CyberSecurityAction

日本関連インシデント / 人為的・機械的ミス

神奈川県委託業者の個人情報、誤メール送信で漏えい

神奈川県の業務を受託した事業者が、個人情報を含むメールを誤って第三者に送信。県が公式に事案を公表し、再発防止策の徹底を求めています。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
神奈川県委託業者の個人情報、誤メール送信で漏えい

THREAT GAUGE算出基準

IMPACT（影響範囲）4.5
URGENCY（対応緊急度）4.0
EXPLOIT（悪用の容易さ）2.0

“悪意ある攻撃でなく誤送信。受信者が限定的で拡散リスクは低い”

01 · Overview

ニュースの概要

神奈川県は、県が委託した業者が業務上の個人情報を誤って第三者へメール送信したインシデントを公式プレスリリースで公表しました。行政機関が関わる個人情報の取り扱いミスは、住民の信頼を大きく損ないます。

今回の事案は、県から業務を受託した委託業者の担当者が、個人情報を含むファイルやメール本文を誤って別の宛先へ送信したものです。受信者は当該業務と無関係の第三者とみられており、神奈川県はプレスリリースで事実関係の概要と対応状況を公表しました。

誤送信事故の多くは、メールの宛先オートコンプリート機能による入力ミス、添付ファイルの誤選択、CC/BCCの使い方を誤るといったヒューマンエラーが原因です。特に委託業者を通じた情報管理では、元請け側の監督体制が問われます。

神奈川県は事案の公表とともに、委託先への指導強化や再発防止策の検討を進める旨を示しています。受託事業者側も、送信前の確認フローや情報の暗号化・パスワード保護などの対策を見直すことが急務です。

行政機関が保有する個人情報は、氏名・住所・生年月日・連絡先など、住民にとって重要なデータを含む場合が多く、漏えいした際の影響は当事者の精神的な不安や、フィッシング詐欺などの二次被害に繋がることがあります。

公表主体
神奈川県（公式プレスリリース）
原因
委託業者による誤メール送信
情報種別
個人情報を含むメール・ファイル
攻撃の有無
なし（ヒューマンエラー）

神奈川県公式プレスリリース（r6773413）をもとに作成。被害件数等の詳細は公表内容の範囲に基づいています。

02 · Analysis

詳細な原因解説

今回の誤送信が発生した直接の原因は、メール送信時の宛先確認が不十分だったことにあります。メールソフトのオートコンプリート機能は利便性が高い一方、似た名前や過去に連絡した外部アドレスを誤って補完してしまうリスクがあります。送信直前の宛先・本文・添付ファイルのダブルチェックが習慣化されていなかった可能性があります。

根本的な背景としては、委託先事業者における情報セキュリティ教育の不足や、個人情報を扱う際の手順書（マニュアル）が十分に整備・徹底されていなかったことが考えられます。行政機関は業務を外部に委託する際、委託先の情報管理体制を定期的に確認・指導する義務がありますが、その監督が形骸化していたケースも少なくありません。

また、技術的な対策（送信前の承認フロー・添付ファイルの自動暗号化・DLPツールによる個人情報検知など）が導入されていれば、誤送信を未然に防げた可能性があります。ヒューマンエラーをゼロにすることは困難であるため、技術的なフェイルセーフの仕組みと組織的なルールの両方が必要です。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Substitute：人手確認をシステム確認に置き換える

人手による宛先確認を、システムによる自動チェックに置き換えられないか？

メール送信時の宛先確認を人手に頼る現状を、DLP（データ損失防止）ツールや送信保留機能に置き換えることで、ヒューマンエラーを技術的に補えます。外部アドレスへの送信時に警告を表示するシステムは、今や多くのメールサービスで標準機能として提供されており、設定変更だけで即日導入できます。

Combine：研修と手順書を組み合わせて徹底定着

情報セキュリティ研修と業務手順書を組み合わせれば、より効果的な防止策になるか？

年1回の形式的な研修だけでは習慣化が難しいです。具体的な誤送信シナリオを使ったロールプレイ形式の研修と、日常業務の手順書（チェックリスト）を組み合わせることで、知識が実際の行動に結びつきやすくなります。

Eliminate：個人情報をメールで送る必要をなくす

そもそも個人情報をメールで送信する業務フロー自体をなくせないか？

セキュアなファイル共有サービスやVPN経由のポータルサイトを使えば、個人情報をメール添付で送る必要自体をなくせます。送らないことが最強の誤送信防止策です。クラウドストレージの共有リンク＋アクセス権限設定への移行を検討してください。

フィードバックループ：ミスが表面化しない構造

誤送信が報告されにくい組織文化・構造上のループはないか？

誤送信を報告すると叱責される・評価が下がるという恐怖感があると、担当者が自己解決しようとして問題が隠蔽されます。「報告した人を責めない」心理的安全性の高い文化を作ることが、早期発見・早期対応のフィードバックループを機能させる前提です。

遅延：委託先監督のタイムラグが被害を拡大

委託先の情報管理状態を把握するまでの遅延が、リスクをどう増大させているか？

委託元が委託先の実態を知るのは、インシデント発生後になりがちです。定期的な抜き打ちチェックや四半期ごとの報告義務化により、問題を事前に検知できるようになります。遅延を短縮するほど、インシデントの初動対応も速くなります。

創発：個別ミスが組織全体の信頼失墜につながる

一担当者の誤送信が、なぜ組織全体のリスクに発展するのか？

個人の小さなミスが、行政機関全体の信頼低下・住民の不安・メディア報道・再発防止費用といった組織レベルの創発的リスクに発展します。個人責任だけで片付けず、システムとプロセスの設計自体を見直すことが組織全体のレジリエンスを高めます。

今日から使える誤送信防止の3ステップ

①送信ルールの明文化：個人情報を含むメールは「外部送信禁止または上長承認必須」とルールに明記し、全委託先に周知してください。口頭での申し合わせではなく、文書で残すことが重要です。

②技術的フェイルセーフの設定：GmailやMicrosoft 365では、外部ドメインへの送信時に警告を表示する設定が無料で利用できます。まずはこれを有効にするだけでも効果があります。

③インシデント発生時の連絡フロー整備：誰が・何を・どこに報告するかを一枚のフローチャートにまとめ、担当者全員が常に確認できる場所に掲示してください。発生直後の初動が最も重要です。

06 · AI Prompt

AI対策プロンプト

あなたは情報セキュリティの専門家です。私は[組織種別]の情報セキュリティ担当者です。 今回、[委託先名称]がメールの誤送信により[情報種別]を外部の第三者に漏えいさせてしまいました。 以下の条件を踏まえて、再発防止策と委託先への指導方針を提案してください。 - 組織の規模：[組織規模] - 現在導入済みのメールセキュリティ対策：[現在の対策] - 委託契約における情報管理条項の有無：[契約条項] 提案は、(1)即日実施できる技術的対策、(2)1週間以内に整備すべき運用ルール、(3)委託先に求める定期報告の内容、の3点に分けて、具体的かつ実行しやすい形で示してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

あなたの所属組織の種別（例：地方自治体、民間企業、医療機関など）

今回インシデントを起こした委託先業者の種別または名称

誤送信で漏えいした個人情報の種類（例：氏名・住所・連絡先など）

組織の職員数や規模感

現在導入済みのメールセキュリティ対策の内容

委託契約に情報管理・セキュリティ条項が含まれているかどうか

キーワード

  • 神奈川県
  • 個人情報漏えい
  • 誤メール送信
  • 委託業者
  • ヒューマンエラー

SOURCES · 参考情報源