ニュースの概要
パーク24で大規模な情報漏えいが起き、国土交通省が日本レンタカー協会に対して、加盟する事業者の情報セキュリティーと個人情報の管理体制を点検するよう求めた。影響はレンタカーやカーシェアの利用者情報に及び、関連サービスを含む多数のアカウントが対象になったと報じられている。同社はコインパーキング「タイムズ」を中核にする会社である。駐車場、レンタカー、カーシェアを一つの会員基盤でつなぐ事業モデルが、今回は裏目に出た形だ。所管官庁が業界団体を通じて横断的な点検に動いた点も、事の重さを示している。
引用元: パーク24の情報漏えい問題を受け、国交省がレンタカー協会に安全管理の点検を要請（日刊自動車新聞）
分析・見解
一つの会員IDで全サービスを使える便利さが、被害の範囲も広げた
パーク24の強みは、駐車場、レンタカー、カーシェアを同じ会員の仕組みで使えることにある。利用者は一度登録すれば、どのサービスでも同じ情報で使える。便利さの裏側で、情報は一か所に集まる。入口が一つ破られれば、複数のサービスの利用者が同時に影響を受けやすい。今回、関連サービスを含む多数のアカウントが対象になったとされるのは、この構造と無関係ではないだろう。
これは同社だけの話ではない。ポイントや決済で顧客を囲い込む事業は、どれも同じ弱点を抱える。集めたデータが多いほど、守る責任も重くなる。
国交省が業界団体に点検を求めたのは、個社の事故で終わらせない意思表示
今回の要請は、パーク24に直接処分を出す形ではない。日本レンタカー協会を通じて、加盟事業者全体に点検を促すものだ。個社の不祥事として片づければ、同じ穴が他社に残る。そこで業界全体の水準を引き上げる狙いがあると読める。
似た例は過去にもある。2013年前後のクレジットカード情報流出の際は、加盟店向けの対策基準が強化され、カード会社と事業者の責任分担が整理された。レンタカーや駐車場でも、同様に最低限の基準が文書化される可能性は高い。
駐車場は「無人で完結する」からこそ、情報の管理が事業の土台になる
駐車場は、人がいない前提で成り立つ事業である。精算機、ナンバー認識、アプリ決済、会員カードなど、接点のほとんどが機械とネットワークでつながる。人の目で確認できない分、利用者は事業者のシステムを信じるしかない。
加えて、車のナンバー、利用日時、利用場所、決済手段が重なると、その人の生活パターンが見えてしまう。氏名やカード番号だけでなく、移動の履歴も守る対象だと考える必要がある。ここを軽く見る事業者は、規模の大小を問わず危うい。
小規模オーナーほど、委託先の管理が見えにくい落とし穴になる
個人や中小の駐車場オーナーは、自社で会員情報を持たないことが多い。精算機メーカー、運営委託会社、決済代行会社に任せているからだ。しかし任せたから安全とは限らない。情報の置き場所と責任の所在を、オーナー自身が把握していないケースが目立つ。
今回のような事案では、大手のブランド名で運営する場合でも、土地の所有者は契約上の当事者として説明を求められる場面がありうる。自分の駐車場のデータが誰の手元にあるかを、契約書で確かめておくことが先決である。
ビジネスへの影響
自社の駐車場で扱っている情報を、まず棚卸しする
最初にやるべきことは、どんな情報を誰が持っているかを書き出す作業だ。ナンバー、利用履歴、会員情報、決済情報、防犯カメラの映像などを一覧にする。次に、それぞれの保管場所を自社、運営会社、機器メーカー、決済会社に分けて確認する。
自社で持たない情報でも、契約上の責任が残る場合がある。点検の第一歩は、見えていない部分を見えるようにすることだ。
委託契約に、事故時の連絡と費用負担のルールを入れる
運営委託や機器保守の契約には、漏えいが起きたときの連絡期限、調査への協力、費用の負担先を明記したい。連絡が遅れるほど、利用者への説明も遅れ、駐車場全体の信頼を損なう。
確認する点は三つある。第一に、事故の連絡は何日以内か。第二に、再委託先の管理は誰が行うか。第三に、契約終了時にデータは消されるか。曖昧なら、更新のタイミングで見直しを申し入れるとよい。
「持たない」という選択も、有力な対策になる
情報は、持たなければ漏れない。キャッシュレス決済は決済会社にカード情報を預けられるため、自社で保管する量を減らせる。会員登録を求めない精算方式を残すのも一つの手である。
便利さと安全のバランスは、駐車場の立地や客層で変わる。集める情報を必要最小限に絞る方針は、今回の問題を受けて、利用者への説明材料にもなる。