LINEは、17日朝に朝日新聞が報じたコミュニケーションアプリ「LINE」における国内ユーザーの個人情報の取り扱い不備に関する詳細を公表した。
同社によると、外部からの不正アクセスや情報漏えいが発生したという事実はないという。
日本ユーザーのデータは原則国内で管理
日本国内のユーザーがLINEでやり取りしたトークテキストや、名前・電話番号・メールアドレス・LINE ID・トークテキストなど、単体でユーザー個人を特定できるものや金銭的被害が発生する可能性があるプライバシー性の高い個人情報は、原則として日本国内のサーバーで、日本の法規法令に基づく当社のデータガバナンス基準に準拠して管理しているという。
ネットワーク上のトラフィックはLINEのセキュリティチームが常時監視し、LINEの安全性を脅かす可能性のある動きがみられると即座に必要な対応を行うという。
同社によると、グローバル拠点から日本国内ユーザーの一部の個人情報にアクセスを行ったことについては、日々の開発や運営の業務としての範囲内と説明した。
日本国内ユーザーのデータ保管場所
・日本のデータセンターに保管
トークテキスト・LINE ID・電話番号・メールアドレス・友だち関係・友だちリスト・位置情報・アドレス帳・LINE Profile+（氏名、住所等）、音声通話履歴（通話内容は保存されません）、LINE内サービスの決済履歴 等
・韓国のデータセンターに保管
画像・動画・Keep・アルバム・ノート・タイムライン・LINE Payの取引情報（氏名・住所など本人確認に必要な情報は日本国内に保管）
画像や動画などのデータは韓国のデータセンターで管理が行われているが、今後の各国の法制度等の環境変化に合わせて、2021年半ば以降、段階的に国内への移転を行う計画を進めているという。
なお、ユーザー間のトークテキストや通話の内容は、LINEが開発したエンドツーエンドの暗号化プロトコル「Letter Sealing」によって暗号化され、サーバー管理者であってもデータの中身は閲覧できない。また、トークテキスト・画像・動画データなどは、Letter Sealingの設定状況に関わらず、通信経路上で暗号化してサーバーに送信しているほか、画像・動画データについてはファイルを分散して複数のサーバーに保管している。Letter Sealingはデフォルトの設定でオンとなっており、ユーザーが明示的にオフにしない限り有効となっている。
データベースへのアクセス権限は承認を経て付与
LINEは日本、韓国、インドネシア、ベトナム、中国、タイ、台湾に開発・運営拠点を持ち、サービスの開発・提供・運営は、各国の拠点やサービス提供者と一体となって実施していることから、海外での開発やモニタリングといった処理は発生しうるという。ただし、拠点を問わずLINEグループ内で統一のルール、ガバナンスのもと開発・運営を行っていると説明した。
国外のグループ会社の拠点や委託先においては、一部の機能や内部ツールの開発およびタイムラインとオープンチャットのモニタリング業務を行っている。業務にともなうデータベースへのアクセス権限は、国や拠点、職種、業務内容に関わらず、必要最小限の範囲にとどめ、各社員からの事前申請を義務付けるとともに、責任者の承認を経て付与しているという。
さらに、2021年2月～3月にかけては、中国での近年の新法制定や日本の個人情報保護法の改正などを含む環境変化に合わせた対応と、経営統合を踏まえて個人情報保護にかかる国際的外部認証の取得を検討していく中で、より一層セキュリティレベルを高めるための対応として、アクセスコントロールの強化も実施した。
モニタリングは公開コンテンツと通報されたコンテンツのみで実施
モニタリングは、ユーザーが「公開」設定で投稿したコンテンツと、ユーザーによる「通報」が行われたコンテンツのみが対象となるという。
ユーザーから通報が行われると、当該のやり取りがユーザーの端末から平文のテキストデータでサーバーにアップロードされる。トーク内でやりとりされる画像や動画についても同様だという。
なお、国内ユーザーの通報されたトークのテキスト・画像・動画のモニタリングは、LINE Fukuokaで行っている。また、タイムラインとオープンチャットのモニタリングは、LINE Fukuokaのほか、LINE Fukuokaの外部委託先（大連）でも行っている。
委託先は、国内大手業務代行業者のグループ会社の中国現地法人への委託で、LINE Fukuokaのセキュリティチームにてセキュリティ体制の点検を行っているという。モニタリング業務では、タイムラインで約1万8千件/日、オープンチャットで約7万4千件/日の処理が行われている。
国外での開発・運用業務の詳細
中国での開発拠点は、LINE子会社のLINE Plus Corporationの子会社であるLINE Digital Technology (Shanghai) Limited（大連）と、NAVER Corporationの中国法人でLINEの業務委託先であるNAVER China（北京）の2拠点。加えて、LINE子会社のLINE Fukuokaの外部委託先（大連）では、一部公開コンテンツと通報を受けたトークテキストのモニタリング業務を行っている。
