サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

企業における最近の被害動向
平成27年2月2日
NPO日本ネットワークセキュリティ協会
調査研究部会長
加藤雅彦
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

Agenda• JNSAのご紹介• 企業における最近の被害動向––––

日常的に発生するサイバー攻撃
多発するリスト型アカウントハッキング攻撃
揺らぐ基盤ソフトウェアへの信頼
止まらない個人情報の漏えい• 2013年 情報セキュリティインシデントに関する調査結果～個人情報漏えい編～• 2014年上期 情報セキュリティインシデントに関する調査結果速報• サイバーセキュリティ「費用」から「投資」へ– 個人情報漏えい損害額の算出– 情報セキュリティ市場規模の推定• まとめ

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

JNSAのご紹介

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

3サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

NPO日本ネットワークセキュリティ協会
 名称
 設立
 会員数
 住所
 ＵＲＬ
 メール
 役員
会長
副会長
事務局長

特定非営利活動法人 日本ネットワークセキュリティ協会
ＪＮＳＡ （Japan Network Security Association）
2000年4月（任意団体として発足、NPO法人化は2001年)
162社（2015年1月現在）主に情報セキュリティベンダー
本部
東京都港区西新橋
西日本支部 大阪府大阪市淀川区西中島
http://www.jnsa.org/
sec@jnsa.org
田中 英彦（情報セキュリティ大学院大学 学長）
中尾 康二（ＫＤＤＩ株式会社）
高橋 正和（日本マイクロソフト株式会社）
下村 正洋（株式会社ディアイティ）

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

4サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

NPO日本ネットワークセキュリティ協会
 設立
社会インフラとしてのインターネット普及と情報ネットワーク社会の形成を背景に、ネットワークセキュリティシステムに携わるベンダーによる団体として2000年設立。
2001年に特定非営利活動法人(NPO)として認可。

 活動の目的

総会
監事

理事会

・ネットワーク社会の情報セキュリティ
レベルの維持・向上
・日本における情報セキュリティ意識の啓発
・最新の情報セキュリティ技術および脅威に関する情報提供など

幹事会

部会

社会活動
部会

西日本支部

調査研究
部会

情報セキュリティ
教育事業者
連絡会＜ＩＳＥＰＡ＞

標準化部
会

事務局

日本セキュリティ
オペレーション
事業者協議会＜ＩＳＯＧ－Ｊ＞

教育部会

会員交流
部会

Ｕ４０部会
（2015年1月）

 会員企業
ネットワーク・セキュリティ製品を提供しているベンダー、システムインテグレータ、
インターネットプロバイダーなど、約160社（2015年1月現在）
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

5サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

調査研究部会
活動目的：
被害調査および市場調査を2大事業として推進し、技術的研究としてIPv6などの新コンピューティング技術の調査研究、およびスマートフォン、SNSの安全な利用、内部犯行等に関する調査研究を行う。
・セキュリティ被害調査ＷＧ

リーダー：大谷 尚通 氏（株式会社ＮＴＴデータ）
個人情報漏えい編、発生確率編の調査を継続し、報告書を作成し公開する。2012年個人情報漏えい編、発生
確率編、2013年個人情報漏えい編の調査報告書を作成し公開する。
「2013年 情報セキュリティインシデントに関する調査報告書」（公開中）
http://www.jnsa.org/result/incident/index.html「2011年情報セキュリティインシデントに関する調査報告書～発生確率編～」（公開中）
http://www.jnsa.org/result/incident/2011_probability.html

2014年情報セキュリティインシデントに関する調査報告書」近日公開予定！！
・セキュリティ市場調査ＷＧ

リーダー：木城 武康 氏（株式会社日立システムズ）
国内の情報セキュリティ市場の現況を調査・分析し、報告書を作成する。
「2013年度 情報セキュリティ市場調査報告書」（公開中）
http://www.jnsa.org/result/2014/surv_mrk/index.html
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

6サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

調査研究部会
その他のWG
・組織で働く人間が引き起こす不正・事故対応WG リーダー：甘利 康文 氏（セコム株式会社）
IPA「組織における内部不正防止ガイドライン」の各章に対応した製品・サービスを掲載した「内部不正対策ソリューションガイド」を公開
http://www.jnsa.org/result/2013/surv_acci/index.html

・IPv6セキュリティ検証ＷＧ

リーダー：許 先明 氏

・スマートフォン活用セキュリティポリシーガイドライン策定WG
リーダー：栃沢 直樹 氏（トレンドマイクロ株式会社）・SNSセキュリティWG・シンギュラリティ調査ＷＧ

リーダー：高橋 正和 氏（日本マイクロソフト株式会社）
リーダー：広口 正之 氏（リコージャパン株式会社）

・IoTセキュリティＷＧ

リーダー：兜森 清忠 氏（株式会社シマンテック）・脅威を持続的に研究するＷＧ
リーダー：大森 雅司氏（株式会社日立システムズ）

各WGの活動内容については
http://www.jnsa.org/active/2014/surv.html
をご覧くださいCopyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

7サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

Agenda• JNSAのご紹介• 企業における最近の被害動向––––

日常的に発生するサイバー攻撃
多発するリスト型アカウントハッキング攻撃
揺らぐ基盤ソフトウェアへの信頼
止まらない個人情報の漏えい• 2013年 情報セキュリティインシデントに関する調査結果～個人情報漏えい編～• 2014年上期 情報セキュリティインシデントに関する調査結果速報• サイバーセキュリティ「費用」から「投資」へ– 個人情報漏えい損害額の算出– 情報セキュリティ市場規模の推定• まとめ

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

8サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

企業における最近の被害動向
日常的に発生するサイバー攻撃

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

9最近のセキュリティ事件(2014/1～3)

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

月 日
内容
2 US-CERTは、12月に発覚した大手小売り事業者の情報流出の原因となったPOS端末に感染するマルウェアについて、注意喚起を行った。
複数のオンラインゲームで、何者かによるDDoS攻撃が行われ、サービス停止などの影響が出た。この攻撃は特定の利用者に対する攻撃の可能性が4指摘されている。
独立行政法人日本原子力研究開発機構は、高速増殖炉もんじゅの事務処理用パソコン1台がウイルスに感染し、情報流出の可能性があることを公表した。
6
米国のY社は、年末年始の期間中に欧州の自社サイトに配信した広告のいくつかで不正サイトからのマルウェアへの誘導が行われていたことを公表し1た。
韓国で、大手クレジットカード３社から延べ8,500万件のクレジットカード情報が、カード会社と契約していた信用情報会社の社員により流出していたこと8が発覚した。
11 大手オンラインストレージサービスのD社でメンテナンス時の不具合により、2日間に渡るサービス障害が発生した。
15 S社は、日本の大手出版社のWebサイトが改ざんされ、Toolkitによる不正サイトからのマルウェアへの誘導が行われていたことを発表した。
31 米国Y社のメールサービスで一部アカウントに対するリスト型攻撃による不正ログインが発生した。
航空会社の会員向けWebサイトで不正アクセスが発生し、通信販売サイトのポイントに交換される事件が発生した。
東京大学 国際高等研究所 カブリ数物連携宇宙研究機構で、スーパーコンピュータシステムが外部からの不正アクセスを受けたことを公表した。この3事件では侵入されたシステムを通じ て、共同研究を行っていた国立天文台など、外部の研究機関への不正アクセスも確認されたことから各研究機関
で対応が行われた。
独立行政法人 国立がん研究センターは、国立がん研究センター東病院のパソコン2台がウイルス感染し、患者情報などが漏えいした可能性があるこ
6とを公表した。
2
Bitcoinの取引所の1つであるMt. Goxは、技術トラブルを修正するためとしてビットコインの払い出しを一時停止した。この後、2月28日にサイバー攻撃
7
によるBitcoinと銀行預金の流出のため、債務超過に陥ったとして、民事再生手続きを申請した。
Bitcoin取引所のMtGoxやBitStampなどが、トランザクション展性を悪用した取引妨害攻撃を受けたとして口座からの引き出しを一時停止した。この影
12
響でBitcoinの対ドルレートが一時急落するなどの影響が出た。
18 検索サイトの検索連動型広告を悪用し、複数の金融機関の偽サイトへの誘導が行われていたことが発覚し、対応が行われた。
H社は、提供しているサービスに対して、外部から不正ログインされた可能性があるとしてパスワード変更や登録内容の確認を行うよう注意喚起を行っ24た。
10 別の航空会社の会員向けWebサイトで不正ログインが発生し、マイルを別のポイントに交換される事件が発生したことを公表した。
3 12 CMSであるWordPressで投稿にリンクが張られたことを知らせるPingback機能を悪用した大規模なDDoS攻撃が発生した。
17 ブラジルとベネズエラでGoogle Public DNSの経路が一時的にBGPハイジャックされる事件が発生した。

