無料会員登録
近年IT化が進み、各企業では情報の取り扱いや保管を厳重に行わなければならず、情報漏洩・流出が発生しないように常時対策を行っていることと思います。
しかしIT化が進むとともに問題視されているのがサイバー攻撃や不正アクセスによる情報漏洩・流出の事件です。企業規模が大きければ大きいほど情報流出・漏洩事件を起こした場合の損害は計り知れません。
各企業は情報を管理する上でどのような対策方法を行わなければいけないのでしょうか？また、万が一情報が流出・漏洩してしまった場合、どのような対応をしなければいけないのでしょうか？今回は情報漏洩・流出の防止策や対応方法について紹介します。
情報漏洩・流出が起こる原因
情報漏洩・流出が発生する原因として大きく外部原因と内部原因の二つに分類することができます。
外部原因
サイバー攻撃
サイバー攻撃とはネットワークを通じてパソコンやスマホのシステムを攻撃・破壊したり、内部の情報を抜き取ったりすることです。近年企業がサイバー攻撃の対象とされるケースが増え、情報が漏洩・流出してしまったという事件が多発しています。
不正アクセス
アクセス権限を持たない者＝第三者が悪意を持って企業のサーバーやシステムにアクセスする行為のことを指します。不正アクセスの被害も年々増加しており、情報漏洩・流出だけではなくシステムダウンなどの被害にも繋がります。
ウイルス感染
情報漏洩・流出を引き起こす一つの要因としてウイルス感染が挙げられます。外部からウイルス付きのメールが送信されてきて感染したり、アクセスしたサイト上で感染したりと、その感染経路は多数あります。
内部原因
情報持ち出し
社内の人間が悪意を持って機密情報を外部に流したり、退職者が他社に情報を持ち出して悪用したりなどの事例が挙げられます。
誤操作
メールの送信先を間違えていた、web上に誤って個人情報を掲載してしまった、など人為的なミスがあります。個人の情報管理が不十分なうえにミスを起こしてしまうと企業の大規模な損害に繋がってしまいます。
紛失・置忘れ
社内スマホやパソコン・機密情報が記載されている資料を紛失した、置き忘れてしまった、盗まれてしまったなどが例に挙げられます。
情報漏洩・流出が起こった場合の損害
万が一企業で情報漏洩・流出が起きてしまった場合はどのような損害が発生するのでしょうか？
経済的損害
罰金・損害賠償
個人情報保護法により企業の情報管理は厳しくなっており、求められているセキュリティレベルも高度になっています。個人情報の漏洩・流出が疑われたり、情報の管理が不適切な企業だと判断された場合、個人情報保護委員会による是正勧告を受けます。それに従わない場合には罰金を支払わなければならず、同時に社会的信用も失いかねません。
また、個人情報漏洩・流出による被害を受けた顧客や関係者がいる場合、企業は損害賠償という形で法的責任を負わねばなりません。ある企業は情報漏洩・流出の賠償金として顧客に500円の図書券を配布したという事例もあります。漏洩・流出した情報の量や価値によって損害賠償の金額は左右され、企業の負担も大きく変化します。
システム復旧のコスト
情報漏洩・流出が起きた時にはその原因を突き止め、停止しているシステムを再び使える状態に戻さなければなりません。まず原因を特定するために全社のシステムを停止させて調査をする必要があります。サイバー攻撃やウイルス感染が原因なのであればその原因や感染源を突き止め、復旧作業を行わなければいけません。漏洩・流出した情報量が多ければ多いほどその復旧作業は難航し、破壊されてしまったシステムを再構築するためには巨額のコストがかかってしまいます。
社会的信用の損害
個人情報保護委員会から、企業による情報漏洩・流出が発生した際に被害を受けた顧客や関係者への通知・公表を2022年春より義務化すると発表されました。つまり企業で情報漏洩・流出の事件が起きたらその事実を世間に公表しなければいけないということです。「個人情報を漏洩・流出させた企業」として世間からの評価は下がり、会社の社会的信用も失ってしまいます。
