情報漏えいに関するお詫びと報告【確報：2025年3月29日 14:45】
弊社ホームページ内にあるクラウドサービスの専用Ｗｅｂフォームから受領した情報の一部（添付ファイル）について、個人情報の漏えいがあったことが判明しました。お客様をはじめ関係者の皆様に多大なご心配とご迷惑をおかけしていますことを深くお詫び申し上げます。弊社の対応と再発防止策を更新しました。また、弊社内で情報セキュリティに対する総点検を実施しました。その結果を含めた現況を確報として、以下に報告します。
１．事案の概要
２０２５年３月３日に弊社ホームページで個人情報を含むと思われるファイルが第三者から参照できる状態であることが外部個人情報保護機関を通じ指摘されました。調査した結果、お客様が専用Ｗｅｂフォームよりファイルを添付してお問い合わせをおこなった際に、添付されたファイルが不特定の方から参照できる状態であったことが判明しました。
２．情報漏えいした内容と件数等
３．事象発生の原因
２０１５年１１月にホームページを更改した際のセキュリティ設定に不備がありました。２０２２年９月よりホームページでファイル添付可能な専用Ｗｅｂフォームの運用を開始した際に、ホームページサーバーの一部ディレクトリが外部から参照可能になっていたことが原因でした。
４．弊社の対応
２０２５年３月３日に本件の事故を確認後、直ちにホームページの専用Ｗｅｂフォームに添付されたファイルが第三者に参照されないようにセキュリティの設定を変更しました。また、２０２５年３月５日に弊社内にセキュリティ対策本部を設置し、最優先課題として本件に取り組んでいます。そして、２０２５年３月６日に関連機関（個人情報保護委員会ならびに一般財団法人日本情報経済社会推進協会）へ報告し、助言を仰ぎ対応しています。また、２０２５年３月７日から対象となる情報をお預かりしていたお取引先には、個別に情報漏えいに関する報告と対応について相談しています。
弊社はホームページのセキュリティ強化対策として、専用Ｗｅｂフォームのファイル添付機能を２０２５年３月１２日に削除しました。また、弊社お取引先から弊社へ連絡する際に、弊社ホームページに設置した専用Ｗｅｂフォームを利用していましたが、このフォームの利用を２０２５年３月１３日に中止し、弊社のシステム保守問い合わせ窓口へ直接メールで連絡を行うように運用を変更しました。さらに、指示連絡に個人情報や機密情報を含むファイルの添付が必要な場合は、ファイルにパスワードを付与することを弊社内で徹底すると共に、お取引先にも同様の対応をお願いしました。
併せて、上述２項のお取引先のお客様に対しても報告とお詫びの対応を進めており、２０２５年４月１８日までに完了する予定です。その後も弊社セキュリティ対策本部宛てにお問い合わせをいただいた方々に責任をもって真摯に対応します。
５．再発防止策
本件事故発生の根本原因は、２０１５年１１月の弊社ホームページ立上げ時に当該サーバーのセキュリティ要件に不備がないかを点検するプロセスが十分ではなかったことにあります。社内情報資産に対する点検作業が担当者に属人化していたため、問題を発見できませんでした。
さらに、２０２２年９月に弊社ホームページに専用Ｗｅｂフォームの機能を追加した際、新たにお客様の情報資産を当該サーバー上で取り扱うことになりました。これにより当該サーバーのセキュリティ要件が格段に上がったにも関わらず、当該サーバーのセキュリティに対するリスクアセスメントが実施できていませんでした。ここでセキュリティ要件の再定義ができていれば、本件の情報漏えい事故は防げていたと考えます。
①規程の見直し
本件事故の発生を厳粛に受け止め、弊社で運用している個人情報の取り扱いに関する規程（※１）やセキュリティに関する規程（※２）を２０２５年３月１９日までに見直しました。見直した規程には、外部公開サーバー上で稼働しているシステムの利用方法や運用方法を変更する場合に、改めてセキュリティ要件に不備がないかをセキュリティ要件チェックリスト（※３）を利用して点検の上、システム管理者の承認を得るプロセスを追記しました。
②外部公開サーバーの総点検
