ペンシルバニア州ジョシュ・シャピロ(Josh Shapiro )前司法長官 (注1)は11月7日、ペンシルベニア州が他の司法長官の連合とともに、2012年と2015年に経験した484,147人のペンシルベニア州の個人情報を侵害したデータ漏洩・侵害に関して、エクスペリアン(Experian plc)(注2)との２つの多州和解を取得したと発表した。
また、Tモバイル(T-Mobile) (注3)にクレジット払い申請書を提出した40万人以上のペンシルベニア州の消費者に影響を与えた2015年のエクスペリアンの違反行為に関連して、T-Mobileと追加の和解が成立した。同和解の下で、両社はデータセキュリティ慣行を改善し、計40州に合計1600万ドル(約8億8,200万円)以上を支払うことに合意した。ペンシルベニア州は、これらの和解から464,000ドル(約6,800万円)を受け取る。
このリリースを読んで、日本の読者はどのように感じるであろうか。権限のない攻撃者がエクスペリアンのネットワークの一部にアクセスし、個人情報を保存したデータ侵害を経験したと報告があったことをうけた40州の州知事の告発は当然のことながら、この事件ではエクスペリアンの消費者信用データベースやTモバイルのシステムも、この侵害で不正アクセスされることはなかったという事実である。
きっと、わが国ではもみ消される事件であろうし、さらにエクスペリアンやTモバイルの今後の具体的遵守条件はわが国の法執行機関にとって参考になる情報であろう。
１．シャピロ前長官の声明と大規模なデータ侵害事件の概要
シャピロ長官は、「これらのデータ侵害は、企業行動の変化を強制するまで発生し続ける。エクスペリアンとTモバイルは、消費者の個人情報を保護する責任を怠った。彼らのシステムは大規模なデータ侵害に対して脆弱であり、何百万人ものアメリカ人の個人識別情報が危険にさらされた。この和解により、エクスペリアンとTモバイルは正しいことを行い、予防可能なデータ侵害につながったセキュリティ障害を修正する必要がある」と述べた。
2015年9月、世界の3つの主要な信用調査機関の1つであるエクスペリアンは、クライアントであるTモバイルに代わって、権限のない攻撃者がエクスペリアンのネットワークの一部にアクセスし、個人情報を保存したデータ侵害を経験したと報告した。この違反には、2013年9月から2015年9月の間にTモバイルの後払いサービス(postpaid services)とデバイス・ファイナンス(device financing)(注4)を申請した消費者に関連する情報が含まれていた。アクセスされた情報には、名前、住所、生年月日、社会保障番号、識別番号(運転免許証やパスポート番号など)、およびTモバイル独自の信用評価に使用される関連情報が含まれていた。なお、エクスペリアンの消費者信用データベースやTモバイルのシステムも、この侵害で不正アクセスされることはなかった。
40州の多州原告グループは、2015年のデータ侵害に関連して、エクスペリアンとTモバイルから別々の和解を取得した。1,267万米ドル(約17億8700万円)の和解の一環として、エクスペリアンは今後、適切な配慮(due diligence)とデータセキュリティの実践を強化することに合意した。それらには､以下が含まれる｡
①エクスペリアンが個人情報のプライバシーとセキュリティを保護する範囲に関するクライアントへの虚偽表示の禁止。
②ゼロ・トラストの原則(注5)、定期的な幹部レベルの報告、および強化された従業員トレーニングを組み込んだ包括的な情報セキュリティプログラムの実施。
③ 統合前に、会社が買収を適切に精査し、データ・セキュリティの懸念を評価することを要求する適切な配慮規定(Due diligence provisions)の明確化。
④ 識別子としての社会保障番号の使用を減らすことを目的とした特定の取り組みを含む、データの最小化と廃棄の要件の明確化。
⑤ 暗号化、セグメンテーション、パッチ管理、侵入検知、ファイアウォール、アクセス制御、ロギング(注6)と監視、侵入テスト、リスク評価など、特定のセキュリティ要件の明確化。
この和解では、エクスペリアンは影響を受ける消費者に5年間の無料信用監視サービスを提供し、その期間中は毎年2部の信用報告書を無料で提供する必要がある。2019年のクラスアクション和解で集団会員であった消費者は、引き続きこれらの拡張信用監視サービスに登録する資格がある。影響を受ける消費者は、5年間の延長信用監視サービスに登録し、適格性に関する詳細情報を見つけることができる。
なお、エクスペリアンが保存したT-Mobile応募者データの2015年の違反は、 エクスペリアンと州の間で合意された和解の下での無料の信用監視 登録に関しあなたが受け取る資格があることを確認するため 無料の信用監視、登録ページをクリックされたい。登録期間は 6 か月間開いたままになる。
別の243万ドル(約3億4300万円)の和解で、Tモバイルは、今後のベンダー監視を強化するために設計された詳細なベンダー管理条項に同意した。それらには以下の項目が含まれる。
