MarketFlashサイバーリスクマネージメント No2～情報セキュリティ対策～

2018.7&8

MarketFlash2018.7&8

平素は格別のお引き立てにあずかり、誠にありがとうございます。
連日の酷暑ですが、くれぐれもご自愛のほどお祈り申し上げます。
今後共なお一層ご愛顧のほどよろしくお願い申し上げます。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

2

MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティインシデント調査結果2016
日本ネットワークセキュリティ協会による個人情報漏洩に関するインシデント調査（2016年）結果
インターネットから収集できた2016年の個人情報漏洩インシデントの件数は、大きく減少している。過去の調査結果と比較して、特に漏洩人数が１～１０人規模のインシデント件数の減少が顕著である。
この要因としては、これらの規模のインシデントを公表しなくなったということが考えられる。インシデントを公表しなくなった要因は、インシデント1件当たりの漏洩人数が少ないことや漏洩した個人情報が暗号化されていた、もしくは機微な情報が洩れていない場合は、公表不要とするようになったと思われる。

経路別のインシデント件数をみると、紙媒体のインシデント件数が大きく減っている。USB等可搬記録媒体からのインシデント件数も減少傾向になる。
半面、インターネット経由の個人情報漏洩は減少していない。インターネット上では新しい攻撃が次々と発生しているため、他の媒体と比べてインシデントが発生するリスクが高いと想定される。

個人情報漏洩については、これまで数多くの新市電とが発生し社会問題にもなってきていることから、中小企業においても個人情報漏洩に関する社内規定が整備され、個人情報の管理体制が確立してきていることから、これらのデータで見るように件数的には減少してきている傾向にある。
ただ、その内容を見ると、社内管理が厳しくなったことから、人的ミス（データの持ち出しによる紛失など）が減少したことが大きな要因となっている。
これからは、インターネット経由での個人情報漏洩をいかに防ぐかが重要な課題となっている。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

3MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティインシデント調査結果2016
2016年インシデント分析概要
漏洩件数は、468件（前年比320件減少）であった。2014年から減少傾向であるが、近年は軽微な個人情報漏洩インシデントの公表が減っているため、件数が少ない。
漏洩人数は、約1,397万人（前年比901万人増）と大幅に増加。想定損害賠償総額は、約2994億円（前年比262億円増）となった。大規模なインシデントが1件発生（JTB680万件の流出）したためである。
漏洩原因は、「管理ミス」が一番多く、「誤操作」「不正サクセス」の3種類が全体の６４％を占めた。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

4MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティインシデント調査結果2016
個人情報インシデントの過去の推移データ
2005年からの推移データは以下の通りである。
2014年はベネッセによる約3500万人のデータ流出、2016年はJTBによる約680万人のデータ流出が発生しているため大きく増加している。
しかし、管理体制が厳格になってきているにもかかわらず、個人情報漏洩は減少傾向にはないということは大きな問題である。
また、こうした個人情報漏洩以外のサイバー攻撃によるインシデントの発生は確実に増加傾向にある。サイバー攻撃による損害は、個人情報漏洩に限らず、企業活動そのものに損害を与えるものであり、その損害は膨大である。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

5MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティ対策
先月のレポートからサイバーリスクについての具体的な内容についてみてきましたが、ここからはその対策についてまとめてみた。
企業での情報セキュリティ対策としてどのようなことが求められているのでしょうか？
独立行政法人情報処理推進機構の「中小企業の情報セキュリティ対策ガイドライン」の概要をご紹介する。
1.経営者としての責任
法的責任としては、➢ 個人情報やマイナンバーに関する違反の場合は刑事罰が科されます。また、その場合は個人情報保護委員会による立入検査を受ける責任もある。
➢ 民法上の不法行為とみなされた場合は、経営者が個人として損害賠償責任を負う場合もある。
社会的責任として、情報漏えい事故は、営業機会の喪失、売上高の減少、企業のイメージダウンなど、自社に損失をもたらし、会社役員は会社法上の責任(会社に対する損害賠償責任)を負っているので、場合によっては株主代表訴訟を提起されることもあり得る。さらには、取引先との信頼関係の喪失、業界全体のイメージダウンにもなってしまう。したがって、情報セキュリティ対策は、顧客・取引先・従業員・株主などに対する経営者としての責任を果たすためにも重要である。
2.経営者が認識する必要のある「3原則」(1)情報セキュリティ対策は経営者のリーダーシップで進める
セキュリティ投資に対するリターンの算出はほぼ不可能であり、セキュリティ投資をしようという話は積極的に上がりにくい。このため、サイバー攻撃のリスクをどの程度受容するのか、セキュリティ投資をどこまでやるのか、経営者がリーダーシップをとって対策を推進しなければ、企業に影響を与えるリスクが見過ごされてしまう。
(2)委託先の情報セキュリティ対策まで考慮する
子会社で発生した問題はもちろんのこと、自社から生産の委託先などの外部に提供した情報がサイバー攻撃により流出してしまうことも大きなリスク要因となる。このため、自社のみならず、系列企業やサプライチェーンのビジネス
パートナー等を含めたセキュリティ対策が必要である。

