今回の事案で注目されるのは、外部からの不正アクセスだけではない。

　一宮市とApplyNowとの契約では、契約期間が終了した後、受験者情報を完全に廃棄または削除することになっていた。だが、市の発表では、その履行が不十分だったことも明らかになった。

　本来であれば、採用試験が終了し、契約期間も終われば、不要になった受験者情報は委託先から削除される想定だった。それにもかかわらず、過去の受験者情報がシステム側に残っていたことで、今回の不正アクセスによって漏えいした可能性が生じた。

　これは、個人情報を「安全に保管する」だけでなく、不要になった情報を確実に削除するところまで管理できているかという問題でもある。

「委託先に預けた情報」をどう管理するか

　自治体や企業が外部サービスを利用する場合、個人情報を自社のシステムだけで管理するとは限らない。採用や人事、顧客管理、問い合わせ対応など、さまざまな業務で外部のクラウドサービスや業務委託先に情報を預けるケースがある。

　こうした場合、発注側がシステムそのものを直接管理していなくても、どの情報を、どこに、いつまで保管するのかを把握する必要がある。

　特に重要なのが、サービスの利用終了後だ。

　契約時には「契約終了後にデータを削除する」と定めていても、実際に削除されたかどうかを確認できなければ、不要になった個人情報が残り続ける可能性がある。

　今回の一宮市の事案は、サイバー攻撃への対策だけでなく、委託先に預けた個人情報のライフサイクルをどう管理するかという課題も鮮明になった。

「契約に書いてある」だけでは不十分？　委託先管理に課題

　個人情報を扱う業務を外部に委託する場合、委託先のセキュリティ対策だけを確認すれば十分とは限らない。

　どのデータを保有しているのか、保管期間はどの程度なのか、契約終了後にどのような方法で削除するのか、削除したことをどう確認するのか。こうした運用まで含めて管理する必要がある。

　一宮市は今回の事案を受け、個人情報の適正な管理・取り扱いについて委託事業者と契約内容を再確認し、個人情報漏えい防止と安全管理を徹底するとしている。

　つまり、再発防止策として焦点になるのは、外部からの不正アクセスを防ぐことだけではない。委託先に残っているデータを含め、個人情報がどこに存在し、いつ削除されるのかを継続的に管理できる仕組みをどう作るかも問われる。

採用データは「使い終わった後」こそ管理が重要に

　企業や自治体では、業務ごとに複数のクラウドサービスを利用するケースが増えている。その結果、現在利用しているシステムだけでなく、過去に導入していたサービスや、契約終了後のデータまで含めて情報資産を管理する必要がある。

　サービスを導入するときのセキュリティ審査だけでなく、契約終了時のデータ削除までを一連のプロセスとして設計することが求められる。

　今回の一宮市の事案では、現時点で二次被害は確認されていない。また、録画面接の動画データは不正アクセスの対象外だったとされている。

　一方で、約600件の受験者情報が漏えいした可能性があることに加え、契約終了後の情報削除が不十分だったことも明らかになった。

　クラウドサービスや業務委託の利用が広がる中、情報漏えい対策は「不正アクセスを防ぐ」だけでは完結しない。委託先に預けた個人情報を、必要な期間だけ保有し、不要になった時点で確実に消去する。その一連のデータ管理をどう徹底するかが、企業や自治体にとって改めて重要な課題になっている。