LINEのデータ保管について改めて説明!中国からのアクセスがあるという報道に対して |
LINE Corp.は17日、同社が提供するコミュニケーションサービス「LINE」において日本国内の利用者の個人情報に対する日本国外での取り扱いに関する報道に対してプライバシーポリシーには記載があったものの、わかりにくく説明が十分でなかったために不安や心配をかけたとして謝罪し、改めて状況を説明しています。
まずLINEのデータは日本と韓国のデータセンターに保管されており、氏名や住所など本人確認に必要な情報は国内で保管されているものの、画像・動画を保管するサーバーについては今後の各国の法制度などの環境変化に合わせて、2021年半ば以降、段階的に国内への移転を行う計画を進めているということです。
一方、今回、朝日新聞で報道があった中国からLINEの保管されているデータにアクセスできていた件については海外での開発やモニタリングといった処理が発生することがあるとし、各拠点での業務に伴うデータへのアクセス権限についてはセキュリティー方針に則って責任者による承認を経た上で適切な権限付与を行い、厳格に管理を行っているため、通常の業務としての範疇だと説明。
アクセスできた情報は名前や電話番号、メールアドレス、LINE IDだったとし、LINEに対して外部からの不正アクセスや情報漏えいが発生したということはないとした上で中国での近年の新法制定や日本の個人情報保護法の改正等を含む環境変化に合わせた対応、また経営統合を踏まえて個人情報保護にかかる国際的外部認証の取得を検討していく中でより一層セキュリティーレベルを高めるための対応として2021年2月から3月にかけてアクセスコントロールの強化を行ったとのこと。
また安心して使えるように社内において高いセキュリティー基準を設けて適切な運用を行っていますが、加えて透明性を高めるための定期的な取り組みとして世界各国の捜査機関から受領した要請状況および対応の内訳などを「Transparency Report」として開示しており、最新版の捜査機関からの情報開示・削除要請は『捜査機関からのユーザ情報開示・削除要請(2020年上半期版)』から確認できます。
今後、各国の法制度などの環境変化に合わせてさらに先回りした対応や情報開示を実施し、具体的には現在、グローバル企業としての開発力における国際競争力を維持することを前提に国内利用者のプライバシー性の高いデータへのアクセスを伴う業務の国内移転を進めており、データの海外移転に関しては国名の列挙などを含め、より利用者にとって明確で分かりやすい説明を行っていくとしています。
さらにグローバルでビジネスを展開する企業として各種社会情勢などに先回りして対応していくためのデータ・セキュリティーのガバナンス体制を強化してまいります。具体的にはセキュリティー・プライバシーの有識者による特別委員会による検証や米国「NIST」が定めた世界トップレベルのサイバーセキュリティー基準への準拠を進めていくとのこと。
なお、LINE Corp.はグローバル企業として国内外の開発力を積極的に活用することでサービス価値を高めていくべきであるとの考えのもと、海外拠点での開発は必要なものと位置付けており、その上で国・拠点・職種・業務内容に関わらず、プライバシー性が高いと考えられる情報へのアクセス権限付与については今後も引き続き必要最小限の範囲に留め、各種手続きの上でアクセスが行われるよう厳格に運用していくということです。
LINEでのトークテキストやプライバシー性の高い個人情報(名前・電話番号・メールアドレス・LINE ID・トークテキストなど、それひとつでユーザー個人を特定できるもの、または金銭的被害が発生する可能性があるもの)は原則として日本国内のサーバーで安全に管理しているということです。
しかしながら、LINEの日本国内利用者の一部の個人情報についてLINEのグローバル拠点から日々の開発・運営業務上の必要性からアクセスを行っていることについて利用者への説明が十分でなかったとし、その点について不安や心配をかけたとして謝罪し、改めて報道で言及された日本国外での個人情報の扱いについて説明しています。
■LINEの日本国内利用者の個人情報の取り扱いについて
○国内利用者のデータ管理
LINEのデータセンターは世界複数箇所にあり、LINE上のやりとりに関するデータは大きくトークテキストと画像・動画等に分類され、トークテキストおよび会員登録情報などのプライバシー性の高い個人情報は日本国内のサーバーで管理されており、日本の法規法令に基づく同社のデータガバナンス基準に準拠して適切に取り扱っているとのこと。さらに画像や動画などのデータは韓国のデータセンターにて適切なセキュリティー体制のもとで管理が行われています。
【日本のデータセンターで保管されているデータ】
トークテキスト・LINE ID・電話番号・メールアドレス・友だち関係・友だちリスト・位置情報・アドレス帳・LINE Profile+(氏名、住所など)、音声通話履歴(通話内容は保存されません)、LINE内サービスの決済履歴など
【韓国のデータセンターで保管されているデータ】
画像・動画・Keep・アルバム・ノート・タイムライン・LINE Payの取引情報
※ 氏名住所など本人確認に必要な情報は国内で保管されています。
