เรียนรู้การจัดการวิกฤติและบทบาทของทนายความจากกรณีที่บริษัทโตโยต้าคอนสตรัคชั่นเกิดการรั่วไหลข้อมูล 650,000 รายการ

ในวันที่ 1 เมษายน พ.ศ. 2548 (2005) กฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Law) ได้รับการบังคับใช้ทั่วหมด ซึ่งผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลจำเป็นต้องดำเนินการตามหน้าที่ในการจัดการความปลอดภัย แต่ก็ยังมีเหตุการณ์การรั่วไหลของข้อมูลส่วนบุคคลที่ไม่สามารถหยุดยั้งได้

ในกรณีที่เกิดเหตุการณ์การรั่วไหลของข้อมูล สิ่งที่สำคัญที่สุดคือขั้นตอนและความเร็วในการจัดการ โดยเฉพาะอย่างยิ่งสำหรับธุรกิจขนาดเล็กและกลางที่ไม่มีทีมงานที่เชี่ยวชาญด้านความปลอดภัยของข้อมูล อาจจะมีกรณีที่ไม่สามารถตัดสินใจว่าควรจะตอบสนองอย่างไรได้ทันท่วงที

ดังนั้น ในครั้งนี้ เราจะอธิบายเกี่ยวกับระบบการจัดการวิกฤติในการรั่วไหลของข้อมูล โดยอ้างอิงการตอบสนองของบริษัทโตเกียวคอนสตรัคชั่น (Tokyo Construction Corporation) ในเหตุการณ์การรั่วไหลของข้อมูลของบริษัท

ภาพรวมของการรั่วไหลของข้อมูล

เนื้อหาหลักเกี่ยวกับการรั่วไหลของข้อมูลจากการเข้าถึงที่ไม่เป็นธรรมที่เกิดขึ้นที่บริษัทโตโก้คอร์ปอเรชั่น (Toko Corporation) มีดังต่อไปนี้

• เกิดขึ้น: ระหว่างวันที่ 20 สิงหาคม 2020 ถึง 12 กันยายน 2020 รวม 24 วัน
• ค้นพบ: วันที่ 20 ตุลาคม 2020
• สาเหตุ: การเข้าถึงที่ไม่เป็นธรรมจากบุคคลที่สามที่เข้าถึงเซิร์ฟเวอร์ที่เก็บข้อมูลของผู้ใช้งานทั้งหลายผ่านหน้าเว็บไซต์ของกลุ่มบริษัท
• เป้าหมาย: ผู้ที่ติดต่อเข้ามาที่เว็บไซต์ของบริษัทในกลุ่ม, สมาชิก, ผู้สมัครในแคมเปญต่างๆ
• ข้อมูล: “ที่อยู่อีเมล”, “ชื่อ”, “ที่อยู่”, “หมายเลขโทรศัพท์”, “รหัสผ่าน”, “เพศ”, “วันเดือนปีเกิด” และอื่นๆ
• จำนวน: ข้อมูลส่วนบุคคลทั้งหมด 657,096 รายการที่มีความเป็นไปได้ที่จะรั่วไหล

การเปิดเผยการเข้าถึงที่ไม่เป็นธรรมและการตอบสนองเบื้องต้น

ในวันที่ 20 ตุลาคม 2563 (2020), บริษัทโตเกียวคิเน็นคอร์ปอเรชั่น (Tokyo Kikai Corporation) ได้ค้นพบการเข้าถึงที่ไม่เป็นธรรมต่อเว็บไซต์ที่บริษัทดำเนินการ “Nasrac Kitchen” ในระหว่างการตรวจสอบเว็บไซต์เป็นประจำ และได้ดำเนินการตอบสนองเบื้องต้นดังต่อไปนี้

• ปิดเว็บไซต์ “Nasrac Kitchen” และหยุดการให้บริการจากเว็บไซต์นี้ในฐานะการตอบสนองด่วนด้านความปลอดภัย
• ตั้ง “ศูนย์การบริหารความปลอดภัยข้อมูล” และขอคำปรึกษาจากองค์กรบุคคลที่สามภายนอก
• ตรวจสอบเว็บไซต์ของกลุ่มทั้งหมดจนถึงวันที่ 11 พฤศจิกายน และดำเนินการแก้ไขช่องโหว่ชั่วคราว พร้อมกับยืนยันจำนวนและรายการที่รั่วไหลมากที่สุด