IIJ Internet Infrastructure Review(IIR) Vol.23を元に作成。（http://www.iij.ad.jp/company/development/report/iir/023.html）
IIRに各インシデントの参照情報（URL等）が記載されている。詳細はそちらを確認のこと。

最近のセキュリティ事件(2014/4～6)

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ
月 日

内容
カナダ歳入庁のWebサイトに対して、OpenSSLの脆弱性（CVE-2014-0160）を悪用した攻撃が発生し、納税者およそ900人分の社会保障番号が漏えい
15したことを発表した。なお、4月17日に学生が容疑者として逮捕された。
4
国立感染症研究所は、Webメールの管理者を騙ったメールによって、メールアカウントのユーザ名とパスワードが盗取され、迷惑メールが送信されたこ
16とを公表した。
JPCERTコーディネーションセンターは、Movable Typeの既知の脆弱性を使用した攻撃により、不正なファイルが設置されたり、攻撃サイトへと誘導する
15
iframeや難読化されたJavaScriptが 埋め込まれたりする事件が多く確認されているとして注意喚起を行った。
20 FBIは、ファイルやアカウント情報を盗むRAT Blackshadesに関わったとされる、共同作成者を含む100人以上を逮捕したことを発表した。
5
オーストラリアなど複数の国で、A社製のスマートフォンが遠隔ロックされ、金銭を要求される事件が発生した。
27
この事件では、A社が提供しているスマートフォンを探す機能を悪用したと考えられているが手口の詳細については明らかになっていない。
29 複数のプロバイダでDNSサーバへの問い合わせが急増したことによる障害が発生した。
5月後半から発生していた複数サイトの不正アクセスによるコンテンツやファイルの改ざん事件について、利用していたCDNサービスの提供事業者が不正侵入を受けたことによるものと判明した。
3
米司法省は、オンラインバンキングなどの情報窃取を行うマルウェアであるGameOver Zeusについて、10ヵ国以上の法執行機関と共同でテイクダウンを実施し、関連サイトの差し押さえや管理者の逮捕などが行われたことを公表した。
サポート終了となった日本独自のブログ作成ツールについて、約8割が問題のある状態で運用されており、攻撃者の標的になっているとして注意喚起
6 12が行われた。
13 香港の民主化を求めて活動する団体の電子投票システムに対する大規模なDDoS攻撃が発生した。
19 広告配信サーバによって、Adobe Flash Playerの更新を促す通知に見せかけた悪意あるサイトに誘導する広告が表示される事件が発生した。
Microsoft社は、Bladabindi（NJrat）とJenxcus（NJw0rm）の2つのマルウェアファミリーが利用していたダイナミックDNSサービスであるNO-IPの23ドメイン
30について、テイクダウンを実施したことを公表した。

IIJ Internet Infrastructure Review(IIR) Vol.24を元に作成。（http://www.iij.ad.jp/company/development/report/iir/024.html）
IIRに各インシデントの参照情報（URL等）が記載されている。詳細はそちらを確認のこと。

最近のセキュリティ事件(2014/7～9)

