  |
はてなキーワード: 損害保険とは
先ほど、NHKで損保ジャパンの情報漏洩事故について報道が出た。
1750万件というのは、国内の漏洩事例のなかでは5指に入るくらい、かなり大きい規模だ。
もっとも、マイナンバーやクレカ・口座情報は漏洩しなかったようなので、影響度で考えるとそこまで大きくないと見ることもできる。
この事例を眺めていて面白いと感じたポイントが2つあったのでずらずらと書いた。
不正アクセス自体は4/17～4/21にかけて発生したようだ。その後、4/25に損保ジャパンが第一報を出している。
（https://www.sompo-japan.co.jp/-/media/SJNK/files/news/2025/20250425_1.pdf）
おそらく、第一報の後に調査やら金融庁への報告を行い、再発防止をとりまとめ、金融庁に再度報告、それから今回のリリースといった流れだろう。
流出情報の特定に時間がかかりそうなことを踏まえると、大企業にしてはそれなりにスピード感のある対応のように思える。
※筆者は損保での経験はないが、銀行や生保のシステムに携わった経験があり、金融システムの複雑性についてある程度勘所がある。そのため、今回のような事例で被害件数や他システムへの影響などを調べるのにかなり手間がかかりそうで、1か月ちょっとで正式発表まで持って行けたのはかなり汗をかいただろうと想像している。
気になったのはこのポイント。「指標管理を主としたサブシステム」とは、データ分析やBIを行うためのシステムのように見える。
こんなシステムに生の個人情報を大量に入れるわけはないので、おそらくこのサブシステムへの侵入を土台に、他システムやDBへアクセスされた（水平移動）と見るのが妥当ではないか。
「損保ジャパン 指標管理 システム」でGoogle検索するとそれらしきシステムの紹介が2つ出てくる。
こちらは今年3月に日経に載った、営業社員の活動管理システムだ。システムの内容はよくある行動管理系のもので目新しさはない。
営業管理系のシステムというのは基本的に社内で完結するため、情報漏洩のリスクは低い。社内NWからしかアクセスできないよう設計するのが一般的だからだ。
今回のケースはこちらのシステムではないか。ページ右下に「「SOMPO Report」の提供開始」とあり、”保険代理店自身が指標やアンケート結果を管理・確認できるツール「SOMPO Report」の提供を開始しました。複数の指標の総合的な分析に加え、お客さまアンケート結果をタイムリーに確認できることで、お客さまの声に基づく保険代理店の業務改善・品質向上を支援しています。”と書かれている。
SOMPO reportで検索すると代理店が画面をアップロードしてくれている。俺が心配することじゃないけどこれってWebにアップして大丈夫なのか？
https://lifesupport.agency/download/kpi-kanri.pdf
これを見るに、お客様アンケートの結果を集計して代理店活動にフィードバックするようなシステムに見える。
生の個人情報をこのシステムに保管しているかは不明だが、アンケートの集計に当たり契約者情報を参照しているのだろう。今回は、このシステムへの不正アクセスが行われ、その後にこのシステム自体の参照権限を用いるなどして個人情報が抜かれたのではないだろうか（現時点で公表されている情報は何もないため、これは妄想だ。不正アクセスの手段というのは非常に多岐にわたるので、これ以外の手法である可能性も全然ある）。
保険になじみのない人向けに説明すると、日本の大手損害保険は代理店方式で商売をしている。保険の提供や保険金の支払元は保険会社だが、保険を消費者（業界では契約者と呼ぶ）に販売するのは代理店だ。
損害保険と言えば自動車保険が最も有名だが、自賠責でも任意でも、保険の加入はディーラーや中古車販売業者で行う人がほとんどだろう。この場合、ディーラーや中古車業者が「保険代理店」として保険を売る資格を有しており、販売を代行しているという図式だ。
保険会社と代理店は全く別の会社なので、上記のSOMPO Reportのようなシステムを保険会社から代理店に提供する場合、インターネット経由でアクセスさせることが多い。このとき、セキュリティ対策をきちんとしないと不正アクセスされてしまうリスクが多いというわけだ。
余談だが、普通は代理店向けに保険会社が総合窓口的なシステムを提供し、その中の1メニューとして各システムが存在するという方式が一般的だ。ただし、保険というのは非常に情報システムが多く、1人のユーザーに対していくつもの異なるWebページを異なるユーザー情報で利用させるような仕組みがまだまだ残っている。SSOは一部分だけ導入済みというのが実情だ。更に脱線するが、保険代理店というのは複数の保険を扱うことが一般的だ。東京海上、損保ジャパン、三井住友海上、あいおい同和の大手4社に加えていくつか扱っているというケースが多い。それぞれの保険会社が複数のシステムに個別のIDを設定するため、代理店が業務全体で管理するユーザー情報が膨大になって業務を圧迫している。早く何とかしてほしい。