จุดสำคัญของการตอบสนองเบื้องต้น

เมื่อยืนยันว่ามีความเสี่ยงในการรั่วไหลของข้อมูลจากการเข้าถึงที่ไม่เป็นธรรม ควรดำเนินการตอบสนองดังต่อไปนี้ทันทีเพื่อป้องกันการขยายผลกระทบ การเกิดผลกระทบครั้งที่สอง และการเกิดขึ้นซ้ำ

• ยืนยันความจริง (สาเหตุของการเข้าถึงที่ไม่เป็นธรรม ทางเดิน และอื่น ๆ)
• หยุดการทำงานของอุปกรณ์หรือเว็บไซต์ที่ได้รับการเข้าถึงที่ไม่เป็นธรรม
• ตัดการเชื่อมต่อของอุปกรณ์หรือเว็บไซต์ที่ได้รับการเข้าถึงที่ไม่เป็นธรรมจากเครือข่าย

สิ่งที่ควรระวังในขณะนี้คือ ควรไม่ดำเนินการอย่างไม่ระมัดระวังและต้องดำเนินการเพื่อรักษาหลักฐานที่เหลืออยู่ในระบบเพื่อไม่ให้หลักฐานหายไป

การปล่อยข่าวหลังจากการรั่วไหลของข้อมูล

การเปิดเผยครั้งแรกได้ดำเนินการในวันที่ 17 พฤศจิกายน 2563 บนเว็บไซต์ของบริษัท Tokken Corporation ญี่ปุ่น.

เนื้อหาที่เปิดเผยประกอบด้วยภาพรวมของการเข้าถึงที่ไม่เป็นธรรม และมาตรการในอนาคต นอกจากนี้ยังมีข้อมูลที่จำเป็นที่ระบุอย่างละเอียดในรูปแบบ “คำถามและคำตอบเกี่ยวกับเหตุการณ์การรั่วไหลของข้อมูลจากการเข้าถึงที่ไม่เป็นธรรม”

บริษัท Tokken Corporation ญี่ปุ่น และบริษัทในเครือของเรา (ต่อไปนี้จะเรียกว่า “เรา” หรือ “กลุ่มของเรา”) ได้ยืนยันในวันที่ 20 ตุลาคม 2563 ว่าเครือข่ายของเราได้รับการเข้าถึงที่ไม่เป็นธรรมจากบุคคลที่สาม และข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการติดต่อ Home Mate ที่เราดำเนินการ ข้อมูลสมาชิกของบริษัทในเครือ และข้อมูลผู้สมัครในแคมเปญต่างๆ อาจจะได้รับการรั่วไหลไปยังภายนอก

เกี่ยวกับการรั่วไหลของข้อมูลส่วนบุคคลจากการเข้าถึงที่ไม่เป็นธรรม

ในหน้าเว็บที่ลิงก์ไว้ด้านบน, “คำถามและคำตอบเกี่ยวกับเหตุการณ์การรั่วไหลของข้อมูลจากการเข้าถึงที่ไม่เป็นธรรม” มีเนื้อหาดังต่อไปนี้

เกี่ยวกับรายละเอียดของข้อมูลที่รั่วไหล

Q ข้อมูลที่รั่วไหลในครั้งนี้คืออะไร?
A เราเชื่อว่า “ชื่อ” “ที่อยู่” “หมายเลขโทรศัพท์” “ที่อยู่อีเมล” และ “รหัสผ่าน” ที่ใช้ในทุกเว็บไซต์ที่บริษัทของเราและบริษัทในเครือที่เราดำเนินการได้รั่วไหลออกไป

Q ข้อมูลบัตรเครดิตรั่วไหลหรือไม่?
A ในเว็บไซต์ที่บริษัทของเราและบริษัทในเครือดำเนินการ ไม่มีการเก็บข้อมูลที่เป็นตัวเลขประจำตัวบุคคล เช่น หมายเลขบัตรเครดิตหรือหมายเลข My Number ดังนั้นไม่มีความเสี่ยงที่ข้อมูลจะรั่วไหล

ในการอธิบายเกี่ยวกับข้อมูลที่รั่วไหล การระบุอย่างชัดเจนและแยกข้อมูลที่มีความเป็นไปได้ที่จะรั่วไหล (1) และข้อมูลที่ไม่มีความเสี่ยงที่จะรั่วไหล (2) จะช่วยป้องกันความวุ่นวายและความกังวลที่ไม่จำเป็น

