会社と社会に責任とれますか？情報漏えい・損害賠償の重み

損害賠償の大きさ

日本ネットワークセキュリティ協会では毎年、新聞などで報道された情報をもとに、情報漏えいに関わるインシデント（事故・事件）を報告しています。2015年では、想定損害賠償総額は2,541億円3,663万円、事故・事件1件当たりの損害賠償額は3億3,705万円という結果になりました。つまり1社が平均3億円以上を支払ったとうことです。
その漏えいの対象となった個人情報の人数は、496万人。東京都の人口は1,300万人なので、たった1年で都民の個人情報の3分1以上が流出してしまったことになります。

漏えい対象1人当たりの損害賠償

漏えいした個人情報について、1人当たりの損害賠償額は2万8,000円。これは各漏えい事故・事件における損害賠償額を漏えい人数で割った金額の平均値になります。報道では、漏えい被害者1人に当たり図書券500円が謝罪として発送されたなどとよく聞きます。しかし、漏えいした個人情報の機密性によって異なり、秘匿したい個人的な情報（体や健康などに関わること等）や預貯金の不正引き出しにつながるもの（口座やクレジットカード番号等）ですと、1人当たり数万円という金額になることも珍しくありません。

• 引用
  特定非営利活動法人 日本ネットワークセキュリティ協会「2015年情報セキュリティインシデントに関する調査報告書」

情報漏えいの起こりうる場面と危険性

日本ネットワークセキュリティ協会の2015年の報告書では、「紛失・置き忘れ」が243件で、全体の799件中の約3割に当たります。続いて、誤操作が25.8％ですので、合わせて5割以上がヒューマンエラー（人為的なミス）によるものです。

• 引用
  特定非営利活動法人 日本ネットワークセキュリティ協会「2015年情報セキュリティインシデントに関する調査報告書」

ここで注意したいのは「不正な情報の持ち出し」「不正アクセス」など、犯罪を目的とした悪意のある漏えいです。上の表で見ると、悪意のある事故・事件の発生件数は、「紛失・置き忘れ」「誤操作」といった悪意のない漏えいに比べて少ないことがわかりますが、下の表を見ると、漏えいした個人情報の数はとても大きなものになっていることがわかります。原因別に、個人情報の漏えい人数別を見ると、「不正な情報の持ち出し」「不正アクセス」といった悪意のある事故・事件が上位にランクしていることがわかります。特に「不正アクセス」は、一回で個人情報を大量に盗むため、実に用意周到です。

• 引用
  特定非営利活動法人 日本ネットワークセキュリティ協会「2015年情報セキュリティインシデントに関する調査報告書」

情報セキュリティの脅威は、「起きる”可能性”ではなく起きたときの”危険性”」に目を向けなければなりません。「滅多に起きない」と油断しないことが大切です。

対策（1）データを一元管理できるように

個々のパソコンにデータが格納されている場合、そのパソコンを仕事で持ち出し、紛失すれば情報の漏えいになります。今はモバイルをビジネスに活用する時代ですから、個々の機器にデータを入れ、それぞれに対策を施すのはかえってコストがかかります。今後は、データを一元管理できるように、データのクラウド化やデータレス端末の導入へ移行していくことになるでしょう。

対策（2）監視とシステムの進化

インターネットから中枢部のデータへアクセスしようというサイバー攻撃へは、新たな対策が求められます。24時間の監視（モニタリング）、日々のシステム上のデータやプログラムの動きや攻撃についてのパターンなどを解析し、新しい脅威への対策を継続的に行う体制の構築が必要です。

対策（3）人の能力の限界を補うシステム

IDとパスワードによる機密情報等へのアクセス制限や管理は一般的になりました。しかし、パスワードの定期的な変更は、エンドユーザーやIT管理者の負担になります。またIDとパスワードは、常に成りすましや流出の危険にさらされています。アクセス制限には、指紋や目の光彩を利用した生体認証のほうが確実で、利用者やIT管理者の負担も減ることになります。メールの誤送信なども、文面や添付ファイルのチェックを自動的に行い、問題を含むメールを発信させない仕組みや、内容を暗号化させるシステムにするほうが確実です。
個人情報のデータが狙われる反面、ビッグデータの活用やデータベースマーケティングなど、むしろ現場の最前線では個人データの活用が鍵になっています。セキュリティを強化することと同時に、個人情報の安全で新しい活用方法も並行して考えてみるのがよいかもしれません。