「外注職員情報流出、企業も責任」…釜山ディープフェイクイベントのビープ音

最近、釜山地域学校で外注維持・保守職員が教職員のＰＣファイル２２万件を無断搬出してディープフェイク成着臭物を製作した事件に関連して企業の外部人材管理体系を全般的に再点検しなければならないという指摘が出ている。

今回の事件は、単純個人犯行を超えて外注企業管理・監督責任と情報保護体系の抜け穴をあらわした事例で評価される。特に、IT（情報通信）のメンテナンスや施設管理など、外部の人員の出入りが頻繁な企業環境でも同様の情報流出事故が発生する可能性があるという懸念が提起される。

14日、法曹界によると、現行個人情報保護法第26条は、業務を委託した企業が受託者の個人情報処理過程を管理・監督するよう規定している。外注人材が業務用ＰＣやクラウドシステムに接近して情報を流出する場合、委託企業も責任を避けにくいという説明だ。

チャン・ジウン法務法人大輪弁護士は「裁判所は、受託者に対する管理・監督義務をどれだけ忠実に履行したかを重要に判断する」とし「企業が統制システムを正しく構築しなかった場合、受託者の不法行為まで企業責任につながる可能性が高い」と説明した。

張弁護士は特に相当数の企業が外注契約過程で秘密保持誓約書（ＮＤＡ）作成だけで法的義務を果たしたと判断する点について懸念を示した。彼は「NDAは事故発生以後、責任を問う根拠になることはできるが、事前に管理体系を整えたことを立証するには限界がある」と指摘した。

続いて「外注企業規模が小さいか資本力が不足した場合、事後損害賠償請求が現実的に難しい事例も多い」とし「結局企業が直接財政的・法的負担を抱える可能性が大きい」と付け加えた。

チャン弁護士は最近、企業セキュリティ体系が「信頼基盤」から「ゼロトラスト（Zero-Trust）」方式に転換されていることも強調した。外部人材だけでなく、内部職員もシステム的に統制し、すべての記録を残す仕組みが必要だという説明だ。

同氏は「社内ＰＣの自動画面ロックとデータ漏洩防止（ＤＬＰ）システム、ストレージ媒体制御ソリューションなどを義務的に構築しなければならない」とし、「外部人材の単独作業の可否とファイルアクセス記録などを客観的に確認できるログ管理体系も必要だ」とアドバイスした。

また「単純損害賠償条項より実際の損害額の立証なしに請求可能な違約罰条項を契約書に含めなければならない」とし「外注企業のサイバーセキュリティ賠償責任保険加入を義務化するのも現実的なリスク対応方案」と話した。

チャン弁護士は「今回の事件は結局、人に対する信頼だけでは情報保護が不可能であることを示している」とし、「企業セキュリティは個人倫理ではなく検証可能で記録として残る統制システム中心に運営されなければならない」と強調した。

[記事の表示]

“外注従業員情報流出、企業も責任”…釜山ディープフェイクイベントのビープ音（リンク）