不正アクセスによる個人情報漏えいへの再発防止策
LINE ヤフー株式会社
旧LINE社環境の従業員向けシステム、NAVER Cloud社とのネットワーク・認証基盤、データ分析システム等の重要なシステム
当社関係会社である韓国 NAVER Cloud 社の委託先かつ当社の委託先でもある企業の従業者が所持する PC がマルウェアに感染したことが契機。また、「委託先企業への安全管理措置」および「NAVER と旧 LINE 株式会社間（以下、旧 LINE 社）のシステム・ネットワークのあり方」、「旧 LINE 社における従業員システムのセキュリティ」に課題があったため。
会社の対応
外部企業による計画の妥当性・有効性の客観的な評価を実施
委託先管理の強化／委託先のセキュリティリスク評価方法を見直すとともに、外部の第三者の協力も得て、より実効性を高めたモニタリングや管理・監督方法を策定する／当社外部委託先が当社社内ネットワークにアクセスする場合における、当社管理下のPCの利用および当社ネットワークに接続する際の二要素認証の徹底を進める／NAVER Cloud社含む本件の原因となった当社委託先に対して、本事案を踏まえた改善策について実施状況を確認し、必要に応じた管理の強化等を要請する／システム・ネットワークのリスク解消・強化（NAVER Cloud社との認証基盤の分離含む）／NAVER Cloud社と旧LINE社間のネットワークアクセスの管理を強化する／ファイアーウォールの導入やセーフリスト化により、ネットワークへの異常な接続や攻撃を防ぎ、ネットワークを保護する仕組みを構築する／旧LINE社環境の従業員向けシステムで共通化しているNAVER Cloud社との従業者情報を扱う認証基盤環境を分離し、LINEヤフー専用の認証基盤への移行を行う／従業員向けシステムおよびネットワークの分離も行う／従業員システムのセキュリティ強化／従業員向けシステムへのアクセス制御と制限を強化するため、二要素認証の適用を標準とする方針とする／データ分析システム等の重要なシステムに対して、アクセス制御のメカニズムが適切に機能していることを検証する目的で、追加的なセキュリティ診断を実施する／原因の再分析およびリスクシナリオの再定義、再発防止策の妥当性検証、追加対策計画の策定等についても検討を続ける
再発防止策を順次実施し、外部企業による計画の妥当性・有効性の客観的な評価を実施する。原因の再分析、リスクシナリオの再定義、再発防止策の妥当性検証、追加対策計画の策定等についても今後検討を続ける予定。
| 項目 | 内容 |
|---|---|
| 事象の名称 | 不正アクセスによる個人情報漏えいへの再発防止策 |
| 対象となる主体 | LINE ヤフー株式会社 |
| 対象拠点・対象製品 | 旧LINE社環境の従業員向けシステム、NAVER Cloud社とのネットワーク・認証基盤、データ分析システム等の重要なシステム |
| 原因 | 当社関係会社である韓国 NAVER Cloud 社の委託先かつ当社の委託先でもある企業の従業者が所持する PC がマルウェアに感染したことが契機。また、「委託先企業への安全管理措置」および「NAVER と旧 LINE 株式会社間（以下、旧 LINE 社）のシステム・ネットワークのあり方」、「旧 LINE 社における従業員システムのセキュリティ」に課題があったため。 |
| 調査体制 | 外部企業による計画の妥当性・有効性の客観的な評価を実施 |
| 再発防止策 | 委託先管理の強化／委託先のセキュリティリスク評価方法を見直すとともに、外部の第三者の協力も得て、より実効性を高めたモニタリングや管理・監督方法を策定する／当社外部委託先が当社社内ネットワークにアクセスする場合における、当社管理下のPCの利用および当社ネットワークに接続する際の二要素認証の徹底を進める／NAVER Cloud社含む本件の原因となった当社委託先に対して、本事案を踏まえた改善策について実施状況を確認し、必要に応じた管理の強化等を要請する／システム・ネットワークのリスク解消・強化（NAVER Cloud社との認証基盤の分離含む）／NAVER Cloud社と旧LINE社間のネットワークアクセスの管理を強化する／ファイアーウォールの導入やセーフリスト化により、ネットワークへの異常な接続や攻撃を防ぎ、ネットワークを保護する仕組みを構築する／旧LINE社環境の従業員向けシステムで共通化しているNAVER Cloud社との従業者情報を扱う認証基盤環境を分離し、LINEヤフー専用の認証基盤への移行を行う／従業員向けシステムおよびネットワークの分離も行う／従業員システムのセキュリティ強化／従業員向けシステムへのアクセス制御と制限を強化するため、二要素認証の適用を標準とする方針とする／データ分析システム等の重要なシステムに対して、アクセス制御のメカニズムが適切に機能していることを検証する目的で、追加的なセキュリティ診断を実施する／原因の再分析およびリスクシナリオの再定義、再発防止策の妥当性検証、追加対策計画の策定等についても検討を続ける |
| 今後の見通し | 再発防止策を順次実施し、外部企業による計画の妥当性・有効性の客観的な評価を実施する。原因の再分析、リスクシナリオの再定義、再発防止策の妥当性検証、追加対策計画の策定等についても今後検討を続ける予定。 |
この書類が述べていない項目（18件）
会社がこの書類で述べていない項目です。空欄にしたり、他の資料や推測で補ったりはしません。
会社が挙げている理由
会社自身の説明です。数値から推測したものではありません。韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCのマルウェア感染が不正アクセスの契機となった。また、委託先企業への安全管理措置、NAVERと旧LINE社間のシステム・ネットワークのあり方、旧LINE社における従業員システムのセキュリティに課題があったためとしている。