①ベンダー・リスク管理プログラムの実施。
Tモバイル・ベンダー契約在庫管理の維持(ベンダーが受信または維持する情報の性質と種類に基づくベンダー・リスク評価を含む)。
②Tモバイルのベンダーおよびサブベンダーに対する契約上のデータセキュリティ要件の賦課(セグメンテーション、パスワード、暗号化キー、パッチ適用に関連するものを含む)。
③ ベンダー評価および監視メカニズムの確立。
④ ベンダーのコンプライアンス違反に対応するための適切なアクション(契約終了まで)。
Tモバイルとの和解は、2021年8月にTモバイルが発表した無関係で大規模なデータ侵害には関係せず、司法長官の多州連合によってまだ調査中である。
エクスペリアンは、私立探偵を装った個人情報窃盗犯がEDCの商用データベースに保存されている機密性の高い個人情報へのアクセスを許可されたときに発生した2012年のデータ侵害の防止と通知をエクスペリアン・データ・コーポレーション(Experian Data Corp:EDC)が怠ったことに関連して、エクスペリアンが所有する別の会社であるエクスペリアン・データ・コーポレーション(EDC)に対する別の多州調査を解決するためにさらに100万ドル(約1億4100万円)を支払うことに同意した。その和解決議の下で、EDCは、個人情報を提供する第三者の審査と監視を強化し、データセキュリティ・インシデントを調査して司法長官に報告し、潜在的な個人情報の盗難を検出して対応するための「レッドフラッグ」(注7)プログラムを維持することにも同意した。
データ侵害または個人情報の盗難の影響を受けた可能性があると思われるペンシルベニア州民は、オンラインで苦情を申し立てるか、消費者保護局(800-441-2555)またはscams@attorneygeneral.gov に連絡することができる。
*******************************************************************************
(注1) ペンシルベニア州の知事選では、民主党のジョシュ・シャピロ州司法長官が、選挙不正に関する誤った主張を繰り返した共和党候補のダグ・マストリアーノ州上院議員を破った。
(注2)エクスペリアン（Experian plc）は、90カ国以上でデータや分析ツールを提供しているグローバルなサービス企業である。エクスペリアングループ各社は、企業の信用リスク管理、不正防止、マーケティングのターゲット絞り込みや意思決定の自動化などのサービスを提供。また、日本国外では、企業だけでなく個人に対しても信用情報管理やID盗難防止などを支援し、ヨーロッパ最大級の個人情報、企業情報を扱うクレジットビューロー(信用調査機関)・信用調査会社として知られている。(Wikipediaから一部抜粋)
(注3)日本語版ウィキペディア「 T-モバイル」解説は「この記事は更新が必要とされています。この記事には古い情報が掲載されています。編集の際に新しい情報を記事に反映させてください。」とある。その意味で筆者は英語版Wikipedia にもとづき 本ブログで詳しく取り上げた。
(注4) 簡単な毎月の分割払いで、いつでも最新かつ最高のデバイスを柔軟に入手できる。期間の全期間にわたって支払うか、必要に応じてデバイスの合計金額を返済するかを選択できる。最良の部分?あなたのクレジットに影響を与えない迅速かつ簡単な資金調達の決定で、新しいデバイスを0ドルで入手が可能となる。
(注5) 境界の内部が侵害されることも想定したうえで、情報システムおよびサービスの要求ごとに適切かつ必要最小の権限でのアクセス制御を行う際に、不確実性を最小限に抑えるように設計する原則。
(注6) ロギングとは、起こった出来事についての情報などを一定の形式で時系列に記録・蓄積すること。そのように記録されたデータのことを「ログ」（log）という。(IT 用語辞典から引用)
(注7) レッド・フラグ・ルール（Red Flag Rules）につき、米国財務省および連邦取引委員会「2003年公正かつ正確な信用取引のための法律（Fair and Accurate Credit Transctions Act:FACTA）」114条「個人情報盗難の危険信号および住所の不一致」は、2007年11月に制定された。 消費者口座を保管する各金融機関、銀行、債権者はこの法律により、特別な個人情報盗難防止プログラムの開発を義務付けられている。
**************************************************************
Copyright © 2006-2022 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce material available at this site for your own personal use and for non-commercial distribution．
※コメント投稿者のブログIDはブログ作成者のみに通知されます