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ
月 日

内容
通信教育企業は、同社の約2070万人分の顧客情報が名簿業者など外部に流出したことを公表した。その後、9月に公表された最終報告では約4858万
人分の個人情報が漏えいしたことが判明している。
9 インド政府のルート認証局の傘下で中間認証局を運営するインド国立情報工学センター（NIC）で複数のGoogleドメインやYahoo!ドメイ ンの証明書が不正に発行されたことが判明し、複数のブラウザで当該証明書を無効にする対応が行われた。原因については証明書発行プロセスが破られたためと されている。
通信教育企業の顧客情報が外部に漏えいした事件について、業務委託企業の元派遣社員が不正競争防止法違反（営業秘密の複製）の容疑で逮捕さ177れた。
一般財団法人日本データ通信協会テレコム・アイザック推進会議は、インターネットバンキングに係るマルウェア（Game Over Zeus）の国際的な感染駆
18 除作戦に関連し、官民連携による国民のマルウェア対策支援プロジェクト（ACTIVE）を通じて、該当マルウェアに感染してい る利用者への注意喚起を実施することを発表した。
欧州中央銀行は、Webサイトに侵入され、イベント登録者の電子メールアドレスなどの個人データが漏えいしたことを公表した。この事件は漏えいした
24
データと引き換えに金銭を要求する匿名のメールが届いたことから発覚した。
25 国内の複数の企業や行政機関より、自サイトのホームページを模倣したWebサイトに対する注意喚起が相次いで行われた。
1 US-CERTは、POSシステムを対象とした新種の不正プログラムBackoffが確認されたとして、注意喚起を行った。
Mozilla Developer Networkは、データベースダンプファイルが誤って公開状態になっていたことから、7万6千のMDNユーザのメールアドレスと4,000
2
ユーザの暗号化されたパスワードが漏えいした可能性があることを公表した。
各国の政府機関が情報収集活動に利用しているとされる商用監視ソフトウェアFinSpy（FinFisher）について、提供元企業が不正アクセスを受け、40GB
4にもなる内部文書とソースコードが公開された。
米国のセキュリティ企業より、2014年2月から5月にかけて、BGPハイジャックにより、仮想通貨のマイニングプールへのトラフィックを偽のマイニング
8 プールに振り向ける攻撃が行われていたことが報告された。この攻撃では、19のISPが影響を受けたとされており、攻撃者は8万3000ドルの利 益を得て8いた可能性があることが指摘されている。
米国で、インターネットの速度が低下したり、通信が不安定になるなどの現象が発生した。原因については、広報されたBGPの経路情報が、古いルー12タでBGPのルーティングテーブルの上限である512kを超えたためと考えられる。
テキスト編集ソフトの日本語と簡体字中国語のサポートサイトが改ざんされ、利用者のユーザ名、パスワード、IPアドレスを盗もうとする痕跡が見つ
13 かったことが公表された。その後、8月18日に再度Webサイトが改ざんされ、当該シェアウェアの更新チェック機能を利用して悪意あるファイルがインストールされる事件も発生している。
21 米国U社は、国内の51ヵ所の代理店でマルウェア感染が確認され、顧客のクレジットカード情報などが流出した可能性があることを公表した。
25 何者かによって、S社が提供するネットワークサービスへのDDOS攻撃が行われ、大規模な障害が発生した。
米国で、ハリウッド女優などのプライベート写真が、掲示板に掲載される事件が発生した。この事件は、流出した複数の著名人のiCloudアカウントに不1
正アクセスが行われたことが原因とされている。
3 米国の小売り大手であるH社で大規模なカード情報の流出が発生した。
9 18 ゲームサーバにDDoS攻撃を複数回行い、ゲーム会社の業務を妨害したとして高校生が電子計算機損壊等業務妨害容疑で書類送検された。
24 航空会社でマルウェア感染による不正アクセスが発生し、最大で73万件の会員の個人情報が漏えいした可能性があることが公表された。
物流事業者のサポートサイトへパスワードリスト攻撃と考えられる不正ログインがあり、一部の会員の個人情報が閲覧されることで漏えいした可能性
26があることが公表された。同様の事件は28日に別の物流事業者のサポートサイトでも発生している。

