2016年情報セキュリティインシデントの分析

2017年6月14日に日本ネットワークセキュリティ協会セキュリティ被害調査ワーキンググループが
『2016年情報セキュリティインシデントに関する調査報告書～個人情報漏えい編～』を発表しました。

JNSAの調査では2016年の個人情報漏えい事故の件数は減っているものの、これは漏えい事故の規模が小さい（1件あたりの漏えい件数が少ない）場合や、情報が暗号化されていたために被害が限定され、公表の必要なしと考えられた結果、表沙汰にならなかったものが多いのではないかとみられています。

内容について見ていくと、2014年から2016年の業種別インシデント件数は「公務」が8分の1、「金融・保険業」が約5分の1まで減少しました。しかし「教育・学習支援業」はあまり減少しておらず、これには、学校などで教職員の情報セキュリティ教育や、セキュリティシステム導入に予算や時間が裂けず、対策が遅れていることなどが原因として考えられます。

媒体別に見ていくと、紙媒体での漏えいは3分の1に減少していますが、対称的にインターネットからの漏えいは増加傾向にあります。また、USBメモリからの漏えいも減少はしていますが、依然として「教育・学習支援業」と「医療・福祉」での紙とUSBメモリによる漏えいはなくなっていないので、更なる対策が必要と考えられます。

漏えい事故件数を業種別に見ていくと「金融・保険業」「教育・学習支援業」がそれぞれ全体の20％以上を占めていて高く、続いて「公務」の14.5％。これら3つの業種だけで全体の漏えい事故件数の60％を占めています。これらの業種は比較的1回の漏えい事故での漏えい人数は多くないものの、依然として漏えい事故の多い業種となっていることから、業界の慣例的に、対策が行われにくいことが予想されます。これらに抜本的な対策を行うことが漏えい事故件数を減少させる第一歩でしょう。

業種別の漏えい人数も見てみましょう。するとそれまでとは違ったデータが出てきます。漏えい人数では最も多いのが「生活関連サービス業・娯楽業」となっており、約828万人でした。続いて「情報通信業」の約328万人。「電気・ガス・熱供給・水道業」の約103万人です。「生活関連サービス業・娯楽業」については漏えい件数で見ると全体の1.7％ですが、漏えい人数でみると全体の実に54.8％にあたります。2016年は1件で793万人の大型の漏えい事故があったためではありますが、膨大な顧客データを扱う業種は他業種に比べて、事故時の漏えい人数が多くなってしまいます。

続いて漏えいの原因ですが、もっとも多いのが「管理ミス」、そして「誤操作」「不正アクセス」と続き、この3種類だけで漏えい事故件数の64％を占めています。しかし漏えい人数の多い上位10件をみると、「不正アクセス」の割合が最も大きくなっています。これは近年高度化する外部からの攻撃の多さと、電子化された大量のデータがもつリスクの高さを物語っています。

これらの結果から、今後は常に最新のセキュリティを導入することや、従業員に対するマルウェア・ランサムウェア・ウィルスに対する対策などの教育を行っていくこと、また個人情報の取扱に関する規程の周知徹底が必要となってくるでしょう。

（参考）JNSA2016年 情報セキュリティインシデントに関する調査報告書