バックアップデータから人事評価情報を収集していた事案についてまとめてみた

2023年9月2日、茨城県警が土浦市職員を不正アクセス禁止法違反などの容疑で水戸地検土浦支部に書類送致したと報じられました。ここでは関連する情報をまとめます。

バックアップ環境に不正アクセスか

書類送検されたのは、土浦市の職員。茨城県警によれば職員は容疑を認めており、2023年3月下旬から自己都合による休職中。
2021年12月18日に土浦市職員836人分の人事評価、役職、出身校や異動歴等を記録したファイルを市のサーバーから私物のハードディスクに収集、保管した県土浦市個人情報保護条例違反の疑い、並びに2022年11月18日に不正アクセスすることを目的に保管する権限がないにも関わらずユーザーID、パスワードを市役所の業務用PCに保管した不正アクセス禁止法違反の疑い。*1
人数は不明ながら土浦市民の氏名や住所も入手していたとみられるが、これまでのところ外部への情報流出は確認されていない。
今回の事案は、2022年9月に人事課しか知らない情報を知っている職員がいるといった内部通報を受け、その後市の調査を経て発覚したもの。*2
職員がデータを得るために不正にアクセスしていた先は、市のサーバー上に存在する非常用バックアップのフォルダ。このフォルダの存在を一般職員には明らかにしていなかったが、セキュリティに関しては十分ではなかった。*3
職員は今回の行為に及んだ動機に、自身の人事評価を上げるためにどうしたらよいかを知りたく、希望部署などの職員の人事評価など情報収集を行っていたと土浦市の調査に対して答えていた。