スポーツクラブNASで誤った宛先に 5 回メール誤送信、ダブルチェック義務化しヒューマンエラー撲滅に努める

　スポーツクラブNAS株式会社は11月21日、メール誤送信による個人情報漏えいについて発表した。

　同社では、法人会員の同社スポーツクラブの月次登録実績を添付ファイルとして、法人会員が所属している企業・団体にメール送付していたが、6月6日午前9時頃に、同社社員が法人会員の所属している企業・団体に月次報告をメール送信する際、当該法人会員が所属している企業・ 団体（A社）の担当者に送付すべきところ、メールアドレスの入力を誤り、個人（B氏）に送付したという。6月6日午後10時頃に、月次報告を受け取ったB氏から指摘があり、発覚した。

　同社では6月6日中にB氏でメールで謝罪するとともに、誤送信メールの削除を依頼している。

　同社社員はその後も、B氏のメールアドレスが宛先に入力されていることに気付かぬまま、6月6日から10月6日にかけて計5回、本来A社担当者に送付すべき月次報告をB氏に送付している。

　同社では10月25日に、B氏から誤送信メールが続いている旨の指摘を受けたことで、当該誤送信メールが継続して発生していた事実に気付き、B氏にメールで謝罪するとともに誤送信メールの削除を依頼している。

　なお同社では10月28日に、同社執行役員がB氏に直接電話で謝罪を行った際に、B氏から添付ファイルは未開封のまま、既に全てのメールを削除済みである旨の報告を受けている。

　漏えいしたのは、法人会員2,029人の法人名称、会員氏名、カナ氏名、生年月日、年齢、年代、性別、住所、電話番号（一部顧客（5名））、その他会員情報を含む個人情報。

　同社では対象の顧客に、郵便で個別に連絡を行う。

　同社では、メール送信時における宛先およびメールアドレスの確認の不徹底が原因であるとしている。

　同社では再発防止策として、下記の対策を徹底するとのこと。

1.宛先確認プロセスの厳格化（即時実施）
・個人情報を含む添付ファイルをメールで送信する際は、宛先（To、Cc、Bcc）および添付ファ イルの内容について、送信者本人に加え、上長または別の確認者による二重確認（ダブルチェック）を義務化。
・宛先確認時は、表示名だけでなくメールアドレス自体が正しいかを目視で確認することを徹底。

2.システム・ツールの見直し（中期的対策）
・送信承認プロセスを導入し、チェックリストに基づく確認が完了しなければメールを送信できない体制を構築。
・メールアドレスの自動保存機能（オートコンプリート）を原則停止し、送信先はメールのアドレス帳に登録された正規の宛先からのみ選択するようルール化。
・A社との個人情報を含む添付ファイルの授受については、現在のメールへの添付による送信方法から、よりセキュアなファイル転送システムまたは共有方法への移行をA社とも協議のうえで導入。

3.教育・管理体制の強化（継続的対策）
・全従業員と本件の概要、問題点等を共有し、個人情報の取り扱いの危険性と重要性について、改めて意識改革を図る。
・個人情報保護および情報セキュリティに関する研修を定期的に実施し、ヒューマンエラーの撲滅に努める。
・個人情報漏えい発生時の報告・連絡・相談（エスカレーション）ルールを再徹底し、問題発覚時には速やかに根本原因の特定と対策が行われる管理体制を強化。

元の記事を読む