドサービスの利用方針を見直す契機となりました。当時、多くの自治体や政府機関が、住民への情報提供や行政サービスの一部としてLINEを業務利用していました。しかし、問題の発覚を受けて、総務省をはじめとする多くの官公庁が利用を一時見合わせる措置をとっています。
この事案は、民間企業にとっても対岸の火事ではありませんでした。業務連絡や顧客対応に消費者向けサービスを利用している企業は、自社の情報管理体制を再評価する必要に迫られました。現在では、機密情報や個人情報を取り扱う業務において、データの保管場所が国内に限定されているサービスや、さらに強固なセキュリティ機能を利用できるエンタープライズ向けのシステムへの移行が進んでいます。
なぜ「自社には関係ない」では済まないのか
なぜ「自社には関係ない」では済まないのか、疑問に思う方も多いかもしれません。クラウドサービスを導入している企業であれば、規模や業種を問わず、どの企業にも共通して発生し得る課題だからです。特定の企業で起きた問題として片付けるのではなく、自社の運用体制を見直す契機として捉える必要があります。
クラウドサービスに潜む「見えにくいリスク」
クラウドサービスに潜む「見えにくいリスク」は、サービスを利活用する上で見落とされがちな要素です。自社でサーバーを構築・管理するオンプレミス型のシステムとは異なり、クラウドサービスはベンダーがインフラやシステムを運用・管理します。そのため、セキュリティ対策の多くをベンダーに依存しやすく、自社のセキュリティポリシーと合致しているかどうかが不透明になりやすい傾向があります。
特に注意が必要なのは、会社が許可していないクラウドサービスを従業員が業務で利用するシャドーITの問題です。従業員が個人の判断でファイル共有サービスやコミュニケーションツールを利用することで、企業側が把握できないところで情報漏洩のリスクが高まります。システムの設定ミスやアクセス権限の管理不足から、機密情報が外部から閲覧できる状態になってしまう事例も少なくありません。
このような見えにくいリスクを可視化し、適切な対策を講じることが、クラウドサービスを安全に利用するための第一歩となります。総務省が公開している国民のためのサイバーセキュリティサイトなどから、クラウドサービスを利用する際の最新のセキュリティ要件を確認できます。
データの保管場所・管理主体・第三国アクセスの問題
データの保管場所・管理主体・第三国アクセスの問題も、クラウドサービスを利用する上で極めて重要な確認事項です。多くのクラウドサービスは、世界中にデータセンターを分散させて効率的に運用しています。そのため、自社の重要なデータが日本の法律が適用されない海外のサーバーに保管されている可能性があります。
以下の表は、データの取り扱いに関する主な確認項目と課題を整理したものです。
| 確認項目 | 具体的なリスクと課題 |
|---|---|
| データの保管場所 | データが保管されている国や地域の法規制が適用されるため、日本と同等の個人情報保護が担保されない可能性があります。 |
| データの管理主体 | データの所有権や管理責任が自社とベンダーのどちらにあるのかが曖昧な場合、情報漏洩時の責任の所在が不明確になります。 |
| 第三国からのアクセス | 開発や保守運用を海外の関連会社や委託先に任せている場合、第三国から自社のデータにアクセスされるリスクが存在します。 |
万が一セキュリティインシデントが発生した場合、データが保管されている国の法律に基づいて現地の政府機関による捜査が行われるため、日本企業の意図しない形でデータが第三者に開示される恐れがあります。データの保管場所やアクセス権限を持つ主体を正確に把握することは、企業のガバナンスを維持する上で欠かせない要素です。
日本企業が特に注意すべきポイント
日本企業が特に注意すべきポイントとして、契約内容や利用規約の十分な確認が挙げられます。海外のクラウドサービス事業者が提供するサービスを利用する場合、利用規約が外国語で記載されていたり、日本の法律に準拠していなかったりするケースがあります。トラブルが発生した際の準拠法や管轄裁判所が海外に設定されていると、法的な対応が非常に困難になります。
また、サイバー攻撃の手法は日々高度化しており、クラウドサービスを標的とした不正アクセスやランサムウェアの被害も増加しています。IPA（独立行政法人情報処理推進機構）が発表している情報セキュリティ10大脅威からもわかるように、サプライチェーンの弱点を悪用した攻撃には十分な警戒が必要です。
企業はクラウドサービスを導入する際、利便性やコスト削減といったメリットだけでなく、セキュリティリスクを総合的に評価する体制を構築する必要があります。ベンダーが提供するセキュリティ機能を正しく理解することで、自社の要件に合わせて適切に設定変更やアクセス制御を実施できます。これにより、情報漏洩や不正アクセスを防ぐ強固なセキュリティ環境を構築できます。