(3)関係者との情報セキュリティに関するコミュニケーションは常に怠らない
ステークホルダー(顧客や株主等)の信頼感を高めるとともに、サイバー攻撃を受けた場合の不信感を抑えるため、平時からのセキュリティ対策に関する情報開示など、関係者との適切なコミュニケーションが必要である。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

6MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティ対策(2)経営者がやらなければならない「重要7項目の取組」
経営者は、以下の「重要7項目の取組」について、自ら実践するか、実際に情報資産や情報システムなどの管理を実践する管理者層に対して指示することで、確実に実施することが必要。

取組１

情報セキュリティに関する、組織全体の対応方針を定める

情報セキュリティ対策を組織的に実施する意思を、関係者に明確に示すために、情報セキュリティに関する方針を定め、要求に応じて提示できるようにする➢ 「当社は中小企業の情報セキュリティ対策ガイドラインに基づき情報セキュリティ対策を実践する。」➢ 「当社は顧客情報の流出防止を徹底することから情報セキュリティ対策を開始する。」

取組２

情報セキュリティ対策のための資源(予算、人材など)を確保する

情報セキュリティ対策を実施するために、必要な予算と人材を確保。これには万が一事故(インシデント)が起きてしまった場合、被害を最小限に止めるために、あらかじめ準備することも含む。

取組３

担当者に必要と考えられる対策を検討させて実行を指示する事業を行う上で見込まれる情報セキュリティのリスクを把握した上で、必要十分な対策を検討させる。検討した対策ごとに予算を与え、担当者を任命し、実行を指示。実施する対策は、社内ルールとして文書にまとめておけば、従業員も実行しやすくなり、取引先などにも取り組みを説明する際に役に立つので、併せて指示する。

取組４

情報セキュリティ対策に関する定期・随時の見直しを行う

情報セキュリティ対策を最初から最適な形で実現することはどんな会社でも難しい。また情報技術は進化が早く、加えて脅威も変化する。そのため、一度定めた対策がいつまでも有効であるとは限らないので、取組3で定めた情報セキュリティ対策について、定期または随時に見直して、必要な改善や追加の対策を決めるように担当者に指示する

取組５

業務委託や外部サービスを利用する場合は、情報セキュリティに関する責任範囲を明確にする

業務の一部を外部に委託(共同実施も含む)する場合は、相手先でも少なくとも自社と同等の対策が行われるようにしなければならない。そのためには契約書に情報セキュリティに関する相手先の責任や実施すべき対策を明記し、合意する必要がある。また必要に応じて相手先を訪問し、対策の実施状況を確認する。
ITシステム(電子メール、ウェブサーバー、ファイルサーバー、業務アプリケーションなど)に関する技術に詳しい人材がいない場合には、外部サービスを利用したほうが、コストと情報セキュリティ対策との両面から有利なときがある。
ただし、無償の外部サービスなど情報セキュリティ対策を求めることが難しい場合や、有償であっても個別契約等でサービス提供者の責任や対策を規定することが難しい場合もあるので、利用規約やサービスに付随する情報セキュリティ対策等を確認したうえで選定するよう担当者に指示する必要がある。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

7

MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティ対策
取組６

情報セキュリティに関する最新動向を収集する

情報技術の進化の早さから、脅威やその対策は目まぐるしく変化する。自社だけで全ての脅威や対策を把握することは困難なため、情報セキュリティに関する最新動向を発信している公的機関などを把握しておき、常時参照することで、新たな脅威に備えるようにする。また、知り合いやコミュニティへの参加で情報交換を積極的に行い、得られた情報について、業界団体、委託先などと共有する。

