最新のニュース　｜　過去のニュース　｜　個人情報漏洩とは

近年個人情報漏洩のニュースが非常に多く流れるようになっています。
個人情報の漏洩は、どのような個人・組織でも起こる可能性がありますが、組織が引き起こす個人情報の漏洩は、その組織自体に非常に大きなダメージを与えますので、今すぐに対策すべき問題であり、経営者やIT等の担当者はその意識を持っていないといけない時代であると言えます。
当ページではそのような情報漏洩に対する意識を啓蒙するためこれまでのニュース情報を整理しています。
ご自身の対策のためにぜひお役立てください。

最新個人情報漏洩事件・関連ニュース

過去の個人情報漏洩事件まとめ

日付は事件発生日、発表日または報道日など。責任を代表する事業者名で記述。

＜凡例＞

• 被害1千件以上
• 二次被害発生の報道や故意
• その他適宜

個人情報漏洩について

個人情報とは？

個人情報保護法では、個人情報、個人データ、保有個人データの３つの概念を設けていいるのをご存知ですか？
一つずつ説明していきましょう。

個人情報

生存する個人に関する情報であって、
(1) 氏名、生年月日、住所等により特定の個人を識別することができるもの
(他の情報と容易に照合でき、それにより特定の個人を識別することができるものを含む)
例）データベース化されていない書面・写真・音声等に記録されているもの

(2) 個人識別符号(1又は2)が含まれるもの
①特定の個人の身体の一部の特徴を電子計算機のために変換した符号
例）DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋等

②対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号
例）旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証等

個人データ

個人情報データベース等(※)を構成する個人情報
例）委託を受けて、入力、編集、加工等のみを行っているもの
(※)名簿、連絡帳のように、個人情報を含む情報の集合物であって、電子媒体・紙媒体を問わず、特定の個人情報を検索することができるように体系的に構成したもの。

保有個人データ

個人情報取扱事業者が開示、訂正、削除等の権限を有する個人データ (6月以内に消去することとなるものを除く。)
例）自社の事業活動に用いている顧客情報、従業員等の人事管理情報

要配慮個人情報

人種、信条、社会的身分、病歴、犯罪 の経歴、犯罪により害を被った事実等が含まれるもの

個人情報漏洩とは？

その名の通り、上記の「個人情報」が、「個人情報を保有する者」および「個人情報に該当する者」の意図に反して、第三者による「故意」または「過失」によって、第三者に渡ることを言います。

なぜ個人情報漏洩が起きてしまうのか？

個人情報漏洩（漏えい）とは、その名の通り、個人情報が、「個人情報を保有する者」および「個人情報に該当する者」の意に反して、第三者による故意または過失によって、第三者に渡ることです。

個人情報漏洩事件は、なぜ発生してしまうのでしょうか？
情報漏洩の種類やリスクに加え、脅威から身を守るための方法まで解説します。

情報漏洩の主な原因

JNSAが発表した「2018年情報セキュリティインシデントに関する調査結果～個人情報漏えい編～(速報版)」によると、情報漏洩の主な原因は次のとおりとなっています。

情報漏洩の原因/JNSA

興味深いのが、不正アクセスなどのサイバー犯罪よりも、紛失や置き忘れ・誤操作など、人為的なミス・過失による情報漏洩が、情報漏洩原因の50.8％を占めているという事実です。

各企業には、サイバー犯罪など第三者による攻撃に加え、人為的なミス“人の脆弱性“への対策も求められています。

過失による情報漏洩

人為的なミスや過失による情報漏洩には、どのような事例があるのでしょうか。

端末やUSBなどの記憶媒体の紛失

• USBメモリなど小型で紛失しやすいメディアにデータを保存して持ち歩き、メディアを紛失してしまう。
• 就業後に飲み会に参加し、会社から貸与されたノートパソコンやスマホを電車に置き忘れ、紛失してしまう。
• 移動中にカバンの中身を整理するために、重要書類をカバンから取り出したものの、その場に置き忘れてしまう。

どの事例も、ビジネスパーソンならやってしまいがちなミスではないでしょうか。
そんな誰でも起こしうる過失が、情報漏洩原因の第1位となっています。

誤操作による情報漏洩

• メールアドレスを見間違え、取引先A社宛のメールをB社の担当者に送信してしまった。
• FAX番号を間違えて、お客様の名前や住所を記載したFAXを無関係な場所へ送ってしまった。

