無印良品を展開する良品計画は11月12日、クレジットカード「MUJI Card」の会員情報に関する不正アクセスについて記者会見を行いました。
同社は、MUJI Card会員への特典付与を目的として、2021年7月までカード番号を使って会員を識別していました。その後、カード番号の連携を終了しましたが、取得済みの番号の一部を削除せず、16桁すべてをマスキングや暗号化をしない状態で保管していたことを説明しました。
報道によると、約109万件の会員について、カード番号全桁、生年月日、MUJI Card IDなどに第三者がアクセスした可能性があるとされています。

ここから考えるべきことは、過去の取引やサービス提供のために取得したデータが、現在も必要なのか、また、必要なデータをどのような状態で保管しているのかということです。
多くの企業において、過去の取引データについて、次の2つの観点から管理の在り方を見直す必要があります。

① 保存の必要性と方法
② 将来への活用と管理

税務申告など、法令によって保存が求められる情報もあります。しかし、保存義務があることと、取得した情報をすべてそのまま保管し続けることは別の問題です。
個人情報への配慮がないまま保存していないか。マスキングや暗号化など、情報の重要度に応じた保護をしているか。保存期間を過ぎても、何となく捨てられずに残しているデータはないか。
こうした点を各部署で確認し、情報の保存・廃棄だけでなく、マーケティングや将来の事業活用も含めて、経営として話し合う仕組みを整えることが大切です。

データは、保管しているだけでもリスクになります。御社では、今あるデータを「なぜ保管しているのか」説明できますか？
ビジネスでデータを最大限に活かすには、それにふさわしい管理のレベルも求められます。