เกี่ยวกับมาตรการในอนาคต

Q ฉันสามารถใช้งานเว็บไซต์ของบริษัทในกลุ่มของโทเคียวคอนสตรัคชั่น (Tokyu Construction) ต่อไปได้หรือไม่?
A สำหรับเว็บไซต์ทั้งหมดที่บริษัทของเรารวมถึงบริษัทในกลุ่มดำเนินการ, ในขณะนี้เราได้เสร็จสิ้นการเพิ่มความมั่นคงปลอดภัยเพื่อต้านการเข้าถึงที่ไม่เป็นธรรมแล้ว

Q คุณมีแผนจัดการข้อมูลอย่างไรในอนาคต?
A ในอนาคต, เราจะรับการตรวจสอบจากหน่วยงานสอบสวนของบุคคลที่สามตามความจำเป็น และหากพบจุดอ่อนใด ๆ ในเว็บไซต์ เราจะทำการแก้ไขทันทีและทุ่มเทในการจัดการข้อมูลอย่างเข้มงวดมากขึ้น

ในมาตรการที่จะมา, สิ่งที่สำคัญคือการอธิบายอย่างละเอียดเกี่ยวกับการตอบสนองด้านความปลอดภัยของเว็บไซต์ที่ผู้ใช้ใช้งาน, ความเป็นไปได้ในการใช้งานอีกครั้ง, และระบบการจัดการข้อมูลในอนาคต

ถาม-ตอบเกี่ยวกับการชดเชยความเสียหาย

Q ผู้ที่ได้รับความเสียหายจากการรั่วไหลของข้อมูลจะได้รับเงินชดเชยหรือเงินปรับปรุงใจหรือไม่?
A จากการตรวจสอบข้อมูลที่รั่วไหลจากการเข้าถึงโดยไม่ชอบด้วยกฎหมายครั้งนี้ ไม่มีแผนที่จะจ่ายเงินชดเชยหรือเงินปรับปรุงใจ อย่างไรก็ตาม หากมีความเสียหายทางการเงินหรืออื่นๆ ที่เกิดขึ้นจากการรั่วไหลของข้อมูลครั้งนี้ และมีการนำเอาหลักฐานที่เป็นรูปธรรมมาแสดง กรุณาติดต่อ “ศูนย์ให้คำปรึกษาเกี่ยวกับข้อมูลส่วนบุคคล” ของบริษัทของเรา

Q มีการถอนเงินที่ฉันไม่รู้จัก ฉันสามารถรับการชดเชยได้หรือไม่?
A หากมีการถอนเงินที่คุณไม่รู้จักจากบัญชีของคุณ กรุณาติดต่อโดยตรงกับบริษัทที่ทำการถอนเงินนั้นๆ โดยคุณเอง นอกจากนี้ หากการรั่วไหลของข้อมูลครั้งนี้เป็นสาเหตุที่ทำให้เกิดการถอนเงินที่คุณไม่รู้จัก ขออภัยในความไม่สะดวก แต่กรุณาแจ้ง “ศูนย์ให้คำปรึกษาเกี่ยวกับข้อมูลส่วนบุคคล” ของบริษัทของเรา

เราไม่จ่ายเงินชดเชยหรือเงินปรับปรุงใจ แต่หากมีความเสียหายทางการเงินที่เกิดจากการรั่วไหลข้อมูล เรายินดีให้คำปรึกษาเกี่ยวกับการชดเชยความเสียหายเป็นกรณีๆ ไป นี่คือนโยบายของบริษัทของเรา

การสงสัยเกี่ยวกับการประกาศแถลงข่าวครั้งแรก

ในการจัดการวิกฤติภัยขององค์กร ควรคิดถึง “การขยายขอบเขตของความเสียหาย” “การเกิดความเสียหายครั้งที่สอง” และ “การป้องกันการเกิดขึ้นซ้ำ” เป็นสิ่งสำคัญ

ดังนั้น ในกรณีที่มีการรั่วไหลของข้อมูล การดำเนินการเร่งด่วนและแจ้งให้ผู้ที่เกี่ยวข้องทราบโดยเร็วที่สุดจึงเป็นสิ่งที่สำคัญ

การตอบคำถาม (Q&A) ของบริษัทโตเกียวคอนสตรัคชั่น (Touken Corporation) ตอบคำถามที่คาดว่าจะถามในขอบเขตที่กว้างขวางอย่างรอบคอบ ซึ่งทำให้เราเห็นว่าได้มีการประชุมกับทนายความหรือผู้เชี่ยวชาญอื่น ๆ ก่อนที่จะสร้างขึ้น แต่ยังมีข้อสงสัยเกี่ยวกับการเปิดเผยข้อมูลหลังจากการเข้าถึงโดยไม่ชอบธรรมประมาณ 1 เดือน