改めて、弊社の外部公開サーバー上で稼働している全システムのセキュリティ要件を総点検しました。その結果、２０２５年３月２５日時点で稼働している全てのサーバーは、今回と同様の事象が無いことを確認しました。なお、直ぐに情報漏えいにつながる状態ではありませんが、さらなるセキュリティ強化が必要なサーバーに２０２５年４月１８日までにセキュリティ強化策を実施予定です。なお、お客様が利用しているサーバーについては、お客様と相談の上、２０２５年４月３０日までに対応日程を確定します。詳細はサーバー一覧表（※４）を作成し、管理しています。
また、自社で検討したセキュリティ強化策に不足がある可能性もあるため、外部調査機関に調査を依頼することを検討しています。２０２５年４月３０日までに対応予定です。
③教育の徹底
弊社役員と社員ならびにビジネスパートナーメンバーが、上述の規程に沿った行動を徹底できるように弊社内で臨時教育を実施し、２０２５年３月２８日に完了しました。
④監査による確認の徹底
年２回の頻度で定期的に実施している内部監査で、上述の規程に沿った運用が行われていることを監査します。とくに、システム利用方法や運用方法の変更があった場合のセキュリティ要件チェックリストの点検結果を徹底的に監査します。さらに内部統制の強化策として、情報システム部門が年１回実施していたシステム監査（※５）を年２回に変更します。システム監査頻度を増やすことで、社内のセキュリティリスク軽減を図ります。
※１ ＰＭＳ（ＪＩＳＱ１５００１）個人情報保護の規程（ＰＭＳ―Ｊ―０１、ＰＭＳ―Ａ―０１）
※２ ＩＳＭＳ（ＩＳＯ２７００１）情報セキュリティに関する規程（ＳＭＳ―Ｄ―０５）
ＱＭＳ（ＩＳＯ９００１）品質保証に関する規程（ＱＭＳ―Ｐ―１５）
※３ ＩＳＭＳ（ＩＳＯ２７００１）セキュリティ要件チェックリスト（ＩＳＭＳ―Ｌ１２１）
※４ ＩＳＭＳ（ＩＳＯ２７００１）サーバー一覧表（ＩＳＭＳ―Ｌ１２２）
※５ ＩＳＭＳ（ＩＳＯ２７００１）ＩＳＭＳ実施規程（ＳＭＳ―Ｄ―０１）に記載
＜本件に関するお問い合わせ先＞
サンネット株式会社
セキュリティ対策本部
電 話：0465-22-9707
受付時間：9:00～17:00(土・日・祝除く)
以上
１．事案の概要
２０２５年３月３日に弊社ホームページで個人情報を含むと思われるファイルが第三者から参照できる状態であることが外部個人情報保護機関を通じ指摘されました。調査した結果、お客様が専用Ｗｅｂフォームよりファイルを添付してお問い合わせをおこなった際に、添付されたファイルが不特定の方から参照できる状態であったことが判明しました。
２．情報漏えいした内容と件数等
| （１）情報漏えいした内容 | 件数 | |
| ①弊社お取引先のお客様情報 | ||
| ・事業所名、代表者名、住所、請求情報、口座番号 | １件 | |
| ・事業所名、代表者名、住所、電話番号、請求情報 | ２，０８１件 | |
| ・事業所名、住所、電話番号、請求情報 | １１０件 | |
| ・事業所名、代表者名、住所 | ５件 | |
| ・事業所名 | ３９２件 | |
| ②弊社お取引先の担当者情報 | ||
| ・担当者の氏名、メールアドレス | １０件 | |
| ・取引に用いた文書 | １５件 | |
| （１）合計 | ２，６１４件 | |
| （２）情報漏えいした事業所数 | １，５２４件 | |
３．事象発生の原因
２０１５年１１月にホームページを更改した際のセキュリティ設定に不備がありました。２０２２年９月よりホームページでファイル添付可能な専用Ｗｅｂフォームの運用を開始した際に、ホームページサーバーの一部ディレクトリが外部から参照可能になっていたことが原因でした。
４．弊社の対応
２０２５年３月３日に本件の事故を確認後、直ちにホームページの専用Ｗｅｂフォームに添付されたファイルが第三者に参照されないようにセキュリティの設定を変更しました。また、２０２５年３月５日に弊社内にセキュリティ対策本部を設置し、最優先課題として本件に取り組んでいます。そして、２０２５年３月６日に関連機関（個人情報保護委員会ならびに一般財団法人日本情報経済社会推進協会）へ報告し、助言を仰ぎ対応しています。また、２０２５年３月７日から対象となる情報をお預かりしていたお取引先には、個別に情報漏えいに関する報告と対応について相談しています。
