【情報漏洩の事後対応】各企業が行わなければいけない対策や被害・原因について徹底解説|サイバーセキュリティ.com

【情報漏洩の事後対応】各企業が行わなければいけない対策や被害・原因について徹底解説

本コンテンツには広告を含み、本コンテンツを経由して商品・サービスの申込みがあった場合、提携している各掲載企業から送客手数料を受け取ることがあります。



近年IT化が進み、各企業では情報の取り扱いや保管を厳重に行わなければならず、情報漏洩・流出が発生しないように常時対策を行っていることと思います。

しかしIT化が進むとともに問題視されているのがサイバー攻撃や不正アクセスによる情報漏洩・流出の事件です。企業規模が大きければ大きいほど情報流出・漏洩事件を起こした場合の損害は計り知れません。

各企業は情報を管理する上でどのような対策方法を行わなければいけないのでしょうか?また、万が一情報が流出・漏洩してしまった場合、どのような対応をしなければいけないのでしょうか?今回は情報漏洩・流出の防止策や対応方法について紹介します。

情報漏洩・流出が起こる原因

情報漏洩・流出が発生する原因として大きく外部原因と内部原因の二つに分類することができます。

外部原因

サイバー攻撃

サイバー攻撃とはネットワークを通じてパソコンやスマホのシステムを攻撃・破壊したり、内部の情報を抜き取ったりすることです。近年企業がサイバー攻撃の対象とされるケースが増え、情報が漏洩・流出してしまったという事件が多発しています。

不正アクセス

アクセス権限を持たない者=第三者が悪意を持って企業のサーバーやシステムにアクセスする行為のことを指します。不正アクセスの被害も年々増加しており、情報漏洩・流出だけではなくシステムダウンなどの被害にも繋がります。

ウイルス感染

情報漏洩・流出を引き起こす一つの要因としてウイルス感染が挙げられます。外部からウイルス付きのメールが送信されてきて感染したり、アクセスしたサイト上で感染したりと、その感染経路は多数あります。

内部原因

情報持ち出し

社内の人間が悪意を持って機密情報を外部に流したり、退職者が他社に情報を持ち出して悪用したりなどの事例が挙げられます。

誤操作

メールの送信先を間違えていた、web上に誤って個人情報を掲載してしまった、など人為的なミスがあります。個人の情報管理が不十分なうえにミスを起こしてしまうと企業の大規模な損害に繋がってしまいます。

紛失・置忘れ

社内スマホやパソコン・機密情報が記載されている資料を紛失した、置き忘れてしまった、盗まれてしまったなどが例に挙げられます。

情報漏洩・流出が起こった場合の損害

万が一企業で情報漏洩・流出が起きてしまった場合はどのような損害が発生するのでしょうか?

経済的損害

罰金・損害賠償

個人情報保護法により企業の情報管理は厳しくなっており、求められているセキュリティレベルも高度になっています。個人情報の漏洩・流出が疑われたり、情報の管理が不適切な企業だと判断された場合、個人情報保護委員会による是正勧告を受けます。それに従わない場合には罰金を支払わなければならず、同時に社会的信用も失いかねません。

また、個人情報漏洩・流出による被害を受けた顧客や関係者がいる場合、企業は損害賠償という形で法的責任を負わねばなりません。ある企業は情報漏洩・流出の賠償金として顧客に500円の図書券を配布したという事例もあります。漏洩・流出した情報の量や価値によって損害賠償の金額は左右され、企業の負担も大きく変化します。

システム復旧のコスト

情報漏洩・流出が起きた時にはその原因を突き止め、停止しているシステムを再び使える状態に戻さなければなりません。まず原因を特定するために全社のシステムを停止させて調査をする必要があります。サイバー攻撃やウイルス感染が原因なのであればその原因や感染源を突き止め、復旧作業を行わなければいけません。漏洩・流出した情報量が多ければ多いほどその復旧作業は難航し、破壊されてしまったシステムを再構築するためには巨額のコストがかかってしまいます。

社会的信用の損害

個人情報保護委員会から、企業による情報漏洩・流出が発生した際に被害を受けた顧客や関係者への通知・公表を2022年春より義務化すると発表されました。つまり企業で情報漏洩・流出の事件が起きたらその事実を世間に公表しなければいけないということです。「個人情報を漏洩・流出させた企業」として世間からの評価は下がり、会社の社会的信用も失ってしまいます。

企業の情報漏洩・流出が発生したにもかかわらず被害者の顧客や関係者に対しての報告を怠った場合、最大で1億円の罰金が科せられることになります(2022年より)。各企業の情報管理をより強化させる狙いがあるようです。

情報漏洩・流出が発生した場合、企業が行わなければいけない対応について

もし会社で情報漏洩・流出が起きてしまった場合、どのような対応を行う必要があるのでしょうか?情報漏洩・流出発生後の対応の流れに沿って説明していきます。

①情報漏洩・流出の事実を確認し報告する

情報漏洩・流出の事実が発覚したり、外部から漏洩・流出の報告された場合、速やかに責任者に報告する義務があります。万が一情報漏洩・流出が社内の一部分のみで発生しているのをそのまま放置していた場合、社内上部の責任者はその事実を知る余地がありません。素早い報告が情報漏洩・流出による被害を最小限に抑えることができるのです。

