自社の従業員情報が、他社に見えてしまう？——社内アンケート・意見箱ツールを選ぶときの「分離」の確認項目

アンケート結果に、他社の従業員情報が混ざった事案

2026年9月30日、ある福利厚生サービスの提供会社が、企業・団体の担当者向けのアンケート機能について公表しました。担当者が結果をダウンロードしたときに、本来は見られないはずの、ほかの企業・団体の従業員の情報の一部が表示される状態だった、という内容です。

公表によると、対象は2,322の企業・団体、13,460人分です。社員番号、氏名、性別、生年月日、所属、入退社情報などが含まれ、クレジットカード情報、口座情報、メールアドレス、パスワードは含まれないとされています。一方で、2025年6月の改修以降にこの機能でダウンロードしたのは、連絡をくれた1社1名だけで、データは削除され、第三者への転送や複製は行われていないとされています。

原因は、2025年6月のシステム改修で入った、ダウンロード機能の条件設定の不備と説明されています。判明のきっかけは利用企業の担当者からの連絡です。また、2025年10月の社内調査でこの不具合を認知していたものの、その後の解消作業が適切に実施されていなかった、とも説明されています。公表では、二次被害は確認されていないとされています。

個別の事案から、そのサービスやほかのサービスの良し悪しを判断することはできません。ここでは、公表された範囲の事実だけを取り上げ、どんな種類の不具合かを考えます。

数字で見ると、起きているのは「大きな攻撃」ばかりではない

個人情報保護委員会の令和7年度年次報告によると、個人情報取扱事業者の漏えい等の報告は、1年間で17,139件が処理されました。1件あたりの漏えい等の人数は1,000人以下が93.6%、情報の形態は紙媒体のみが76.9%です。発生原因は、病院や薬局での書類の誤交付、カード等の誤送付のほか、不正アクセスなどが多いと整理されています。

この数字は、報告された事案の数で、漏えいの総数ではありません。それでも、ニュースになる大規模な攻撃だけでなく、誤交付や誤送付のような、ふだんの業務に近いところでも起きていることが読み取れます。

IPAの「情報セキュリティ10大脅威 2026」の組織向けでも、サプライチェーンや委託先を狙った攻撃が2位に入っています。外部のサービスを使うことは、そのサービスの管理状況も含めて選ぶことになります。

「ほかの組織のデータが見える」は、どうして起きるのか

複数の組織が同じシステムを使うサービス（マルチテナントと呼ばれます）では、組織ごとに「見せてよい範囲」を決める条件が、データの扱いのあらゆる場面に必要です。条件が1か所でも抜けると、ほかの組織の情報が見えてしまいます。

画面の一覧だけでなく、ダウンロード、書き出し、添付ファイル、通知、集計、管理者向けの画面など、データを外へ出す入口ごとに条件が要ります。機能の追加や改修のたびに入口が増えたり変わったりするので、作った時点で正しくても、あとから抜けることがあります。

ツールを選ぶときに聞くこと

導入を検討するときに、提供会社へ次の点を聞いてみてください。答えに具体性があるかどうかが、判断の材料になります。

• 組織どうしの分離を、どの層で行っているか。画面の絞り込みだけか、データベース側でも制限しているか
• ダウンロード、書き出し、添付ファイルなど、データを出す機能にも、同じ分離が効いているか
• 分離を、自動テストなどで継続的に確かめているか。機能を足したり改修したりするたびに確かめるか
• 提供会社は、技術的に何を読めるか。調べるときの手順と、その記録はどうなっているか
• 問題が見つかったとき、利用企業へどう知らせ、どう直すか。連絡先はどこか

これらに「安全です」「大丈夫です」とだけ答えるサービスより、何をどこまで確かめているか、確かめていないことは何かを説明できるサービスのほうが、信頼しやすいはずです。

Furattoの場合

上の項目に沿って、Furattoで実装している範囲を書きます。

• 分離の層: 組織ごとの分離は、画面側の絞り込みだけでなく、データベース側の行ごとのアクセス制限（Row Level Security）でも行っています。
• テスト: 組織Aのデータを入れ、組織Bのメンバー・モデレーター・管理者のそれぞれから、読む・更新する・削除する・作るのいずれもできないことを、ログインした利用者が使えるすべてのテーブルについて自動テストで確かめています。新しいテーブルが増えたのにテストの対象へ入れ忘れていれば、テストが失敗する作りです。このテストは、データベースの変更や権限まわりのファイルを変更するときに実行され、必須のチェックに設定しています（通らない変更は、通常の手順では取り込めません）。このテストの対象はテーブルです。集計の関数は別のテストで確かめていますが、画面の処理そのものは、これらのテストの対象外です。
• データを出す入口: 添付ファイルは、開くたびに、そのユーザー自身の権限で読めるかを確認し、有効期限60秒のURLで配信します。
• 投稿者の情報: 投稿と投稿者アカウントの紐付けは、別のテーブルに分けています。そのテーブルには、ログインした利用者が読めるルールを付けておらず、組織の管理者を含む他の利用者は参照できない作りにしています。
• 運営のアクセス: 運営は通常の運用で投稿本文を閲覧しません。ただし、技術的にはアクセスし得ます。調査などでやむを得ず見るときは、組織ごとに理由を宣言して記録が残る専用の経路を使い、その記録（1年保存）は、開示のご依頼に応じて提供します。

ここに書いたことは、「ほかの組織に見えない」ことの保証ではありません。テストは、不具合を見つけやすくする手段で、不具合がないことの証明ではありません。また、分離を守っても、本文の内容そのものが書き手を推測させる場合があります（少人数の職場では特に）。詳しくは、関連コラム「少人数の職場で匿名性が壊れる仕組みと、その防ぎ方」をご覧ください。

ISO 27001やSOC 2などの第三者認証は、現時点では取得していません。上の確認項目は、Furattoについても、ご自身の目で確かめてください。気になる点は、セキュリティ方針に記載の窓口へどうぞ。

集める前に、選ぶ前に

社員の声を集めるときは、まず何を集めるかを絞る。そのうえで、集めた先のサービスが、自社のデータをほかの組織とどう分けているかを確かめる。この2つは別の問いです。集める情報を減らす考え方は、関連コラム「社員の本音を集めるのに、名前まで必要ですか？」で書いています。

ニュースを見て不安になったときは、「うちのサービスは大丈夫か」と漠然と考えるよりも、上の確認項目を手元に置いて、提供会社に聞いてみることから始められます。