利用者間のトークテキストや通話の内容については暗号化を行っており、データベースへアクセスするだけではデータの中身を確認することはできず、これらについてはLINEが開発した「Letter Sealing」( https://linecorp.com/ja/security/encryption/2020h1 )というエンドツーエンド暗号化プロトコルを用いて暗号化されているとのこと。Letter Sealingによって暗号化されたテキストは同社のサーバー管理者であっても閲覧することはできず、Letter Sealingはデフォルトの設定でオンとなっているため、利用者が明示的にオフにしない限り有効です。
またトークテキスト・画像・動画データ等に関してはLetter Sealingの設定状況に関わらず、通信経路上で暗号化してサーバーに送信され、画像・動画データについては複数のサーバーにファイルを分散化して保管を行っており、LINEのセキュリティーチームがネットワーク上のトラフィックを常時監視して安全性を脅かす可能性のあるすべての動きの分析を実施して即座に必要な対応を行うようになっているということです。
○国内ユーザーのデータへの国外拠点からのアクセス
LINEは日本を含む世界230以上の国と地域で月間1億8600万人に使われているサービスで、LINEは日本だけでなく、韓国やインドネシア、ベトナム、中国、タイ、台湾の7カ国に開発および運営拠点を持ち、拠点問わずにLINEグループ内で統一のルール、ガバナンスのもと開発・運営が行われています。
サービスの開発・提供・運営に関しては各国の拠点やサービス提供者と一体となって対応しているため、海外での開発やモニタリングといった処理が発生することがあり、国外のグループ会社の拠点や委託先において一部の機能や内部ツールの開発およびタイムラインとオープンチャットのモニタリング業務が行われています。
各拠点での業務に伴うデータベースへのアクセス権限については同社のセキュリティー方針に則り、責任者による承認を経た上で適切な権限付与を行い、厳格に管理を行っており、モニタリングにおいては利用さが「公開」設定で投稿したコンテンツおよびリヨ車自身が「通報」機能を利用して報告を行ったコンテンツのみが対象となります。
○今回の報道において言及されている国外での開発および運用業務
・各開発・運用拠点における業務内容
中国においてはLINEの子会社LINE Plus Corporationの子会社であるLINE Digital Technology (Shanghai) Limited(大連)と、NAVER Corporationの中国法人であり、LINEの業務委託先であるNAVER China(北京)の2拠点で開発業務を行っており、LINE Corp.の子会社LINE Fukuokaの外部委託先(大連)において一部公開コンテンツおよび利用者から「通報」されたトークテキストのモニタリング業務を行っています。
LINE Digital Technology (Shanghai) Limited(大連)では内部ツール、AI機能、LINEアプリ内から利用できる各種機能の3つの開発業務を行っており、中国拠点で開発しているプログラムに関しては同社管轄下のサーバー、ネットワーク、PC端末等を監視し、不正アクセスを検知できる体制を取っているとのこと。またソフトウェア開発の過程においてはLINEのセキュリティーチームによるソースコードのチェックおよびセキュリティーテストによって、不正なプログラムの混入を防止する対策が行われています。
さらにNAVER China(北京)においてはLINEの日本国内利用者のデータは取り扱っておらず、LINEの主要4カ国である日本・台湾・タイ・インドネシア以外の利用者から「通報」されたトークテキストやLINE公式アカウントおよびタイムラインのコンテンツのモニタリングなどを実施しています。
LINE Fukuokaの外部委託先(大連)においてはタイムライン、オープンチャットのコンテンツのモニタリングを実施しており、このモニタリング業務はタイムラインにおいて約1万8千件/日、オープンチャットにおいては約7万4千件/日の処理を行い、国内大手業務代行業者のグループ会社の中国現地法人への委託であり、LINE Fukuokaのセキュリティーチームにてセキュリティー体制の点検を行っているということです。
トークのやりとりにおいて発生するスパムを始めとする迷惑行為をLINEが検知するため、トークルーム内から迷惑行為を報告できるよう「通報」機能を提供しており、この機能にて利用者が通報を行ったテキストについては利用者の端末からサーバーにアップロードされ、アカウント停止などの適切な対応判断のため、暗号化されていない平文のテキストデータでのモニタリングが行われます。
利用者からの「通報」機能を利用した迷惑行為の報告がない限り、トークのテキストのモニタリングは行わず、トーク内でやりとりされる画像や動画についても同様とのこと。なお、日本国内の両者の通報されたトークのテキスト・画像・動画のモニタリングはLINE Fukuokaにて行っており、タイムラインとオープンチャットについてはLINE FukuokaのみならずLINE Fukuokaの外部委託先(大連)においても行っています。
・各開発・運用拠点からのデータアクセスコントロールの強化