企業の情報漏洩・流出が発生したにもかかわらず被害者の顧客や関係者に対しての報告を怠った場合、最大で1億円の罰金が科せられることになります（2022年より）。各企業の情報管理をより強化させる狙いがあるようです。
情報漏洩・流出が発生した場合、企業が行わなければいけない対応について
もし会社で情報漏洩・流出が起きてしまった場合、どのような対応を行う必要があるのでしょうか？情報漏洩・流出発生後の対応の流れに沿って説明していきます。
①情報漏洩・流出の事実を確認し報告する
情報漏洩・流出の事実が発覚したり、外部から漏洩・流出の報告された場合、速やかに責任者に報告する義務があります。万が一情報漏洩・流出が社内の一部分のみで発生しているのをそのまま放置していた場合、社内上部の責任者はその事実を知る余地がありません。素早い報告が情報漏洩・流出による被害を最小限に抑えることができるのです。
情報漏洩の被害には必ずデジタル機器が関与しているため、事実確認にはフォレンジック調査が有効です。
②対策本部の設置や初期対応を行う
情報漏洩・流出の事実を確認したら、それ以上の情報が漏洩・流出しないように対策をとる必要があります。企業の規模によって情報漏洩・流出の対策本部を設置したり、社内システムを一時停止させ、サイバー攻撃や不正アクセスの被害を最小限に抑え込みます。この初期対応がその後の経済的損害・社会的信用の損害の規模に大きくかかわってくるのです。
③事実確認を行う
続いて情報漏洩・流出が本当なのか、どのようにして発覚したのかなどを整理するために事実確認を行います。この時以下の項目に沿って確認するとその後の調査がスムーズに行うことができます。
- いつ情報が漏洩・流出したのか
- いつ情報漏洩・流出が発覚したのか
- どこで情報漏洩・流出を発見したのか
- 誰が情報漏洩・流出を発見したのか
- どんな情報が漏洩・流出したのか
- どのようにして情報漏洩・流出が発覚したのか
- どうして情報が漏洩・流出してしまったのか
④情報漏洩・流出の原因を調査する
情報漏洩・流出の事実が確認出来たら本当にその情報が正しいのかを証明する証拠や裏付けを調査します。このように情報漏洩・流出の原因を調査し、法的証拠を探し出すことをフォレンジック調査といいます。その調査の方法は 端末調査（コンピューターフォレンジック）・ネットワーク調査（ネットワークフォレンジック）と二つに分類することができます。それぞれの違いは以下の通りです。
| 端末調査（コンピューターフォレンジック） | ネットワーク調査（ネットワークフォレンジック） | |
|---|---|---|
| 調査対象 | 情報漏洩・流出の原因とされているパソコンやスマホなどの機器 | システムに接続されていたネットワーク全体 |
| 調査内容 | 機器のアクセスログの分析 使用履歴の調査 削除データの復旧や復元 外部デバイスへの接続履歴の調査 など |
不正アクセスポイントの調査 ウイルス感染源の検出 ネットワーク経由の通信内容の調査 など |
社内のシステム管理者は社員へヒアリングしたりシステムを一時停止するなど一時的な対策は行えますが、個人で行える対応には限界があります。フォレンジック調査を行う場合には専門の業者に依頼するのがおすすめです。
⑤情報漏洩・流出の事実を通知・報告・公表する
個人情報保護委員会に情報漏洩・流出の事実を報告し、同委員会による勧告や指導が入ります。指導に従い、再び情報漏洩・流出が起こらないように努めなければなりません。また情報漏洩・流出により被害を受けた顧客や関係者がいる場合にはその事実を公表しお詫びの対応を行う必要があります。
⑥情報漏洩に適したセキュリティ製品を導入する
情報漏洩をもたらすマルウェアは、1日に100万種超の勢いで増殖し続けており、セキュリティソフトによるマルウェア対策も限界を迎えつつあります。
なお、従来のセキュリティソフトで防御できるマルウェアは全体の約45%と言われており、マルウェアの侵入を防ぐセキュリティ対策を用いてマルウェアに対処することは不可能といっても過言ではありません。