操作を間違えたなど、人間が行うオペレーションにより情報漏洩するケースが第2位となっています。

管理ミスによる情報漏洩

• 会社のオフィス移転のタイミングで、顧客名簿のファイルの行方が分からなくなった。
• 伝達ミスにより、公開禁止情報がWebサイト上で公開状態になっていた。

このように、企業内やその流通経路において、個人情報の管理を誤ったことによる情報漏洩が第4位となっています。

第三者の故意による情報漏洩

第三者の故意による情報漏洩には、どのような事例があるのでしょうか。

不正アクセスによる情報漏洩

• 従業員の端末がマルウェアに感染し、社内ネットワークに侵入。サーバーに保存されていた機密情報が外部に流出してしまった。

このように外部の第三者が、主にネットワークを経由して、不正に組織内の情報にアクセスすることにより情報が漏洩するケースが、第3位となっています。

攻撃者が用いる手口は、複雑化・高度化しており、攻撃者側と企業等の防御側とのいたちごっこが続いています。

テレワークが定着しつつある昨今、増えているのが、Web版OutlookとOffice 365、「WebEx」Zoomなど、テレワークで使用されるツールに便乗する脅威です。サイバー犯罪者は、利用できる変化やイベントは何でも悪用します。

また、原材料や部品の調達・製造・在庫管理・配送・販売までの一連の流れを「サプライチェーン（Supply Chain）」と呼びますが、この仕組みを狙ったサプライチェーン攻撃も急増しています。

サプライチェーン攻撃では、大企業の子会社や孫会社など、セキュリティ対策が手薄になりがちな企業にまず攻撃を仕掛け、その会社を足がかりにターゲットである大企業へ侵入して攻撃を実行します。

各企業には、自社内のセキュリティ対策だけではなく、サプライチェーン上の取引先企業が踏み台にされないように、取引先企業を監視・監督・教育するという新たな対策が求められています。

内部犯罪・不正な情報持ち出しによる情報漏洩

• 顧客名簿を、従業員がメール添付で自分のプライベート用のアカウントに送信していた。
• 派遣社員が機密情報のファイルを持ち出し、転売していた。

このような、組織の従業員・元従業員や取引先の従業員などによる、機密情報の持ち出しや悪用などの犯罪行為を「内部犯罪」や「不正な情報持ち出し」と言います。

情報漏洩原因のうち、内部犯罪・不正な情報持ち出しを合計すると、5.2％と決して無視できないほどの割合を締めています。

なぜ情報漏洩事件を未然に防げないのか？

ウェブルートの「世界と比較　サイバーレジリエンスの意識調査」では、日本のビジネスパーソンは、先進各国（アメリカ・イギリス・オーストラリア・ドイツ・イタリア）と比較し、18%もサイバーレジリエンス能力が劣っていると報告しています。

情報セキュリティに関する知識が乏しく、適切に対処できないがために、多くの企業で情報漏洩の問題が発生しているという日本の組織の現状を、浮き彫りにした数字となりました。

国内企業・組織において、情報漏洩事件が発生する前に防げていない要因には、次のような日本特有の事情が関連しています。

セキュリティに対しての予算不足

上述の「世界と比較　サイバーレジリエンスの意識調査」ではセキュリティ対策費用についても、世界と日本とを比較しています。

「新型コロナウイルス感染拡大以降、サイバーセキュリティ対策費用は増えているか？」の設問に対し、増加していると回答した人は、米国で29％、イタリアで24％、オーストラリアで20％、フランスで19％、イギリスで18％でした。日本はというと予算が増加したと回答したのは10％。
日本の企業や個人が、セキュリティ対策に十分な予算を投じているとは言い難い結果となっています。

IT人材不足

経済産業省が2019年に発表した「ＩＴ人材需給に関する調査」では、IT人材の需要に対して、2025年には36万人、2030年には45万人が不足すると試算されています。

また、労働調査協議会による「ＩＴエンジニアの労働実態調査」によると、2019年度において、「ITエンジニア職の正社員を当初の計画通りに採用できたか」という質問に対し、58.1％の企業が「採用できた」と回答、30.6％は「採用したかったが採用できなかった」と回答しています。

少なくともここ十数年は、IT人材不足の状況から脱しそうにありません。

技術力・ノウハウ不足

前出の「ＩＴエンジニアの労働実態調査」では、企業が考えるITエンジニア教育についての問題点についても調査しています。

問題点の第1位が、「教育を受けるエンジニアが忙しく時間がない」（56.0％）でした。人材不足がITエンジニアを多忙にし、ITエンジニアの多忙さが教育訓練の実施を困難にしているという、皮肉な現状が垣間見られます。

