プレスリリース

2005

ポスト

2005年7月22日
関西電力株式会社

三菱電機関連会社からの当社設備関連情報の漏えいに係る調査結果について

１．漏えい情報の内容・事実関係の確認について
	三菱電機関連会社からの情報漏えいについて、三菱電機からの報告は、以下のとおりです。
		・	当社原子力関係の情報は１０件である（添付資料参照）。
		・	三菱電機関連会社では、これまで業務に関するデータを持ち出す際には上司の許可を得ることとしていたが、今回は無許可で持ち出し、三菱電機関連会社社員の個人所有のパソコンで業務を行っていた。
		・	この個人所有のパソコンにはファイル交換ソフトであるWinnyをインストールしていた。このWinnyが暴露ウィルスに感染し、個人所有のパソコン内の業務に関するデータファイルを公開させた。
	当社においては、三菱電機から報告を受けた漏えい情報について確認を行った結果、機微情報が含まれていないことを確認しました。
	当社は、平成１７年６月２３日に三菱電機に対して、情報セキュリティ対策を見直し、再発防止に努めるよう要請を行い、三菱電機の主要な再発防止策として、以下の内容を確認しました。
		・	機密情報管理・個人情報保護の強化【一部検討中】
		・	総点検の実施（三菱電機関連会社社員の個人所有のパソコン等での業務処理の有無等の調査）【実施済】
		・	個人所有のパソコンでの業務処理の禁止【実施済】
		・	三菱電機関連会社用パソコンの取扱いルールの徹底（ウィルス駆除ソフトの更新等）【実施済】
		・	機密情報・個人情報の社外持ち出しルールの徹底【実施済】

２．当社における情報管理について
	（１）	当社では、情報管理規程において業務に関する情報を社外に持ち出すことを禁止しています。このためセキュリティールールの定着活動の中で秘密情報をパソコンから持ち出す（ＭＯ等に保存、メール送信等）際には、暗号化またはパスワードを設定するようルール化しており、万一電子ファイルが社外に漏えいした場合でも、ファイルを開くことができないよう対策を講じています。なお、個人情報保護法の全面施行を契機とし、本年３月に個人情報を含む秘密情報の取り扱いについて全社員に対し教育を実施しました。
	（２）	社員が意図せず取扱いを誤ることにより社外へ社内電子データが漏えいすることを防ぐ観点から、各自のパソコンに対してデータ持ち出しの際に自動的に暗号化されるプログラムの導入について取り組んでいます（４月から本店・支店・業務機関に順次導入中）。
	（３）	今回の情報漏えいの要因であるウィルスに対する対策については、ウィルスチェックゲートウェイによる社外メールのウィルスチェックの実施、および各自のパソコンへのウィルス対策ソフトの導入とウィルス定義ファイルの定期的な更新を行っています。　また、当社の情報セキュリティルールブックにて、「当社のパソコンに、情報通信部門が許可していないソフトウェアを導入しないこと」を明記し、今回ウィルスの標的となったファイル交換ソフト（今回使用されていたソフトであるWinnyのようなソフト）のような、業務に使用しないソフトウェアについては、導入を禁止しています。　また、社内ネットワークと社外ネットワークとの接続については、多重のファイアウォールを設け外部からのウィルスの進入を防いでいます。
	（４）	今回の事象を踏まえ、６月２３日付で原子力事業本部副事業本部長より原子力部門社員へ、６月２８日付で経営改革・ＩＴ本部長より全社員への個人所有のパソコンで社内文書の処理もしくは保存をしないこと等の注意事項の周知徹底を行いました。また、６月２３日付で若狭支社長より若狭支社の協力会社連絡会会員各社宛に、情報セキュリティ対策の充実の依頼を行いました。
	（５）	協力会社に対しては工事契約書等において、情報の目的外使用禁止、第三者開示の禁止を定めています。

３．核物質防護に係る情報管理について
	核物質防護に係る情報の管理については、法令（実用発電用原子炉の設置、運転等に関する規則）に基づき、核物質防護規定を定めて、核物質防護管理者が必要と認めた者以外に知られることのないよう厳正に管理を行っています。　具体的な管理方法は、次のとおりです。
		・	文書・記録については、取り扱う担当者を限定するとともに、執務室の施錠付きのキャビネット等に保管、また、夜間等は執務室を施錠管理しています。
		・	電子データは、独立したネットワークやファイアウォールに保護されたネットワーク上で管理しています。
		・	協力会社との工事または委託契約書に、情報管理に関しての要求事項を記載して、情報が漏えいしないよう管理しています。
		・	官公庁等に核物質防護上の機微情報について報告する場合においても、情報管理についてお願いした上で、報告・提出を行っています。
		・	機微情報を取り扱う者に対する教育等を定期的に実施しています。

＜参考資料＞

添付資料