แน่นอนว่า สำหรับองค์กร อยากจะทำการสอบสวนและดำเนินมาตรการก่อนที่จะเปิดเผย แต่ 4 ประเด็นต่อไปนี้ควรจะเปิดเผยในรายงานครั้งแรกอย่างเร็วที่สุดหรือไม่

• การรั่วไหลของข้อมูลและผู้ที่คาดว่าจะได้รับผลกระทบ
• เนื้อหาของข้อมูลส่วนบุคคลที่รั่วไหล
• ไม่มีความเป็นไปได้ที่ข้อมูลที่เชื่อถือได้ เช่น หมายเลขบัตรจะรั่วไหล
• ระบบและตารางเวลาในอนาคต
• ช่องทางการติดต่อสอบถาม

จุดสำคัญในการแจ้งเตือน รายงาน และการเปิดเผย

เมื่อมีการรั่วไหลของข้อมูล ความจำเป็นในการพิจารณาการแจ้งเตือนต่อผู้ใช้หรือคู่ธุรกิจ การยื่นรายงานต่อหน่วยงานผู้ดูแลหรือตำรวจ และการเปิดเผยผ่านหน้าเว็บไซต์หรือสื่อมวลชน จะขึ้นอยู่กับสาเหตุและเนื้อหาของข้อมูลที่รั่วไหล

ในกรณีที่มีความผิดทางอาญา

หากมีความเป็นไปได้ว่าการเข้าถึงโดยไม่ชอบด้วยกฎหมายอาจเป็นอาชญากรรม คุณต้องรายงานต่อตำรวจโดยเร็วที่สุดหลังจากทำการสอบสวนเกี่ยวกับความจริงและดำเนินมาตรการรักษาหลักฐาน

ในกรณีของบริษัทโตเกียวคอนสตรัคชั่น (Tokyo Construction Corporation) บริษัทได้รายงานความเสียหายต่อกระทรวงการขนส่งและทรัพยากรแผ่นดินของญี่ปุ่นและสำนักงานตำรวจจังหวัดไอจิ ในวันถัดไปหลังจากที่การสอบสวนเว็บไซต์ของกลุ่มบริษัททั้งหมดเสร็จสิ้น

ในกรณีที่มีความเป็นไปได้ว่าข้อมูลส่วนบุคคลอาจถูกรั่วไหล

หากมีความเป็นไปได้ว่าข้อมูลส่วนบุคคล เช่น หมายเลขบัตรประชาชนของญี่ปุ่น (My Number) หมายเลขบัตรเครดิต บัญชีธนาคาร ชื่อผู้ใช้และรหัสผ่าน อาจถูกรั่วไหล คุณต้องแจ้งเตือนต่อบุคคลที่เกี่ยวข้องโดยเร็วที่สุดและขอให้หยุดการใช้งานเพื่อป้องกันความเสียหายที่อาจเกิดขึ้น

ในกรณีที่มีขนาดใหญ่หรือมีผลกระทบที่กว้างขวาง หรือไม่สามารถแจ้งเตือนแต่ละคนที่เกี่ยวข้องได้

คุณควรเปิดเผยข้อมูลผ่านหน้าเว็บไซต์หรือการประชุมข่าว อย่างไรก็ตาม หากมีความเป็นไปได้ว่าการเปิดเผยอาจทำให้ความเสียหายขยายขึ้น คุณควรพิจารณาเรื่องเวลาและกลุ่มเป้าหมายในการเปิดเผย

นอกจากนี้ การรักษาความโปร่งใสและเปิดเผยข้อมูลที่เป็นความจริงให้มากที่สุดเมื่อทำการเปิดเผย จะช่วยสร้างความไว้วางใจให้กับองค์กร และป้องกันความเสียหายที่อาจขยายขึ้นและการเกิดอุบัติเหตุที่คล้ายคลึงกัน

การประกาศข่าวสารครั้งที่สอง

บริษัทโตเกียวเคนคอร์ปอเรชั่นได้ประกาศข่าวสารครั้งที่สองเกี่ยวกับการรั่วไหลของข้อมูลส่วนบุคคลในวันที่ 9 กุมภาพันธ์ พ.ศ. 2564 บนเว็บไซต์ของบริษัท โดยได้ทำการแก้ไขรายการและจำนวนของข้อมูลที่รั่วไหล