その他の問題点としては、「指導者の人数や能力が不足している」（44.3％）、「必要な能力の明示が難しい」（33.0％）、「繁閑の差が大きく計画的にできない」（26.1％）、「能力差が大きく共通化できない」（20.4％）が指摘されています。

ITやセキュリティに対する技術力を向上するための教育を受けられない、また、社内で共有できるノウハウも蓄積していないことが、技術力やノウハウの不足に直結しているようです。

企業を襲うこれだけの情報漏洩リスク

もし、あなたの企業が情報漏洩事件を起こしてしまったら、企業はどのような被害や損害を受けることになるのでしょうか？

損害賠償責任

情報漏洩による損害賠償請求が行われた場合は、金銭的負担という直接被害が発生します。

NPO日本ネットワークセキュリティ協会の「2018年情報セキュリティインシデントに関する調査結果」によると、情報漏洩事件一件当たりの平均想定損害賠償額は、6億3,767万円となっています。

実際には、多くの企業がサイバー保険に加入しているため、保険金請求を使用して損害賠償金額を相殺しており、情報漏洩インシデントにかかる総コストとしては、情報漏洩事件1件あたり平均386万ドル（＝約4億2000万円）です。

いずれにしても、損害賠償責任が発生すると、企業規模を問わず大きな経営負担となるため、最悪の場合、情報漏洩事件をきっかけとした倒産の可能性もあります。

業務の停止

ひとたびサイバー攻撃を受けると、被害範囲の特定やWebサイト改ざんからの復旧などにより、社内ネットワークの停止・メール送受信の停止・Webページの閉鎖という対応は免れません。

IBM Securityの「2023年情報漏えい時に発⽣するコストに関する調査」によると、情報漏洩の検知および被害拡大防止にかかる平均時間は280日です。
また、攻撃の検証と対策が完了するまでは、業務が停止することになります。

機密情報の紛失

情報漏洩事故で流出するのは、個人情報だけではありません。商品・サービス・開発に関する情報など、企業にとっての機密情報も流出します。漏洩した機密情報を競合他社に見られてしまった場合、真似され、先を越されてしまいます。

刑事罰を受ける

個人情報保護委員会の「改正個人情報保護法の一部施行に伴う法定刑の引上げについて」によると、個人情報を漏洩すると、国から是正勧告を受けます。万が一、是正勧告に従わなかった場合は、「1年以下の懲役又は100万円以下の罰金刑」が科されます。

また、個人情報保護委員会は2020年7月16日、「サイバー攻撃による個人情報漏えい時の本人通知義務化」に関する方針を発表。不正アクセスや個人情報漏洩が発覚した場合、被害者や関係当局への通知を義務化するとしています。

罰則規定も設けられ2022年度の春からは、当局や被害者への報告を怠った企業に対して、最大1億円の罰則が科されることになりました。

社会的信用の低下

前出の「2020 年 情報漏えい時に発生するコストに関する調査」によると実際に発生した情報漏洩事例のうち、顧客情報に関する情報が漏洩した事例が全体の80%を占めています。

顧客の個人情報を漏洩した場合、“セキュリティ事故を起こした会社”として、企業イメージが低下することは免れません。これは、情報漏洩による間接被害ですが、最終的に顧客が離れ、株価の下落などをもたらす可能性があります。

情報漏洩が起きてしまった場合にすべきこと

IPAが公開している「情報漏えい発生時の対応ポイント集」によると、「情報漏えいによる直接的・間接的被害を最小限に抑える」ことが情報漏洩対策の最大の目的であるとしています。

情報漏洩対応は漏洩した情報や原因により異なるものの、基本的には以下の6ステップでの対応します。

1. 情報漏洩の兆候や事実の発見・報告
2. 初動対応
3. 調査
4. 通知・報告・公表など
5. 抑制措置と復旧
6. 事後対応

1.情報漏洩の兆候や事実の発見・報告

情報漏洩の事実を確認した場合は、責任者に報告し、速やかに対応するための体制作りをします。このとき、確認されたものが具体的な漏洩の事実ではなく、兆候を察知した段階であっても、報告を行うことが重要です。