取組７

緊急時の社内外の連絡先や被害発生時の対処について準備しておく

情報セキュリティ対策を実施するとともに、万が一のインシデントに備えて、緊急時の連絡体制を整備。さらに、その連絡体制がうまく機能するかをチェックするためインシデントを想定した模擬訓練を定期的に行うと理想的である。
一方、インシデントにより情報資産の漏えいなどの被害が出た場合には、情報資産の提供元や個人情報の本人などへの連絡も必要となることがあり、速やかに連絡可能なようにあらかじめ準備しておくとともに、経営者の対応についても、あらかじめ決めておけば、冷静で的確な対応が可能になる。

▲情報セキュリティに関する最新動向を発信している公的機関
IPA（独立行政法人情報処理推進機構）のウェブサイト
https://www.ipa.go.jp/security/index.html
NISC（内閣サイバーセキュリティセンター）のウェブサイト
http://www.nisc.go.jp/

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

8MarketFlash2018.7&8

サイバーリスクマネージメント
情報セキュリティ5か条
情報セキュリティ5か条
1．OSやソフトウェアは常に最新の状態にすること
OSやソフトウェアのセキュリティ上の問題点を放置していると、それを悪用したウイルスに感染してしまう危険性がある。OSやソフトウェアには、修正プログラムを適用する、もしくは最新版を利用するようにする。
➢ WindowsUpdate(WindowsOSの場合)/ソフトウェア・アップデート(macOSの場合)/OSバージョンアップ(Androidの場合)➢ AdobeFlashPlayer/AdobeReader/Java実行環境(JRE)など利用中のソフトウェアを最新版にする
2．ウイルス対策ソフトを導入すること
ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えている。ウイルス対策
ソフトを導入し、ウイルス定義ファイル(パターンファイル)は常に最新の状態になるようにする。
➢ ウイルス定義ファイルが自動更新されるように設定する➢ 統合型のセキュリティ対策ソフト(ファイアウォールや脆弱性対策など統合的なセキュリティ機能を搭載したソフト)の導入を検討する
3．パスワードを強化すること
パスワードが推測や解析されたり、ウェブサービスから窃取したID・パスワードが流用されることで、不正にログインされる被害が増えている。パスワードは「長く」「複雑に」「使い回さない」ようにして強化すること。
➢ パスワードは英数字記号含めて10文字以上にする➢ 名前や誕生日、簡単な英単語などはパスワードに使わない➢ 同じパスワードをいろいろなウェブサービスで使い回さない4．共有設定を見直すこと
データ保管などのクラウドサービスやネットワーク接続の複合機の設定を間違ったため無関係な人に情報を覗き見られるトラブルが増えている。クラウドサービスや機器が、無関係な人に共有されていないか設定を確認すること。
➢ クラウドサービスの共有範囲を限定する➢ ネットワーク接続のふくごうきやカメラ、ハードディスクなどの共有範囲を限定する➢ 従業員の移動や退職時に設定の変更（削除）漏れがないように注意する
5．脅威や攻撃の手口を知ること
取引先や関係者と偽ってウイルス付きのメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げてID・パスワードを盗もうとする巧みな手口が増えている。脅威や攻撃の手口を知って対策を取るようにすること。
➢ IPAなどのセキュリティ専門機関のウェブサイトやメールマガジンで最新の脅威や攻撃の手口を知る➢ 利用中のインターネットバンキングやクラウドサービスなどが提供する注意喚起を確認する

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

9MarketFlash2018.7&8

サイバーリスクマネージメント
サイバー保険
最後に、このようなサイバー攻撃に対する対策を講じたとしても、サイバー攻撃の手口は日々進化しており、企業にとってどうしても防ぎきれないものである。

サイバー保険の特徴

そうした部分については外部にリスク移転することも重要である。
経済産業省の「サイバーセキュリティ経営ガイド
ライン」の中でも以下のように、サイバー保険の利用を奨めている。
経営戦略の観点から守るべき情報を特定させた上で、サイバー攻撃の脅威や影響度からサイバーセキュリティリスクを把握し、リスクに対応するための計画を策定させる。
その際、サイバー保険の活用や守るべき情報について専門ベンダへの委託を含めたリスク移転策も検討した上で、残留リスクを識別させる。

東京海上日動のHPより一部抜粋

情報セキュリティに関するリスク及びその対策は今後企業経営の最重要課題となってくるであろう。
企業経営者は常に最新動向を把握し、その対策の見直しを常に行うことが重要である。

本資料の内容は作成基準日のものであり、将来予告なく変更されることがあります。また、本資料は信頼できると判断した情報等をもとに作成しておりますが、正確性、完全性を保障するものではありません。
.

Copyrights(c) NAD Allrightsreservedることがあります。

10