情報漏洩の被害には必ずデジタル機器が関与しているため、事実確認にはフォレンジック調査が有効です。

②対策本部の設置や初期対応を行う

情報漏洩・流出の事実を確認したら、それ以上の情報が漏洩・流出しないように対策をとる必要があります。企業の規模によって情報漏洩・流出の対策本部を設置したり、社内システムを一時停止させ、サイバー攻撃や不正アクセスの被害を最小限に抑え込みます。この初期対応がその後の経済的損害・社会的信用の損害の規模に大きくかかわってくるのです。

③事実確認を行う

続いて情報漏洩・流出が本当なのか、どのようにして発覚したのかなどを整理するために事実確認を行います。この時以下の項目に沿って確認するとその後の調査がスムーズに行うことができます。

  • いつ情報が漏洩・流出したのか
  • いつ情報漏洩・流出が発覚したのか
  • どこで情報漏洩・流出を発見したのか
  • 誰が情報漏洩・流出を発見したのか
  • どんな情報が漏洩・流出したのか
  • どのようにして情報漏洩・流出が発覚したのか
  • どうして情報が漏洩・流出してしまったのか

④情報漏洩・流出の原因を調査する

情報漏洩・流出の事実が確認出来たら本当にその情報が正しいのかを証明する証拠や裏付けを調査します。このように情報漏洩・流出の原因を調査し、法的証拠を探し出すことをフォレンジック調査といいます。その調査の方法は 端末調査(コンピューターフォレンジック)ネットワーク調査(ネットワークフォレンジック)と二つに分類することができます。それぞれの違いは以下の通りです。

端末調査(コンピューターフォレンジック) ネットワーク調査(ネットワークフォレンジック)
調査対象 情報漏洩・流出の原因とされているパソコンやスマホなどの機器 システムに接続されていたネットワーク全体
調査内容 機器のアクセスログの分析
使用履歴の調査
削除データの復旧や復元
外部デバイスへの接続履歴の調査 など
不正アクセスポイントの調査
ウイルス感染源の検出
ネットワーク経由の通信内容の調査 など

社内のシステム管理者は社員へヒアリングしたりシステムを一時停止するなど一時的な対策は行えますが、個人で行える対応には限界があります。フォレンジック調査を行う場合には専門の業者に依頼するのがおすすめです。

⑤情報漏洩・流出の事実を通知・報告・公表する

個人情報保護委員会に情報漏洩・流出の事実を報告し、同委員会による勧告や指導が入ります。指導に従い、再び情報漏洩・流出が起こらないように努めなければなりません。また情報漏洩・流出により被害を受けた顧客や関係者がいる場合にはその事実を公表しお詫びの対応を行う必要があります。

⑥情報漏洩に適したセキュリティ製品を導入する

情報漏洩をもたらすマルウェアは、1日に100万種超の勢いで増殖し続けており、セキュリティソフトによるマルウェア対策も限界を迎えつつあります。

なお、従来のセキュリティソフトで防御できるマルウェアは全体の約45%と言われており、マルウェアの侵入を防ぐセキュリティ対策を用いてマルウェアに対処することは不可能といっても過言ではありません。

しかし、現代のマルウェアに対応したセキュリティ製品も一定数存在しています。たとえばマルウェア感染後の監視型駆除や、外部との不正通信(情報漏洩)を検知・遮断する、新しい機能を持ったセキュリティ製品であれば、情報漏洩をもたらす悪質なマルウェアに感染しても、全自動で対処することが可能です。おすすめ製品については、下記の記事で詳しく紹介しています。

情報漏洩・流出の調査専門のおすすめの業者

情報漏洩・流出の調査専門の業者はどのような基準で選べばいいのでしょうか?

本記事ではおすすめのフォレンジック調査会社として「デジタルデータフォレンジック」を紹介します。

デジタルデータフォレンジック

デジタルデータフォレンジック公式ページ

サイトデジタルデータフォレンジック

デジタルデータフォレンジックは国内売上No.1のデータ復旧業者が提供しているフォレンジックサービスです。

マルウェア感染、不正アクセス、情報漏洩流出の調査など法人を対象とした社内インシデントに対応している専門性の高い業者であり、無料で相談から見積もりまで受け付けているため、突然のトラブルにもスムーズに対応することが出来ます。

また警視庁からの捜査依頼実績も多数あることから実績面でも信頼ができ、費用面でも安心といえるでしょう。

費用 相談から見積もりまで無料
調査対象 PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など
サービス 退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、ハッキング・不正アクセス調査、データ改竄調査、マルウェア・ランサムウェア感染調査など
特長 無料で相談から見積もりまで可能
14年連続国内売上No.1のデータ復元サービス
警視庁からの捜査協力依頼実績が多数あり

まとめ

個人情報漏洩・流出の原因や対応方法について紹介してきました。

IT化により管理する情報量も増加しつつあり、ますます情報漏洩・流出に対する意識を高める必要があります。情報漏洩・流出を起こさないように対策するのはもちろんのこと、起きてしまった場合も迅速な対応ができるようにしておきましょう。

あわせて以下のページもよく読まれています。

SNSでもご購読できます。