不正アクセスなどにより、社内ネットワークやシステムから情報が漏洩した可能性がある場合は、不用意な操作により不正アクセスの証拠が消去しないように注意します。

2.初動対応

初動対応で行うべきは次の２つの対応です。

• 対策本部を設置し、対応方針を決定すること。
• 情報漏洩による二次被害の防止措置。

被害が拡大する可能性がある場合には、情報の隔離・ネットワークの遮断・サービスの停止などの措置をとります。

3.調査

適切な対応についての判断を行うために、事実関係を調査して情報を整理します。また、事実を裏付ける情報や証拠を確保します。調査は、十分な情報が得られるまで、以降のステップにおいても並行して継続します。

4.通知・報告・公表など

次のような関係者へ通知・報告・公表を行います。

• 漏洩した個人情報の本人・取引先など

漏洩した個人情報の本人には、特別な理由がない限り通知します。

• 監督官庁・警察・IPAなど

紛失・盗難・不正アクセス・内部犯行・脅迫など犯罪性がある場合は、警察へ届出ます。

• ホームページ・マスコミ等

すべての関係者に対して個別通知が困難な場合や、広く一般に影響が及ぶと考えられる場合などは、Webサイトでの情報公開や記者発表などにより公表します。

5.抑制措置と復旧

情報漏洩による被害拡大の防止と復旧の措置を行います。また、再発防止に向けて具体的な取り組みを行い、停止したサービスやアカウントを復旧します。

6.事後対応

抜本的な再発防止策を検討します。また、調査報告書を経営陣に提示し、被害者に対する損害の補償等、必要な措置を行います。社内職員の責任等を見極め、必要な処分を実施します。

情報漏洩を未然に防ぐために行うべきこと

セキュリティ製品の導入・アクセス権限の再設定・連絡／報告窓口の設置など、情報漏洩を未然に防ぐための対策として、考えられる方法は数え切れないほどあります。

このため、それらの方法を包括的・俯瞰的にまとめた、セキュリティ対策基準や管理基準の雛型というものが多数存在します。そのうち、IPAが経営者向けに公開している情報を元に編集したセキュリティ管理策の全体概念図は次のとおりです。

この概念図からも分かる通り、効果的に脅威に対処するためには、数あるセキュリティ対策を、「組織的対策」・「技術的（物理的）対策」・「人的対策」に切り分けて考えることが重要です。

まず行うべき組織的対策

組織や企業が、まず行わなければならないことが、情報セキュリティポリシーの策定です。

情報セキュリティポリシーとは、組織が情報セキュリティを保つために作成する、指針や方針のことです。このポリシーが固まっていないと、次に行う技術的・物理的対策の方向性が定まりません。

ガイドライン・フレームワーク

情報セキュリティに関して、国内外で様々な種類のガイドラインが発行されています。これらのガイドラインを参考にして自社の情報セキュリティポリシーを策定するという流れが一般的です。

どのガイドラインを参考にするかは各企業の判断に委ねられますが、次に、代表的なガイドラインやフレームワークを紹介します。

サイバーセキュリティ経営ガイドライン

「サイバーセキュリティ経営ガイドライン」は、経済産業省が独立行政法人情報処理推進機構（IPA）とともに策定したガイドラインです。サイバー攻撃から企業を守るための理念や行動を示しています。経営者を対象にしたガイドラインである点が特徴です。

NISTサイバーセキュリティフレームワーク

「NISTサイバーセキュリティフレームワーク」は、米国の技術や産業、工業などに関する規格標準化を行っている政府機関である、米国国立標準技術研究所（通称NIST）が策定した、サイバーセキュリティに関するフレームワークです。

正式名称は、「Framework for Improving Critical Infrastructure Cybersecurity（重要インフラのサイバーセキュリティを改善するためのフレームワーク）」ですが、長いので「サイバーセキュリティフレームワーク」と呼ばれています。

「NISTサイバーセキュリティフレームワーク」は、米国の組織が策定したフレームワークですが、なぜ重要かというと、前出の「サイバーセキュリティ経営ガイドライン」の改定で参考にしたのは、このNISTサイバーセキュリティフレームワークであるためです。

また、NISTは、サイバーセキュリティフレームワーク以外にも様々な文書を公開していますが、いずれも日本国内の組織も決して無視できない文書になっています。

ISO/IEC 27001

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。実際は、ISO27001に日本語版が存在しないため「JISQ27001」が正しいとされています。

企業がISO/IEC 27001に準拠しているか、第三者機関が認定する仕組み「ISMS適合性評価制度」があるため、サイバーセキュリティへの取り組みを社外に示しやすいこともあり、採用する企業が多いガイドラインです。