クラウドサービスを再評価するための5つの確認ポイント
クラウドサービスを再評価するための5つの確認ポイントについて、具体的に解説します。クラウドサービスは利便性が高い一方で、セキュリティリスクを低減するためには、企業自身が適切な基準を設けて評価することが重要です。
① データの保管場所（国・地域）を把握しているか
データの保管場所（国・地域）を把握しているかは、クラウドサービスを選定するうえで非常に重要な確認事項です。クラウドサービスに保存されたデータは、クラウド事業者が運用するデータセンターに保管されます。しかし、そのデータセンターが海外にある場合、現地の法律が適用される可能性があります。
たとえば、特定の国では政府が企業に対してデータの開示を求めることができる法律が存在します。そのため、機密情報や個人情報を取り扱う場合は、データが日本国内のサーバーに保管されているかを確認することが必要です。また、バックアップデータが別の国に保存されていないかどうかも、あわせて確認してください。
総務省が公開しているクラウドサービス提供における情報セキュリティ対策ガイドラインなどからも、データの物理的な保管場所を把握し、カントリーリスクを評価することの重要性がわかります。
② データへのアクセス権限が適切に管理されているか
データへのアクセス権限が適切に管理されているかどうかも、重要な確認ポイントです。クラウドサービスはインターネットを経由してどこからでもアクセスできます。そのため、不正アクセスや内部不正による情報漏洩を防ぐためのアクセス制御が不可欠です。
具体的には、MFA（多要素認証）を利用できるか、IPアドレスによるアクセス制限を設定できるかなどを確認してください。また、クラウド事業者側の従業員が、保守や運用の目的で自社のデータにアクセスする可能性もあります。事業者側のアクセス権限が最小限に制限されており、アクセスログを監査できる仕組みがあるかを確認することも重要です。
| 確認項目 | 具体的なチェックポイント |
|---|---|
| ユーザーの認証機能 | MFA（多要素認証）やSSO（シングルサインオン）を導入できるか |
| アクセス制御機能 | 役職や部署に応じた細かな権限設定や、IPアドレス制限ができるか |
| 事業者側のアクセス管理 | クラウド事業者の担当者によるデータアクセスの条件やログが明確か |
③ 利用規約・プライバシーポリシーを確認したか
利用規約・プライバシーポリシーを確認したかという点も、クラウドサービスの再評価において見落とされがちなポイントです。特に無料で提供されているサービスや、一般消費者向けのサービスを業務利用する場合、規約の内容が企業向けのセキュリティ要件を満たしていないことがあります。
確認すべき主な内容は、データが二次利用される可能性がないか、第三者への提供がどのように規定されているかという点です。サービス向上の目的で、アップロードしたデータがAI（人工知能）の学習データとして利用される規約になっている場合、機密情報が意図せず流出するリスクがあります。自社のセキュリティポリシーと利用規約に齟齬がないかを、法務部門と連携して確認することをおすすめします。
④ 情報漏洩時の責任範囲・補償内容を確認したか
情報漏洩時の責任範囲・補償内容を確認したかどうかも、万が一の事態に備えるために欠かせません。クラウドサービスを利用している際にシステム障害や情報漏洩が発生した場合、クラウド事業者と利用企業のどちらが責任を負うのかは、SLA（サービスレベル契約）や利用規約によって定められています。
多くのクラウドサービスでは、責任共有モデルという考え方が採用されています。これは、インフラストラクチャのセキュリティは事業者が担保し、そのうえで管理されるデータやアクセス権限のセキュリティは利用企業が責任を持つという仕組みです。障害時のデータ復旧や情報漏洩時の損害賠償について、事業者がどこまで対応できるかを事前に把握しておくことが求められます。
⑤ 代替手段（オンプレミス型・プライベートクラウド）を検討したか
代替手段（オンプレミス型・プライベートクラウド）を検討したかどうかも、リスク管理の観点から重要です。パブリッククラウドは手軽に導入できますが、セキュリティ要件が極めて高いデータを取り扱う場合、要件を完全に満たすことが難しいケースがあります。
そのような場合は、自社専用の環境を構築するプライベートクラウドや、自社設備内でシステムを運用するオンプレミス型への移行を検討してください。これらの環境であれば、独自のセキュリティポリシーを適用し、データの保管場所やアクセス経路を完全にコントロールできます。業務の性質や取り扱うデータの重要度に応じて、クラウドサービスと代替手段を使い分けることが安全な運用につながります。
