WEB検索すると、会社の非公開文書や重要情報が見つかる？

2021年4月、Trelloというタスク管理ツールで、個人情報が公開されているとネットで話題となりました。公開されているのでもちろんGoogleの検索でも拾われてしまっています。更に、あるネットユーザーがTrelloで個人情報が公開されているページを掘り起こし、TwitterでそのURLをまとめて公開したことで多くの人が知ることとなり（後に批判を受け削除）、多くのメディアがニュースとして取り上げました。ニュースでは就活生の個人情報が公開されていたことを中心に報道していましたが、公開されていた情報は多岐にわたります。

URLをまとめて公開したTwitterアカウントによると、公開されていたのは就活生の個人情報以外にも、就活生の採否判定、社内のパスワード一覧、銀行やクレジットカードのパスワード、タレントのスケジュール、ワクチン治験者リスト、企業間の取引情報、テレビ番組のキャスティング進行表など、複数の企業・ユーザーの業務上の情報やメモ帳的に書き込んであった本来なら非公開であるべき情報です。

原因は利用者の設定ミス

Trelloでは何故非公開であるべき情報が公開されたのでしょうか？これは利用者の公開設定ミスだと報じられています。Trelloの初期設定は「非公開」になっているということなので、利用者が誤って変更したのでしょう。就活生の情報を公開していた企業については、情報共有するために「チームに公開」にすべきところを、ITが苦手な上司の確認をとるために「公開」にしていたのではないかとテレビの解説者は推察していました。

個人情報“公開”Trello、影響は就活生にも　「想像以上」 | 毎日新聞（2021年4月6日閲覧）

毎日新聞によりますと、

事態を重くみた内閣サイバーセキュリティセンター(NISC)は6日午後、公式ツイッターで「Trelloと呼ばれる、一般の方々も仕事管理などに活用できるwebサービスにおいて、適切な設定がなされていないユーザーの情報が外部から閲覧できる状態であることが確認されています。意図せず公開となっている場合は、非公開とする等、適切な設定にしてください」などと注意喚起した。

とNISCが注意喚起のコメントを出すほどの危うい状況だった事がうかがえます。

公開される可能性はどこにでも

注意しなければならないのはTrelloだけではありません。このようなタスク管理ができるWEBサービスはたくさん存在します。最も身近な物だと各種カレンダーがありますが、これも設定で「公開（があれば）」にすると誰からも見ることができてしまいます。経営TOPの行動スケジュール（未来だけでなく、過去も）はビジネス上の重要情報でもあります。GoogleMapでマイマップを作成して顧客情報などを共有する際にも、公開範囲に注意が必要です。
SNSも同様にほとんどのサービスでプロフィールや投稿の公開範囲の設定が可能です。投稿毎に公開範囲を変えることもできます。

アンケートサイトの利用時も注意が必要です。広く多くの人の意見を集めるようなアンケートではなく、社内で人事評価や研修データを収集したり公開前の情報についての意見収集をするなど、限られた者だけを対象にするべきアンケートが誰にでもアクセスできる状況にあると、その質問項目から重要情報が漏れたり類推されたり、あるいは悪意ある回答によって求めるデータが収集できなくなったりします。

用心しないといけないのは第三者が提供するWEBサービスだけではありません。社内のネットワークもインターネットを介してアクセスできるようにしている企業は多いと思います。インターネットに繋がる以上、公開になっていなくてもアクセス情報が知られれば公開したのと同じです。アクセス情報の管理を厳にするのはもちろん、アクセスに使用される端末の管理も重要です。パスワード設定をしていないPCやスマートフォンからの利用が厳禁であることは言うまでもありません。

多くの従業員がいるのであれば、プライベートで利用しているWEBサービスも含め、各種設定とアクセス環境についての確認・指導を徹底することをオススメします。特に、ITリテラシーが低いと思われる上級職の端末の設定は要注意です。テクハラなどと言って笑い者にしている場合ではありません。