中小企業の情報セキュリティ対策ガイドライン

中小企業向けながら、具体的な説明が多いため企業規模を問わず参考にしやすいのが、IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」です。

2021年3月時点での最新版は第3版となっています。

セキュリティ対策はできるところから始めるというコンセプトでまとめられた、付録の「情報セキュリティ5か条」は、すぐ始められるアクションとしてまず読んでおきたい資料です。

技術的・物理的対策

セキュリティ対策の全体像のうち、具体的に自社の情報を守るために講じられるのが技術的な対策です。

マルウェア対策製品

別名では、ウイルス対策製品・アンチウイルス（Anti-Virus Software）などとも呼ばれるマルウェア対策製品は、最も一般的なセキュリティ対策ツールです。

ソフトウェアであるマルウェア対策製品の目的は、マルウェアやウイルスの検知や除去で、コンピュータがマルウェアに感染することを防ぐことです。

そして、感染を防ぐといっても、マルウェアの侵入を食い止める製品やマルウェアの侵入を許しながらも不正な挙動を食い止める製品など、搭載している機能は様々です。

個人認証用デバイスおよび認証システム

「本人しか持ち得ない属性を確認し、本人であることを証明する」プロセスである個人認証を行うのが、個人認証用デバイスやシステムです。

個人認証用デバイス・システムは、アクセス管理製品・サービスのひとつで、ユーザーの正当性を証明し、アクセスを許可したり拒否したりします。

メールセキュリティ対策製品

メールセキュリティ対策製品は、組織・企業に届くメールに付随する脅威を防御することに特化したセキュリティ製品です。主にアンチウイルスやアンチスパム機能などを備えています。

暗号化製品

組織で保管している機密情報や個人情報などの重要データを、暗号鍵がないと解読できないように変換する暗号化を行うソフトウェアが暗号化製品です。PCの盗難・紛失時や、内部犯行やサイバー攻撃を受けて情報が流出した時など、流出した情報の閲覧を防ぐことができます。

ポリシー管理・動作監視製品

ポリシー管理・動作監視製品とは、セキュリティ機器の運用監視を行い、監視機器の稼動状況や外部からの不正アクセス検出状況を把握したり、グループポリシーなどを管理したりするためのソフトウェアやサービスです。

ポリシー管理・動作監視製品を導入することで、IT管理者の負担低減やセキュリティ機器の一元管理が可能になります。

人的対策およびノウハウ・知的対策

不正なURLをついクリックしてしまうよう巧妙に作成されたメールを利用して行われる、ビジネスメール詐欺などの攻撃は、企業のセキュリティポリシーを策定し、技術的対策を行っても完全に防ぎきれません。

このような、不安に対し、従業員教育や保険などを提供するサービスが存在します。

サイバー保険

攻撃手法は日々高度化しているため、完璧なセキュリティ対策など存在しないのが現状です。万が一の備えとして、サイバー保険が存在します。

別名「サイバーセキュリティ保険」・「サイバーリスク保険」とも呼ばれるサイバー保険は、サイバー攻撃などによる個人情報の流出や業務妨害に備えるための保険のことです。

教育

ビジネス詐欺メールやフィッシングは、入念な事前調査を経て、従業員がつい騙されてしまうように巧妙に作成されています。詐欺メールに引っかからない、誤ってクリックしないために、教育による従業員のリテラシー向上が急務になっています。

有償サービスとして教育を導入することも可能ですが、無料で学べる教育機会も多数存在しています。

フォレンジック調査による対策

フォレンジック調査による対策を行うことで、以下のような対策を講じることが可能です。

• 情報漏洩発覚時の初動対応
• 情報漏洩の被害調査や原因特定
• 原因や被害をまとめた、法的効力を持つレポートの作成
• 被害の抑制とデータや業務の復旧支援
• 再発防止策の提案・コンサルティング

フォレンジック調査とは、スマホやＰＣなどの電子機器に残されている、ログ情報などをを解析・調査することで、ランサムウェア感染調査や社内不正調査に活用される調査方法です。

最高裁や警視庁での捜査にも活用されている方法であり、別名「デジタル鑑識」と呼ばれています。

まとめ

情報漏洩事件を起こしてしまった場合、その企業や組織には、莫大な金額の損害賠償の義務が発生するだけでなく、事件後も社会的信用の低下などの弊害を負ってしまいます。

発生している情報漏洩事件の規模や手口などを定期的に確認し、その動向には常に敏感になっておくことが大切です。