※筆者は損保での経験はないが、銀行や生保のシステムに携わった経験があり、金融システムの複雑性についてある程度勘所がある。そのため、今回のような事例で被害件数や他システムへの影響などを調べるのにかなり手間がかかりそうで、1か月ちょっとで正式発表まで持って行けたのはかなり汗をかいただろうと想像している。

気になったのはこのポイント。「指標管理を主としたサブシステム」とは、データ分析やBIを行うためのシステムのように見える。

こんなシステムに生の個人情報を大量に入れるわけはないので、おそらくこのサブシステムへの侵入を土台に、他システムやDBへアクセスされた（水平移動）と見るのが妥当ではないか。

「損保ジャパン　指標管理　システム」でGoogle検索するとそれらしきシステムの紹介が2つ出てくる。

　こちらは今年3月に日経に載った、営業社員の活動管理システムだ。システムの内容はよくある行動管理系のもので目新しさはない。

　営業管理系のシステムというのは基本的に社内で完結するため、情報漏洩のリスクは低い。社内NW からしかアクセスできないよう設計するのが一般的だからだ。

　今回のケースはこちらのシステムではないか。ページ右下に「「SOMPO Report」の提供開始」とあり、”保険代理店自身が指標やアンケート結果を管理・確認できるツール「SOMPO Report」の提供を開始しました。複数の指標の総合的な分析に加え、お客さまアンケート結果をタイムリーに確認できることで、お客さまの声に基づく保険代理店の業務改善・品質向上を支援しています。”と書かれている。

　SOMPO reportで検索すると代理店が画面をアップロードしてくれている。俺が心配することじゃないけどこれってWebにアップして大丈夫なのか？

これを見るに、お客様アンケートの結果を集計して代理店活動にフィードバックするようなシステムに見える。

生の個人情報をこのシステムに保管しているかは不明だが、アンケートの集計に当たり契約者情報を参照しているのだろう。今回は、このシステムへの不正アクセスが行われ、その後にこのシステム自体の参照権限を用いるなどして個人情報が抜かれたのではないだろうか（現時点で公表されている情報は何もないため、これは妄想だ。不正アクセスの手段というのは非常に多岐にわたるので、これ以外の手法である可能性も全然ある）。

　保険になじみのない人向けに説明すると、日本の大手損害保険は代理店方式で商売をしている。保険の提供や保険金の支払元は保険会社だが、保険を消費者（業界では契約者と呼ぶ）に販売するのは代理店だ。

　損害保険と言えば自動車保険が最も有名だが、自賠責でも任意でも、保険の加入はディーラーや中古車販売業者で行う人がほとんどだろう。この場合、ディーラーや中古車業者が「保険代理店」として保険を売る資格を有しており、販売を代行しているという図式だ。

　保険会社と代理店は全く別の会社なので、上記のSOMPO Reportのようなシステムを保険会社から代理店に提供する場合、インターネット経由でアクセスさせることが多い。このとき、セキュリティ対策をきちんとしないと不正アクセスされてしまうリスクが多いというわけだ。

　余談だが、普通は代理店向けに保険会社が総合窓口的なシステムを提供し、その中の1メニューとして各システムが存在するという方式が一般的だ。ただし、保険というのは非常に情報システムが多く、1人のユーザーに対していくつもの異なるWebページを異なるユーザー情報で利用させるような仕組みがまだまだ残っている。SSOは一部分だけ導入済みというのが実情だ。更に脱線するが、保険代理店というのは複数の保険を扱うことが一般的だ。東京海上、損保ジャパン、三井住友海上、あいおい同和の大手4社に加えていくつか扱っているというケースが多い。それぞれの保険会社が複数のシステムに個別のIDを設定するため、代理店が業務全体で管理するユーザー情報が膨大になって業務を圧迫している。早く何とかしてほしい。