LINEでは国・拠点・職種・業務内容に関わらず、プライバシー性が高いと考えられる情報へアクセスするための権限は、必要最小限の範囲にとどめるべきであるとの考えのもと、各社員からの事前申請を義務付け、責任者の承認を経て発行しており、その上で中国での近年の新法制定や日本の個人情報保護法の改正等を含む環境変化に合わせた対応、また経営統合を踏まえて個人情報保護にかかる国際的外部認証の取得を検討していく中で、より一層セキュリティーレベルを高めるための対応として2021年2月から3月にかけて、アクセスコントロールの強化を行ったとのこと。
この対応においてはLINE Digital Technology (Shanghai) Limitedの一部の開発業務でアクセスできた以下のデータへのアクセス権限の削除を行い、これらのアクセス権限は開発業務においてリリース時の検証または不具合発生時の原因追跡のために適切に付与されたものだとしています。
(1)LINEの捜査機関対応業務従事者用CMSの開発(名前・電話番号・メールアドレス・LINE ID・トークテキスト)
(2)LINEのモニタリング業務従事者用CMSの開発(通報によりモニタリング対象となったトークのテキスト・画像・動画・ファイルおよび通報または公開によりモニタリング対象となったLINE公式アカウントとタイムラインの投稿)
(3)問い合わせフォームの開発(名前・電話番号・メールアドレス)
(4)アバター機能、LINEアプリ内のOCR機能の開発(同機能の利用において明示的に同社のデータ活用について同意した顔写真)
(5)Keep機能の開発(利用者が同機能を利用して保存したテキスト・画像・動画・ファイル)
なお、通報によらないトークテキストの扱いについては捜査機関への実務対応を行うためのツール開発保守であり、当該拠点において利用者の実データへのアクセスは行われていないとのこと。捜査機関への対応内容については https://linecorp.com/ja/security/article/28 をご参照ください。
○LINE公式アカウントの開発・運用状況について
・LINE公式アカウントの機能開発業務
日本国内にて提供されている「LINE公式アカウント」の開発・運用に関しては管理画面やサービスプラットフォームなどは日本国内と韓国にて実施しており、データについてはLINEと同様に利用者のトークテキストおよび会員登録情報などのプライバシー性の高い個人情報は日本国内のデータセンター、画像や動画などのデータは、韓国のデータセンターにて適切なセキュリティー体制のもとで管理が行われています。またMessaging APIを利用して運用されている公式アカウントについては当該APIを利用するパートナー各社によってやりとりされたデータの保存先が異なります。
・LINE公式アカウントに関わるモニタリング業務
LINE公式アカウントでは一部のメッセージについて不正監視のためにモニタリングを行っており、このモニタリング業務においてLINE公式アカウントからの一斉送信メッセージ、タイムライン投稿、プロフィールページはモニタリング対象となりますが、「チャット、APIを介したトーク、Chatbotへの回答」の条件に当てはまるデータについてはモニタリングの対象外としているということです。
なお、日本国内のLINE公式アカウントのデータはすべてLINE Fukuokaにてモニタリングを行っており、主要4カ国である日本・台湾・タイ・インドネシア以外のデータはNAVER Chinaにてモニタリングを行っているとし、NAVER Chinaから日本国内のLINE公式アカウントのデータへのアクセス権限はないということです。
・通報対応
利用者によって明示的に「通報」が行われた場合は「通報」前後のチャットのテキストデータのモニタリングを行い、この場合も日本国内のユーザーからの「通報」についてはLINE Fukuokaにて行われ、NAVER Chinaからのアクセス権限はないとのことです。
アプリ名:LINE(ライン) - 無料通話・メールアプリ
価格:無料
カテゴリー:通信
開発者:LINE Corporation
バージョン:端末により異なります
Android 要件:端末により異なります
Google Play Store:https://play.google.com/store/apps/details?id=jp.naver.line.android
アプリ名:LINE
価格:無料
カテゴリ:ソーシャルネットワーキング
開発者:LINE Corporation
バージョン:11.3.0
互換性:iOS 12.0およびwatchOS 6.0以降が必要です。iPhone、iPad、およびiPod touchに対応。
iTunes Store:https://itunes.apple.com/jp/app/id443904275?mt=8
記事執筆:memn0ck
■関連リンク
○エスマックス(S-MAX)
○エスマックス(S-MAX) smaxjp on Twitter
○S-MAX - Facebookページ
○LINEの個人情報管理に不備 中国の委託先が接続可能:朝日新聞デジタル
○ユーザーの個人情報に関する一部報道について | ニュース | LINE株式会社
○Zホールディングスにおける、外部有識者による、「LINE社におけるグローバルなデータガバナンス」を検証・評価する特別委員会の設置について | ニュース | LINE株式会社
○LINE|いつもあなたのそばに。