LINE Digital Technology (Shanghai) Limited（大連）では、内部ツール、AI機能、LINEアプリ内から利用できる各種機能の3つの開発業務を行っている。NAVER China（北京）では、日本のデータは取り扱っておらず、LINEの主要4カ国である日本・台湾・タイ・インドネシア以外のユーザーから「通報」されたトークテキストやLINE公式アカウントおよびタイムラインのコンテンツのモニタリングなどを実施している。
また、中国拠点で開発しているプログラムは、同社管轄下のサーバー、ネットワーク、PC端末などを監視し、不正アクセスを検知できる体制をとっているという。ソフトウェア開発の過程では、LINEのセキュリティチームによるソースコードのチェックとセキュリティテストによる、不正なプログラムの混入を防止する対策も実施している。
アクセスコントロール強化時に一部権限は削除
先述の2021年2月～3月にかけて行われたアクセスコントロールの強化では、LINE Digital Technology (Shanghai) Limitedの一部の開発業務でアクセスできた複数のデータへのアクセス権限の削除を実施。これらのアクセス権限は、開発業務におけるリリース時の検証と不具合発生時の原因追跡のために適切に付与されたものと説明した。
LINE Digital Technology (Shanghai) Limitedでの開発業務と一時付与されたアクセス権限
・LINEの捜査機関対応業務従事者用CMSの開発
名前・電話番号・メールアドレス・LINE ID・トークテキスト（通報によるもの）
・LINEのモニタリング業務従事者用CMSの開発
通報によりモニタリング対象となったトークのテキスト・画像・動画・ファイル、通報または公開によりモニタリング対象となったLINE公式アカウントとタイムラインの投稿
・問い合わせフォームの開発
名前・電話番号・メールアドレス
・アバター機能、LINEアプリ内のOCR機能の開発
同機能の利用でデータ活用について明示的に同意を得た顔写真
・Keep機能の開発
ユーザーが保存したテキスト・画像・動画・ファイル
「LINE公式アカウント」の開発・運用状況
日本国内で提供されている「LINE公式アカウント」の開発・運用は、管理画面やサービスプラットフォームなどは日本国内と韓国で実施している。データについてはLINEと同様、プライバシー性の高い個人情報は日本国内のデータセンター、画像や動画などのデータは韓国のデータセンターにて、適切なセキュリティ体制のもとで管理が行われているという。Messaging APIを利用して運用されている公式アカウントについては、当該APIを利用するパートナー各社によってデータの保存先は異なる。
LINE公式アカウントについても、不正監視のために一部のメッセージでモニタリングを実施。LINE公式アカウントからの一斉送信メッセージ、タイムライン投稿、プロフィールページがモニタリングの対象となり、チャット、APIを介したトーク、Chatbotへの回答はモニタリングの対象外としている。
日本国内のLINE公式アカウントのデータは、すべてLINE Fukuokaでモニタリングを行っており、LINEの主要4カ国である日本・台湾・タイ・インドネシア以外のデータは、NAVER Chinaにてモニタリングを行っている。NAVER Chinaから国内LINE公式アカウントのデータへのアクセス権限はない。
なお、ユーザーによって明示的に通報が行われた場合は、通報前後のチャットのテキストデータのモニタリングを行う。この場合も、日本国内のユーザーからの通報はLINE Fukuokaで実施され、NAVER Chinaからのアクセス権限はない。
今後の対応
今後も引き続き、ユーザーに安心して利用してもらうため社内で高いセキュリティ基準を設け、適切な運用を行うとともに、各国の法制度などの環境変化に合わせて、さらに先回りした対応や情報開示を実施していくとしている。国内ユーザーのプライバシー性の高いデータへのアクセスをともなう業務は国内移転を進めているが、海外移転する際には、国名の列挙などを含めユーザーにわかりやすく周知を行っていく。
また、グローバル企業としてデータ・セキュリティのガバナンス体制を強化し、国内外の開発力を積極的に活用することでサービス価値を高めていくべきであるとの考えのもと、海外拠点での開発を継続する。その上で、国・拠点・職種・業務内容に関わらず、プライバシー性が高いと考えられる情報へのアクセス権限付与については、今後も引き続き必要最小限の範囲にとどめ、各種手続きの上でアクセスが行われるよう厳格に運用していく方針を明らかにした。
https://news.google.com/__i/rss/rd/articles/CBMiOGh0dHBzOi8vay10YWkud2F0Y2guaW1wcmVzcy5jby5qcC9kb2NzL25ld3MvMTMxMjc2MS5odG1s0gFDaHR0cHM6Ly9rLXRhaS53YXRjaC5pbXByZXNzLmNvLmpwL2RvY3MvbmV3cy8xMzEyLzc2MS9hbXAuaW5kZXguaHRtbA?oc=5
2021-03-17 09:41:15Z
52783140851910
Bagikan Berita Ini
0 Response to "LINE、ユーザーの個人情報取り扱いに関する詳細を発表 - ケータイ Watch"
Post a Comment