ビジネスチャット・コミュニケーションツールの再評価ポイント
クラウドサービスのセキュリティリスクを見直す中で、ビジネスチャット・コミュニケーションツールの再評価ポイントは非常に重要な要素となっています。近年、業務の効率化を目的としてさまざまなコミュニケーションツールが導入されていますが、情報の取り扱いやデータの保管場所に関するリスクが顕在化しているためです。とくに機密情報や個人情報を取り扱う場合、組織のポリシーに合わせて適切なツールを選定し直すことが求められています。
LINE・Slackなど一般消費者向けツールを業務利用するリスク
LINE・Slackなど一般消費者向けツールを業務利用するリスクは、主にデータ管理の所在とアクセス権限の不透明さにあります。LINEヤフー株式会社が提供する「LINE」などの一般消費者向けツールは、手軽に導入して社内外のコミュニケーションを円滑化できます。しかし、業務で利用する場合には、企業側が従業員のやり取りや共有されたファイルを一元的に管理できないことが大きな課題となっています。退職した従業員のアカウントから情報が漏洩したり、意図しない第三者に機密情報が共有されたりするリスクを排除できないためです。
また、クラウド型のツールでは、データが海外のサーバーに保管されることがあります。海外のサーバーにデータが保管されている場合、その国の法令が適用される可能性があり、日本の個人情報保護法だけでは守りきれない事態も想定されます。総務省が公開しているテレワークセキュリティガイドラインからも、クラウドサービスを利用する際のデータ保管場所やアクセス制御の重要性がわかります。
ここで、一般消費者向けツールと法人向けツールの特徴を比較して整理します。
| 比較項目 | 一般消費者向けツール | 法人向けビジネスチャット |
|---|---|---|
| 管理者によるログ監視 | 原則として不可 | 一元的に管理・監査できます |
| アクセス権限の制御 | 個人に依存 | 組織のポリシーに合わせて細かく設定できます |
| データの保管場所 | 提供元に依存（海外の可能性あり） | 契約内容に応じて国内限定などを選択できます |
オンプレミス型ビジネスチャットへの移行という選択肢
オンプレミス型ビジネスチャットへの移行という選択肢は、クラウドサービス特有のセキュリティリスクを根本から解決するために有効です。オンプレミス型とは、自社のサーバーやデータセンター内にシステムを構築して運用する形態を指します。クラウドサービスのように外部のネットワークを経由せず、自社の閉域網内でデータのやり取りを完結できます。
すべてのデータが自社の管理下に置かれるため、第三国からの不正アクセスやサービス提供元の規約変更に振り回される心配がありません。さらに、既存の社内システムやActive Directory（アクティブディレクトリ）と連携させることで、安全かつ効率的にユーザー認証を統合できます。初期費用やサーバーの保守運用に関する人的リソースは必要になりますが、情報漏洩が企業活動に与える致命的なダメージを考慮すると、高いセキュリティ水準を維持できるオンプレミス型は有力な解決策となっています。
Rocket.Chatが自治体・官公庁・金融機関に選ばれる理由
Rocket.Chatが自治体・官公庁・金融機関に選ばれる理由は、オンプレミス環境に構築できるオープンソースのビジネスチャットツールであり、極めて高い機密性を確保できるためです。Rocket.Chatを利用することで、組織は独自のサーバー内にチャット環境を構築し、データの保管場所を完全にコントロールできます。
また、テキストメッセージのやり取りだけでなく、ファイルの共有やビデオ会議の機能も安全な環境下で利用できます。自治体や官公庁では、住民の個人情報や行政の機密情報を扱うため、外部のクラウドサービスへのデータ保存が制限されるケースが少なくありません。Rocket.Chatであれば、外部ネットワークから遮断された環境でも稼働させることができ、厳格なセキュリティ要件を満たすシステムを構築できます。
さらに、エンドツーエンド暗号化（E2EE）を設定することで、通信経路上での盗聴リスクを最小限に抑えられます。細かなアクセス権限の付与や、監査ログの取得も標準機能として備わっており、万が一のインシデント発生時にも迅速に原因を特定できます。このように、利便性を損なうことなく強固な情報統制を実現できることが、高いセキュリティを求める機関から評価されている理由です。
※「LINE」はLINEヤフー株式会社の登録商標または商標です。