弊社はホームページのセキュリティ強化対策として、専用Ｗｅｂフォームのファイル添付機能を２０２５年３月１２日に削除しました。また、弊社お取引先から弊社へ連絡する際に、弊社ホームページに設置した専用Ｗｅｂフォームを利用していましたが、このフォームの利用を２０２５年３月１３日に中止し、弊社のシステム保守問い合わせ窓口へ直接メールで連絡を行うように運用を変更しました。さらに、指示連絡に個人情報や機密情報を含むファイルの添付が必要な場合は、ファイルにパスワードを付与することを弊社内で徹底すると共に、お取引先にも同様の対応をお願いしました。
併せて、上述２項のお取引先のお客様に対しても報告とお詫びの対応を進めており、２０２５年４月１８日までに完了する予定です。その後も弊社セキュリティ対策本部宛てにお問い合わせをいただいた方々に責任をもって真摯に対応します。
５．再発防止策
本件事故発生の根本原因は、２０１５年１１月の弊社ホームページ立上げ時に当該サーバーのセキュリティ要件に不備がないかを点検するプロセスが十分ではなかったことにあります。社内情報資産に対する点検作業が担当者に属人化していたため、問題を発見できませんでした。
さらに、２０２２年９月に弊社ホームページに専用Ｗｅｂフォームの機能を追加した際、新たにお客様の情報資産を当該サーバー上で取り扱うことになりました。これにより当該サーバーのセキュリティ要件が格段に上がったにも関わらず、当該サーバーのセキュリティに対するリスクアセスメントが実施できていませんでした。ここでセキュリティ要件の再定義ができていれば、本件の情報漏えい事故は防げていたと考えます。
①規程の見直し
本件事故の発生を厳粛に受け止め、弊社で運用している個人情報の取り扱いに関する規程（※１）やセキュリティに関する規程（※２）を２０２５年３月１９日までに見直しました。見直した規程には、外部公開サーバー上で稼働しているシステムの利用方法や運用方法を変更する場合に、改めてセキュリティ要件に不備がないかをセキュリティ要件チェックリスト（※３）を利用して点検の上、システム管理者の承認を得るプロセスを追記しました。
②外部公開サーバーの総点検
改めて、弊社の外部公開サーバー上で稼働している全システムのセキュリティ要件を総点検しました。その結果、２０２５年３月２５日時点で稼働している全てのサーバーは、今回と同様の事象が無いことを確認しました。なお、直ぐに情報漏えいにつながる状態ではありませんが、さらなるセキュリティ強化が必要なサーバーに２０２５年４月１８日までにセキュリティ強化策を実施予定です。なお、お客様が利用しているサーバーについては、お客様と相談の上、２０２５年４月３０日までに対応日程を確定します。詳細はサーバー一覧表（※４）を作成し、管理しています。
また、自社で検討したセキュリティ強化策に不足がある可能性もあるため、外部調査機関に調査を依頼することを検討しています。２０２５年４月３０日までに対応予定です。
③教育の徹底
弊社役員と社員ならびにビジネスパートナーメンバーが、上述の規程に沿った行動を徹底できるように弊社内で臨時教育を実施し、２０２５年３月２８日に完了しました。
④監査による確認の徹底
年２回の頻度で定期的に実施している内部監査で、上述の規程に沿った運用が行われていることを監査します。とくに、システム利用方法や運用方法の変更があった場合のセキュリティ要件チェックリストの点検結果を徹底的に監査します。さらに内部統制の強化策として、情報システム部門が年１回実施していたシステム監査（※５）を年２回に変更します。システム監査頻度を増やすことで、社内のセキュリティリスク軽減を図ります。
※１ ＰＭＳ（ＪＩＳＱ１５００１）個人情報保護の規程（ＰＭＳ―Ｊ―０１、ＰＭＳ―Ａ―０１）
※２ ＩＳＭＳ（ＩＳＯ２７００１）情報セキュリティに関する規程（ＳＭＳ―Ｄ―０５）
ＱＭＳ（ＩＳＯ９００１）品質保証に関する規程（ＱＭＳ―Ｐ―１５）
※３ ＩＳＭＳ（ＩＳＯ２７００１）セキュリティ要件チェックリスト（ＩＳＭＳ―Ｌ１２１）
※４ ＩＳＭＳ（ＩＳＯ２７００１）サーバー一覧表（ＩＳＭＳ―Ｌ１２２）
※５ ＩＳＭＳ（ＩＳＯ２７００１）ＩＳＭＳ実施規程（ＳＭＳ―Ｄ―０１）に記載
＜本件に関するお問い合わせ先＞
サンネット株式会社
セキュリティ対策本部
電 話：0465-22-9707
受付時間：9:00～17:00(土・日・祝除く)
以上
