大阪国税局の情報漏洩事件から考える最小権限の原則とセキュリティ設計

大阪国税局で納税者情報の漏洩があったらしい。
ニュースを見たときは「またか……」とスルーしかけたのだが、事件の中身が想定外すぎて二度見してしまった。
組織のセキュリティ設計として根深いものを感じたので整理してみた。

事件の概要はこうだ。
大阪国税局の20代職員が、勤務中に千葉県警察本部の警察官を名乗る男からの電話を受けた。
しかも、かかってきたのは私用の携帯電話だった。
「捜査で疑いがかかっている」と伝えられ、職員は自分の名前を知られていることに動揺したという。
ビデオ通話で警察手帳のようなものを見せられ、業務に関する書類を送るよう指示され、税務調査の対象や、関係する個人や法人の情報などが表示された業務用パソコンの画面を携帯電話で100回あまり撮影し、送信してしまった。
漏洩した件数は約250件だという。

いや、ツッコミどころが多すぎる。
百歩譲って警察からの電話にパニックになったとしても、勤務中に私用のスマホにかかってきた電話の指示で、機密情報の映ったPC画面を100回撮影して送る状況は異常すぎる。
周囲に気づかれずにそんな撮影会が可能な状況がまだ理解できていないんだけど、そこは一旦目をつぶる。

まず気になったのは、この組織に最小権限の原則という概念が浸透していない、あるいは運用されていないのではないかということ。

最小権限の原則とは、主に情報セキュリティで使われることが多いが、ユーザーや、プログラム等が、その正当な目的に必要とされる情報と計算資源のみにアクセスできるように制限する設計原則のことで、
簡単に言うと、業務をするために必要な最低限の権限だけを与えるように設計しましょうという考え方。

例えば、営業部は、人事部のデータにアクセスできない。
また同じ人事部の中でも部長はすべてのデータを見られるが、
平社員には閲覧制限がかかっている、といった具合。

私が以前いた現場では、この原則が物理・論理の両面で設定されており、守られていた。
いくつか例を挙げるとこんな感じ。
【物理的なアクセス制限】
・部署ごとに開けられるキャビネットが決まっている。
・キャビネットは常に施錠されているので、他部署の人間は物理的に開けられない。
・鍵は毎日金庫に保管され、その金庫を開けられるのは担当の役職者のみ。
自部署のキャビネットであっても自由には開けられない。
【システムのアクセス制限】
・部署異動等に伴い、ファイルサーバのアクセス権限を変更する際は、必ず正式なリクエストを上げる必要がある
・依頼元部署の上長（業務上の必要性の担保）とシステム管理責任者（セキュリティ上の妥当性の担保）の両者の承認が下りてから、初めて権限が変更される。

また、外部に社内の情報を持ち出す際は、相手が取引先であっても、必ず上長の許可を取る必要があった。
顧客情報や経営情報を扱っていたため、一般より厳しい環境ではあったが、それでも特別な話ではない。

では、今回の事件はどうか。
国税局が扱っているのは、それ以上にシビアで、秘匿性が求められる個人情報・法人情報のはず。
けれども、職員は自席のパソコンで機密情報にアクセスし、画面に表示し、撮影し、送信し続けることができた。

これは、個人のミスとして片付けて良い話じゃない。
人はミスをするし、状況によっては判断を誤る。
むしろ、それを前提に設計するのがセキュリティの役割だ。

本来であれば、
「閲覧権限が細かく分割されている」
「大量のデータ表示や捜査に対してアラートが発生する」
「業務と無関係な情報にはアクセスできない」
といったフェイルセーフが働いてしかるべきだ。

今回のケースは、それらがどこまで機能していたのか疑問が残る。

最近は「AIエージェントにどこまでの権限を与えるべきか」という議論が活発だが、
今回の事件は、人間ですら制御できない権限を、システムに安全に委ねる設計が簡単ではないということを示唆しているのかもしれない。