ผลจากการตรวจสอบฟอเรนสิกโดยองค์กรภายนอก พบว่ามีความแตกต่างบางประการในรายการข้อมูลที่รั่วไหล ดังนั้นเราขอความกรุณาให้ท่านตรวจสอบอีกครั้งในเอกสารแนบที่ 1 “รายการตามไซต์และบริการ” นอกจากนี้ จำนวนข้อมูลที่รั่วไหลได้รับการปรับปรุงจาก 657,096 รายการเป็น 655,488 รายการ

เนื้อหานอกจากการแก้ไขดังกล่าวแล้ว ยังมีการเพิ่มวิธีการตอบสนองต่ออีเมลที่น่าสงสัยหรืออีเมลรบกวน แต่ทั้งหมดนี้เป็นเนื้อหาพื้นฐานที่เหมือนกับการประกาศข่าวสารครั้งแรก และการประกาศครั้งนี้เป็นการประกาศครั้งสุดท้าย

ศูนย์กลางการตอบสนองต่อวิกฤติคือศูนย์มาตรการ

หลังจากที่ความผิดทางการเข้าถึงที่ไม่เป็นธรรมของบริษัทโตโยต้าคอร์ปอเรชั่นถูกเปิดเผย บริษัทได้ตั้ง “ศูนย์ความมั่นคงปลอดภัยข้อมูล” และทำงานร่วมกับองค์กรของบุคคลที่สามภายนอกและตำรวจ เพื่อป้องกันการเกิดขึ้นซ้ำ

โครงสร้างขององค์กรนี้ยังไม่ชัดเจน แต่ไม่เพียงแค่มาตรการความมั่นคงปลอดภัยของระบบเท่านั้น แต่ยังต้องดำเนินการพร้อมกันในการติดต่อผู้ใช้ที่เป็นเป้าหมาย การตอบสนองต่อสื่อ การตอบสนองต่อผู้ถือหุ้น และการพิจารณาความรับผิดชอบทางกฎหมาย ดังนั้น โดยทั่วไปจะต้องมีการมีส่วนร่วมขององค์กรของบุคคลที่สามภายนอกและผู้เชี่ยวชาญดังต่อไปนี้

• บริษัทซอฟต์แวร์ชั้นนำ
• ผู้ขายที่เชี่ยวชาญด้านความมั่นคงปลอดภัยชั้นนำ
• ทนายความภายนอกที่มีความรู้ลึกซึ้งในด้านความมั่นคงปลอดภัยไซเบอร์

สรุป

ในกรณีที่เกิดการรั่วไหลของข้อมูลส่วนบุคคลขนาดใหญ่เกิน 650,000 รายการเช่นครั้งนี้ การตอบสนองเร่งด่วนและการจัดการที่มุ่งเน้นที่ “การแจ้งเตือน รายงาน และการเปิดเผย” และ “มาตรการด้านความปลอดภัย” จะมีความสำคัญ

ที่ต้องการความรวดเร็วเป็นพิเศษไม่ใช่เพียงการตอบสนองเร่งด่วนเท่านั้น แต่ยังรวมถึงการแจ้งเตือนและรายงานต่อตำรวจและหน่วยงานที่เกี่ยวข้อง รวมถึงการเปิดเผยต่อผู้ที่เกี่ยวข้อง (การประกาศผ่านสื่อมวลชน)

อย่างไรก็ตาม หากคุณจัดการอย่างผิดพลาด คุณอาจต้องรับผิดชอบในการชดใช้ค่าเสียหาย ดังนั้น แนะนำให้คุณปรึกษากับทนายความที่มีความรู้และประสบการณ์เกี่ยวกับความปลอดภัยไซเบอร์ล่วงหน้า และไม่ควรตัดสินใจด้วยตนเอง

สำหรับผู้ที่สนใจในการจัดการวิกฤติการรั่วไหลข้อมูลจากมัลแวร์ของ Capcom กรุณาดูรายละเอียดในบทความ

https://monolith.law/corporate/capcom-information-leakage-crisis-management[ja]

การแนะนำมาตรการจากสำนักงานทนายความของเรา

สำนักงานทนายความ Monolis คือสำนักงานที่มีความเชี่ยวชาญสูงในด้าน IT โดยเฉพาะอย่างยิ่งอินเทอร์เน็ตและกฎหมาย ที่สำนักงานของเรา เราทำการสร้างและทบทวนสัญญาสำหรับเรื่องที่หลากหลาย ตั้งแต่องค์กรที่มีการอยู่ในตลาดหลักทรัพย์ของโตเกียว (Tokyo Stock Exchange Prime) ไปจนถึงบริษัทสตาร์ทอัพ หากคุณมีปัญหา กรุณาอ้างอิงบทความด้านล่างนี้

https://monolith.law/contractcreation[ja]