※「Slack」は株式会社セールスフォース・ジャパンまたはその関連会社の登録商標または商標です。
※「Rocket.Chat」はRocket.Chat Technologies Corp.の登録商標または商標です。
よくある質問（FAQ）
LINE問題はいつ発覚し、どのような処分がありましたか？
LINE問題はいつ発覚し、どのような処分がありましたかという疑問について解説します。2021年3月、当時のLINE株式会社において、中国の関連会社から日本のサーバーにある個人情報にアクセスできる状態になっていたことが発覚しました。また、画像や動画データが韓国のサーバーに保管されていたことも明らかになっています。
この問題を受け、政府機関から詳細な報告が求められ、行政指導が行われました。具体的な経緯と処分内容は以下の通りです。
| 時期 | 主な出来事と処分内容 |
|---|---|
| 2021年3月 | 海外拠点からのデータアクセスおよび海外サーバーでのデータ保管が発覚 |
| 2021年4月 | 個人情報保護委員会から当時のLINE株式会社に対して、個人情報保護法に基づく行政指導を実施 |
企業が利用者の個人情報を適切に管理し、その取り扱いについてわかりやすく説明する責任があることが、この行政指導から再認識されています。
クラウドサービスのデータが海外サーバーに保管されると何が問題ですか？
クラウドサービスのデータが海外サーバーに保管されると何が問題ですかという点について説明します。データが海外のサーバーに保管されると、そのサーバーが設置されている国や地域の法律が適用される可能性があります。
現地の法律や政府の権限によって、企業や利用者の同意を得ることなく、データへのアクセスが要求されるリスクが生じます。日本の法律が及ばない場所で重要なデータが管理されるため、情報漏洩などのインシデント発生時に迅速な対応が非常に困難になるという問題が懸念されています。
企業がオンプレミス型ビジネスチャットに切り替えるメリットは何ですか？
企業がオンプレミス型ビジネスチャットに切り替えるメリットは何ですかという質問にお答えします。企業がオンプレミス型のシステムに切り替える最大のメリットは、自社の管理下にあるサーバーでデータを完全に制御できることです。
外部のクラウドサービスに依存しないため、海外の法律による干渉や、サービス提供者の規約変更による予期せぬリスクを排除できます。また、自社の厳格なセキュリティポリシーに合わせた独自のカスタマイズも実現できます。
自治体や官公庁はどのようにクラウドサービスを評価していますか？
自治体や官公庁はどのようにクラウドサービスを評価していますかという点について解説します。自治体や官公庁は、クラウドサービスを導入する際に、政府が定めるセキュリティ評価制度を重要な基準として活用しています。
代表的な制度として、ISMAP（政府情報システムのためのセキュリティ評価制度）があります。ISMAPに登録されているサービスから選定することで、国が求める一定のセキュリティ基準を満たしているかを客観的に確認できます。自治体や官公庁は、こうした公的な評価制度から情報を取得し、安全性を慎重に判断しています。
Rocket.Chatのデータはどこに保管されますか？
Rocket.Chatのデータはどこに保管されますかという疑問について説明します。Rocket.Chatのデータは、導入する形態に合わせて保管場所を柔軟に選択できます。
オンプレミス型として自社サーバーに導入した場合は、すべてのデータが自社の管理するサーバー内に安全に保管されます。また、プライベートクラウド環境に構築した場合も、企業が指定した国内のデータセンターからデータを管理できます。これにより、データの保管場所を明確に把握し、第三国からのアクセスリスクを低減できます。
※「LINE」はLINEヤフー株式会社の登録商標または商標です。
※「Rocket.Chat」はRocket.Chat Technologies Corp.の登録商標または商標です。
まとめ
本記事では、LINE問題を教訓としたクラウドサービスのセキュリティリスクと、企業が取り組むべき見直しポイントについて解説しました。
クラウドサービスには、データの保管場所や第三国からのアクセスといった「見えにくいリスク」が潜んでいます。「自社には関係ない」と放置せず、データへのアクセス権限や利用規約など、5つの確認ポイントを用いて利用中のサービスを再評価することが重要です。
特に業務で利用するコミュニケーションツールにおいては、情報漏洩を防ぐために、自社でデータを完全に管理できるオンプレミス型のビジネスチャットや、Rocket.Chatのように官公庁や金融機関でも採用されるセキュアな代替手段への移行を検討し、組織のセキュリティ体制を強化していきましょう。
