情報漏洩の経験企業16.2％、大企業は30.2％—「分からない」14.8％をどう読む

帝国データバンクは10月9日から14日にかけて全国の企業にインターネット調査を行い、1,328社の有効回答を集計した。過去に情報漏洩または情報漏洩の可能性がある事案が「発生したことがある」と答えた割合は16.2％、直近1年以内は5.5％である。この調査は回答企業の経験を尋ねたアンケートであり、警察への届出件数や国内全企業で実証された事故率ではない。「可能性のある事案」も対象に含むため、確定した被害だけの統計と混同しないことが大切だ。

企業規模別にみると、大企業で「発生したことがある」と答えた割合は30.2％。全体の16.2％を14.0ポイント上回った。また直近1年以内の経験割合は大企業8.8％に対し、中小企業5.0％と報告されている。ただし、この数字だけで「大企業の対策が弱い」とは結論できない。保有データの量、システム・取引先の多さに加え、被害の検知体制が整い発見しやすい可能性もある。規模別の比較では、発生機会と発見能力という二つの要因を分けて考える必要がある。

調査では、情報漏洩が「全く発生したことがない」は69.1％、「分からない」は14.8％だった。専門家がいないため漏洩の有無を判別できないとの回答もあり、認識している被害の数だけでは実態を捉えきれない。通信ログの保存、異常なアクセスの監視、委託先との連絡網、メール誤送信の報告手順が不十分なら、兆候を見過ごす恐れがある。未把握を直ちに被害とみなすことも誤りだが、「分からない」をゼロ件に含めて安全性を判断することにも注意したい。

調査ではメールの送信先間違いや誤添付などの人的ミスに加え、取引先を装ったメールへの対応、外部からのサイバー攻撃の痕跡などが挙げられた。実務では、不審メールの訓練や二要素認証に加えて、宛先確認の仕組み、権限の最小化、バックアップの復旧試験、委託先との事故報告ルールを組み合わせるべきだ。情報漏洩と情報システムへの侵入は同じ概念ではないため、何が外部に渡ったのか、アクセス権限を奪われたのかを区別して記録することが再発防止につながる。

予算や人手が限られる企業は、まず重要情報の保管場所、管理責任者、共有先を棚卸しし、事故を疑った場合の連絡先と初動手順を短い文書にまとめたい。メール・クラウド管理者の認証を強化し、退職者のアカウントを速やかに無効化するなど、基本動作を定着させることも有効だ。取引先に報告が必要な条件や個人情報保護法上の届出要否は事故の内容で異なるので、発生時には公式窓口の最新案内を確かめる。今回の16.2％を一律の将来被害確率とせず、検知と対応の体制を点検するきっかけにしたい。