観光庁で「情報流出検討会」、JTBの対策を評価、「九州ふっこう割」オンライン販売開始は近々結論へ

2016年07月11日

観光庁は2016年7月8日、ジェイティービー（JTB）グループ会社のi.JTBと札幌通運で発生した個人情報流出事案（JTBは個人情報流出の「可能性」と発表）を受け、問題検証と旅行業界での再発防止策を取りまとめる目的で、有識者による「第1回　旅行業界情報流出事案検討会」を開催した。

会議後にブリーフィングを開いた観光庁観光産業課長の西海重和氏によると、JTBが現在までに行なった措置に対しては、「当面できることを講じた」と確認。外部の情報セキュリティ会社FFRI社からも、JTBが受けた「標的型攻撃」に対して「一定の水準を満たす対策が取られている」との報告があった。

これらを踏まえ、引き続き、防御技術の整備や高度な体制整備など、高レベルのセキュリティ施策を実行できるよう、努力するよう求めた。また、専門家の評価を経て判断するとしていた、「九州ふっこう割」のオンライン販売についても、近々に結論を出すという。

今回の会議のトピックは、主に次の3点。

JTBの改善処置の状況と専門家の評価。および九州ふっこう割オンライン販売に対する評価
札幌通運の改善措置の状況と専門家の評価
観光庁の対応の問題点と改善

1．JTBに対する評価については、（1）今回の事案とその対応の問題を踏まえたシステムセキュリティの強化、（2）本社直轄での経験値の高い人材によるITセキュリティ対応専門部署（CSIRT/シーサート：Computer Security Incident Response Team）の設置や、最高情報セキュリティ責任者（CISO：Chief Information Security Officer）の任命といった危機管理の運用体制の整備と強化、（3）現場レベルの意識向上を目的とした研修や演習の実施、などの対策を踏まえて判断したと説明があった。

2．札幌通運に対しては、システムの多くを外部委託しているものが多いとの指摘もあり、そのチェック体制が整備途上であったとの意見があった。防御策や発生時の危機管理、人材などサポートの必要があるとの指摘もされ、これは札幌通運のみならず、中小旅行会社に共通の課題であるという意見も示された。

3．観光庁の対応については、「（問題が報告されてから）担当内で留まっていた」とし、その原因を「国土交通省では所管業界について、鉄道・航空・物流の需要インフラ3業種以外では、情報流出が起こった際の情報の即時共有・即時報告が整備されていなかった問題点があった」と説明。6月29日に、旅行業と宿泊業を含めた情報セキュリティインシデントが発生した際の対応方針を策定した。

このポイントは、災害やテロと同じように速やかに情報共有を図る体制として連絡網を整備したこと。内容は委員からも了承を得ており、今後は対応方針に基づいて行動するためにも職員の周知徹底を図るべきとの意見があったという。

次回は業界全体の再発防止策

次回は7月中・下旬をめどの開催予定で、旅行業界での再発防止策を検討する。その際には「自前で体制整備ができる大手と中小旅行会社とで分けて整備する必要がある」との認識で議論し、中間とりまとめを出す予定だ。

これは、2．札幌通運の説明に対し外部委託が多いとの意見とともに、先月開催された「観光庁・旅行業界情報共有会議」で参加者に実施したアンケート調査でも、同様の傾向が見られたことを踏まえたもの。観光庁では、情報セキュリティ対策が進んでいる金融業界も旅行業界と同様に中小企業が多いことから、先例として参考にする考えだ。

なお、会議の冒頭で、観光庁長官の田村明比古氏に続き挨拶に立った国土交通省大臣官房サイバーセキュリティ・情報化審議官の佐々木良氏は、JTBと札幌通運に対し、「サイバー攻撃を受けた時点では被害者だが、情報流出が発生した時点では顧客に対して加害者であることを認識してほしい」と述べ、「被害者の認識では対応に甘さが出る。そこを深く心に刻み、できる限り誠実な対応をしてほしい」と忠告した。