2024年10月に金融庁が「金融分野におけるサイバーセキュリティに関するガイドライン」（https://www.fsa.go.jp/news/r6/sonota/20241004/18.pdf）をリリースしたのは業界関係者なら記憶に新しいだろう。保険業界を含む金融分野の情報システムについて、実施するべきサイバーセキュリティ対策や管理方針をまとめたものだ。
メガバンクや証券会社、カード会社、保険会社はこのガイドラインへの対応でそれなりに手間をかけている。今回のインシデントを受け、ガイドラインが更新・加筆されるようなら追加の作業が発生して現場としてはかなり面倒なことになりそうだ。ベンダの立場からすると追加の発注をもらえるのでありがたいところだが……
個社の事故を受けてガイドラインに手を加えるようなことを金融庁がするか？と言われるとそんなことはなさそうな気もする。ただ、今回は件数が大きく、事故の詳細な内容によっては監督官庁として手綱を強める必要を感じるかもしれない。面倒なことにならないといいのだが……
損保ジャパンをはじめとするSOMPOグループの中には、セキュリティベンダも存在する。
「ＳＯＭＰＯリスクマネジメント株式会社」という名前で、脆弱性診断からセミナー、各種セキュリティ製品導入まで手広くやっているようだ。
従業員数は560名。セキュリティ会社としては大きめだろう。参考までに、ラックが2,295名、エムオーテックスが472名、GMOイエラエが302名。
外販事業で知名度が高い印象はないのでグループ会社向けにもセキュリティ診断等を提供しているものだと思うが、今回のシステムの診断とかはやっていたんだろうか。
正直なところAIの登場でマルウェア製作とかゼロデイ攻撃とかが簡単になってるし、侵入されてない/侵入され得ない大企業ってほとんど存在しないのでは？
[改正保険業法が成立 損保業界で法令違反問題相次いだこと受け](https://www3.nhk.or.jp/news/html/20250530/k10014820991000.html)
>複数の損害保険の商品を扱う大規模な保険代理店に対し、営業所ごとに法令順守の責任者を置くことや、外部からの苦情に適切に対応する体制の整備を義務づけます。
こんなんやっても意味ないよ。 そもそも損保会社は上から下まで法令遵守する気が無い社員ばかりなんだもん。
損保業界向けにITコンサルやってるけどあいつら本当に法令遵守意識が皆無だよ。 法令違反なシステム要件を提示してくるし、それを指摘すると部長級のおっさんが「うるせえ！」って怒鳴ってくるし。 もうめちゃくちゃだよ。
同じ日記にこんなのも見つけたよ
2023/4/3
かなり綺麗だが、通電不可という状態。
症状は充電済みバッテリーを入れても動かない、そのバッテリーを外して他のカメラに入れると動かなくなる。（他のカメラで充電をするとバッテリーは復活する）
基板がなんか悪さしてるんだろうな。と思った。
修理前提なので週末に持ち込み修理するかな。
2023/4/15
壊れたデジカメを自己破損にも対応した保険会社に連絡して申請書類がやっと届いたのでフルサイズデジカメのα7ボディをビックロに持ち込み修理依頼をする（誕生日には特に何も買わなかったけど、今年の自分プレゼントはこれかなと思う）
2003/5/17
携行品損害保険のα7のデジカメ修理費が11日に振り込まれていて今日、その通知書が届いた。3000円自己負担だったので、結局α7は38000円ということになった。
JAL2機の機長はいずれも、管制官から「離陸がある」（we have departure）と伝えられていたが、1機が滑走路に突っ込んだ
国交省は管制官との会話資料の和訳版において、管制官が海保に指示した「ナンバーワン」（No. 1）の言葉を削除し、SNSで「海保機長が誤ったようだ」をばらまき、警察まで出動させた（プランB'1）
しかし外国人記者クラブから英語原文会話資料がリークし、海保機が「ナンバーワン」と言われていたことがバレた
「誤侵入防止表示に気づかなかった管制官が悪い」ということにし（目の前のモニターに出るのに気づいていなかったわけがない）、管制官は「離着陸兼用の異常な滑走路運用」を告発（プランB'2）
そして、「ナンバーワン」の言葉を、空港ではひとまず使用禁止する方向（これは釣りだ。いつから使用していたのか分からない）
管制官が言った「we have departure」の言葉はもう離陸していて、空中に浮かんでる
昨年末にオスプレイも運用が止まり、これにシンクロするかのように能登の大地震