しかし、現代のマルウェアに対応したセキュリティ製品も一定数存在しています。たとえばマルウェア感染後の監視型駆除や、外部との不正通信（情報漏洩）を検知・遮断する、新しい機能を持ったセキュリティ製品であれば、情報漏洩をもたらす悪質なマルウェアに感染しても、全自動で対処することが可能です。おすすめ製品については、下記の記事で詳しく紹介しています。
情報漏洩・流出の調査専門のおすすめの業者
情報漏洩・流出の調査専門の業者はどのような基準で選べばいいのでしょうか？
本記事ではおすすめのフォレンジック調査会社として「デジタルデータフォレンジック」を紹介します。
デジタルデータフォレンジック
公式サイトデジタルデータフォレンジック
デジタルデータフォレンジックは、累計3万9千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も395件以上ある国内有数のフォレンジック調査サービスです。
一般的なフォレンジック調査会社と比較して対応範囲が幅広く、法人のサイバー攻撃被害調査や社内不正調査に加えて、個人のハッキング調査・パスワード解析まで受け付けています。24時間365日の相談窓口があり、最短30分で無料のWeb打合せ可能とスピーディーに対応してくれるので、緊急時でも安心です。
運営元であるデジタルデータソリューション株式会社では14年連続国内売上No.1のデータ復旧サービスも展開しており、万が一必要なデータが暗号化・削除されている場合でも、高い技術力で復元できるという強みを持っています。調査・解析・復旧技術の高さから、何度もテレビや新聞などのメディアに取り上げられている優良企業です。
相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
| 費用 | ★相談・見積り無料 まずはご相談をおすすめします |
|---|---|
| 調査対象 | デジタル機器全般：PC/スマートフォン/サーバ/外付けHDD/USBメモリ/SDカード/タブレット 等 |
| サービス | ●サイバーインシデント調査： マルウェア・ランサムウェア感染調査、サイバー攻撃調査、情報漏洩調査、ハッキング調査、不正アクセス（Webサイト改ざん）調査、サポート詐欺被害調査、Emotet感染調査 ●社内不正調査： 退職者の不正調査、情報持ち出し調査、横領・着服調査、労働問題調査、文書・データ改ざん調査、証拠データ復元 ●その他のサービス： パスワード解除、デジタル遺品調査、セキュリティ診断、ペネトレーションテスト（侵入テスト）、OSINT調査（ダークウェブ調査） 等 ※法人・個人問わず対応可能 |
| 特長 | ✔官公庁・法人・捜査機関への協力を含む、累計39,000件以上の相談実績 ✔企業で発生しうるサイバーインシデント・人的インシデントの両方に対応 ✔国際標準規格ISO27001/Pマークを取得した万全なセキュリティ体制 ✔経済産業省策定の情報セキュリティサービス基準適合サービスリストに掲載 ✔警視庁からの表彰など豊富な実績 ✔14年連続国内売上No.1のデータ復旧サービス(※)を保有する企業が調査 ※第三者機関による、データ復旧サービスでの売上の調査結果に基づく。(2007年～2020年) |
| 基本情報 | 運営会社：デジタルデータソリューション株式会社 所在地：東京都港区六本木6丁目10-1 六本木ヒルズ森タワー15階 |
| 受付時間 | 24時間365日 年中無休で営業（土日・祝日も対応可） ★最短30分でWeb打合せ（無料） |
まとめ
個人情報漏洩・流出の原因や対応方法について紹介してきました。
IT化により管理する情報量も増加しつつあり、ますます情報漏洩・流出に対する意識を高める必要があります。情報漏洩・流出を起こさないように対策するのはもちろんのこと、起きてしまった場合も迅速な対応ができるようにしておきましょう。
あわせて以下のページもよく読まれています。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
