大学生・関係者等約35万人分の個人情報、学内イントラネットで4年間閲覧可能状態に

学外への情報漏洩や悪用は確認されていないとのことです。

状況についての詳細は不明ですが、一般に考えられるケースとしては、古典的な例である「個人情報が保存されたファイルにWebからアクセスが可能だった」もの、近年であれば「本来アクセスできないデータベースサーバーのポートに直接アクセス可能だった」もの、また「フロントエンドのWebアプリケーションから直接クエリーを送信するデータベース」を利用している場合に「ブラウザーから細工したクエリーを送信することにより、本来想定していないテーブルの全件取得が可能だった」もの等様々です。

Webサービスの構築時や以後の設定変更に際し、情報漏洩が発生するような問題が生じないよう慎重を期すことはもちろん、情報が閲覧可能な状態になっていないか可能な限り確認することが肝要ですが、システムの複雑化が進み、開発側が自前で一通り確認するにも限界があると思われることから、第三者によるセキュリティ診断を受けることを強く推奨致します。

掲載時点で、マスクにより画面上では見えないものの、テキストデータとしてコピー＆ペーストが可能な状態だったとみられ、また掲載直後に資料を更新した際マスクがずれ、画面上からも閲覧可能な状態になったとしています。

Office文書(Word・Excel・PowerPoint)やPDF文書で機密情報部分をマスクしても、マスクの下やテキストデータが閲覧可能だった事例は過去にも多く報告されており、Acrobatの墨消し機能やその他のツールも活用し、マスクされた箇所のその下の部分についてもテキストレベルからの修正・削除を行うこと、資料に貼り付ける画像についても貼り付ける前に画像データの方を修正することが重要です。

加えて、マスクした状態でデータのコピー＆ペーストや検索(機密情報に繋がる入力へのマッチ)ができないかのチェックを行うことを強く推奨致します(PDF文書内で検索できない設定を行う場合、この設定を解除するツールもあることから、設定する前の状態でチェックすべきでしょう)。