■中小ネット企業の個人情報保護レベル

ネットでビジネスやってる従業員100人未満の規模の会社を3社渡り歩いてきた。

3社ともポータルとかECとかのB2Cをやってて、エンドユーザーの個人情報を預かることも多いんだけれど、

素人目にみてもその管理がずさんなのは全社共通だったので、

きっとどの会社でも状況は似たり寄ったりだろうと思って書いてみる。

• PC画面をロックせずそのまま離席する

• 顧客情報の書かれたメモをシュレッダーにかけずにゴミ箱へ捨てる

• 事前の予告なく社内に (応接用の場所ではなく、業務を行っている場所に) 客が入ってくる。その客の目につくところでエンドユーザーの情報を大量に扱っている

• 出入口はIDカード等の認証なく誰でも出入りできるか、認証があっても空調が効きすぎてたりの調整のため開けっ放しになってて意味なかったりする。ヤクルトやオフィスグリコのおばちゃんが顔パスで入ってくる。

• ECの場合、エンドユーザーが注文を確定した直後にエンドユーザーへ送信される確認メール (名前・配送先住所・電話番号・注文内容とかを記載) が担当者へもBCCで送信されていたりする。それ自体は業務上の必要性があると言えなくもないんだけど、担当者はそのメールを会社だけでなく自宅でも受信してたりする。

• 各種パスワードを初期値から変えてない人が異常に多い。特にメールパスワードの初期値なんてアカウント名と同じか、せいぜいアカウント名に一定の法則で記号なりをくっつけたものになっているから、その気になれば他の従業員のメールを盗み見るのは簡単。

• ってことは、やろうと思えばその会社を辞めたあとでも誰かのメールを受信できる = そのECサイトで買い物をしたユーザーの情報をゲトーしまくれる。

• こんなサイトでもTRUSTeの認定を受けてます。不思議だね。

Permalink | 記事への反応(0) | 16:22

ツイートシェア