日経新聞社員にインサイダー取引事件で思うこと

日本経済新聞の社員がインサイダー取引で逮捕されました。その手口は、職場のPCを通じて株式分割の情報を入手して、当該企業の株を事前に購入、株式分割後の一時的株価上昇に乗じて売り抜けていたようです。情報セキュリティ上関心を呼ぶのは、その情報が入手できた経緯です。

以下は、読売新聞Webからの引用です。

日経社員を証取法違反容疑で逮捕、社長が謝罪
社員の逮捕で謝罪する日本経済新聞社の杉田亮毅社長（左）ら（東京・千代田区の本社で）　日本経済新聞社（東京都千代田区）の社員によるインサイダー取引事件で、東京地検特捜部は２５日、証券取引等監視委員会の告発を受け、同社広告局金融広告部員の笹原一真容疑者（３１）を証券取引法違反の容疑で逮捕した。
　同社は同日付で笹原容疑者を懲戒解雇するとともに、杉田亮毅社長が会見し、「社員の罪は社長の不徳の致すところ」などと謝罪、再発防止策を講じることを明らかにした。
　調べによると、笹原容疑者は昨年１２月１３日から今年１月２０日までの間、上場企業５社が広告会社を通じて日経新聞に掲載を依頼した「法定公告」の内容を、掲載前に広告局内の共用パソコンで閲覧、同月３１日までに５社の株計約９万４４００株を計約２億４０００万円で購入した疑い。笹原容疑者は、容疑を全面的に認めているという。
　笹原容疑者が不正取引に利用した法定公告は、いずれも公表後に値上がりが予想される株式分割に関するもので、掲載後に高値で売り抜け、計約３０００万円の不正な利益を得ていた。関係者によると、笹原容疑者の口座には、事件発覚直前に、計１億円以上の残高があったという。
　逮捕を受け、日経新聞社は２５日午後５時３０分から本社で、杉田社長と専務３人が会見。杉田社長は、深々と頭を下げて謝罪した上で、「情けないの先を通り越して断腸の思い」などと述べ、社内調査結果を明らかにした。
　調査結果によると、笹原容疑者が株取引を始めたのは０４年３月。動機については、「証券業界の担当者として、顧客企業を知るため」と説明したという。１５の証券会社に口座を開き、インターネットを使って、多い日には１００回以上も売買するほどのめり込んでいた。
　同社広告局では、法定公告の掲載情報などが閲覧できるＩＤとパスワードが部署ごとに共用され、笹原容疑者も日ごろからこのパスワードを使用していたが、ほかにも、少なくとも７０人が法定公告の掲載情報にアクセス可能だったという。
　同社は、情報管理体制の不備を認めた上で、ＩＤやパスワードを定期的に変更するなどの再発防止策を講じることを明らかにした。
　◆過去に比べ悪質、規模も大◆
　今回のインサイダー取引は、過去の例に比べ、利益額や取引規模が大きく、悪質さが際立つ。
　インサイダー取引は１９９０年以降、約４０件が摘発されている。大半が、一つの銘柄を対象とした取引で、複数銘柄の取引は、０２年に監視委から告発された元東京三菱銀行員らの事件など数少ない。笹原容疑者による５銘柄での不正取引は過去最多。同容疑者が得た利益は約３０００万円で、個人としては、９８年の日本エム・アイ・シー事件、９９年のトーア・スチール事件に次ぎ、史上３番目という。
��2006年7月25日21時28分 読売新聞）

記事にあるように、部署ごとでIDとパスワード共有していたのこと。初めから共用IDであったのか、それとも個人のIDがいつの間にか共用されたのかはわかりません。しかし、個人で固有に管理されるべきIDが共用されたことは、ID管理の原則に反します。また、職務の分離、職務に応じたアクセス権限の付与、need-to-knowなどアクセスコントロールの基本的な決り事に尽く反しています。
また、定期的なパスワードの変更もこれから実施するとのこと。という事は今まで行われていなかった訳ですね。
犯人の動機や犯意も問題ですが、アクセスコントロールの基本が守られていれば、十分に防ぐことが可能な事件であろうかと思われます。