IIJ Internet Infrastructure Review(IIR) Vol.25を元に作成。（http://www.iij.ad.jp/company/development/report/iir/025.html）
IIRに各インシデントの参照情報（URL等）が記載されている。詳細はそちらを確認のこと。

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

企業における最近の被害動向多発するリスト型アカウントハッキング攻撃

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

13サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

リスト型アカウントハッキング攻撃
同じID、パスワードを使い回しているアカウントを狙った不正ログイン攻撃
無料
オンライン
サービス
ＩＤ:
PW:

abc@mail.jp
Hogeh0ge!

オンライン
ショッピングサイト
ＩＤ:
abc@mail.jp
PW: Hogeh0ge!
ID=メールアドレスを指定!

オンライン
ゲーム
ＩＤ:
abc
PW: Hogeh0ge!
パスワードの使い回し!

ＳＮＳ
ＩＤ:
PW:

abc
Hogeh0ge!

クラウド
サービス
ＩＤ:
PW:

abc@mail.jp
Hogeh0ge!

漏洩

不正ログイン
攻撃者ＩＤ:
abc@mail.jp
ＩＤ:
abc@mail.jp
ＩＤ: Hogeh0ge!
abc@mail.jp
PW:
PW:
Hogeh0ge!
PW: Hogeh0ge!

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

14サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

リスト型アカウントハッキングの被害例
リスト型アカウントハッキングが成功してアカウントへ不正アクセスされてしまった場合の被害ＩＤ:
abc@mail.jp
ＩＤ:
abc@mail.jp
ＩＤ:
abc@mail.jp
PW:
Hogeh0ge!
PW:
PW: Hogeh0ge!
Hogeh0ge!

不正ログイン

攻撃者

オンライン
ショッピングサイト乗っ取ったアカウントを使って換金性の高い商品を不正購入

ＳＮＳ乗っ取ったアカウントの友人から
電子マネーをだまし取る

クラウド
サービス

乗っ取ったアカウントを使ってCPUリソー
スを不正利用したり、攻撃の踏み台や水飲み場型攻撃用のWebページやC&C
サーバに使うCopyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

15サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

2013年 個人情報漏洩インシデント・トップ10
No.

漏えい人数

2013年は
不正アクセスが
原因
急増！

業種

1

400万人 情報通信業

不正アクセス2

169万2496人 情報通信業

不正アクセス3

47万人 卸売業，小売業

不正アクセス４42万6000人 公務(他に分類されるものを除く)

紛失・置忘れ５

24万3266人 情報通信業

不正アクセス6

17万5297人 情報通信業

設定ミス

7

15万0165人 卸売業，小売業

不正アクセス

8

12万0616人 金融業，保険業

管理ミス

9

10万9112人 情報通信業

不正アクセス109万7438人 情報通信業

不正アクセス

リスト型アカウントハッキング攻撃
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

16サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

リスト型アカウントハッキングの対策案
リスト型アカウントハッキングによって不正ログインされないためには パスワードを使いまわさない。同じパスワードを使わない

 2要素認証など、不正アクセス対策がしっかりしたサービスを積極的に利用する
 解読されやすい秘密の質問を使用しない

2要素認証
リスト型アカウントハッキングで1段階目の認証を突破されても2段階目の認証を突破できない例) 母親の旧姓は？ ＝鈴木
出身地は？
＝東京

 ログインできる端末やIPアドレスを限定する(可能な場合)
 設定ミスに気をつける(クラウドサービスの場合など)

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

17サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

企業における最近の被害動向
揺らぐ基盤ソフトウェアへの信頼

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

18

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ基盤となるソフトウェアの脆弱性• Heartbleed– 暗号化通信で広く用いられているソフトウェアであるOpenSSLにおいて、
ハートビート処理の実装に問題があり、細工したデータをリクエストとして送ることにより、本来読み出せないプロセスのメモリ領域をレスポンスに含めさせることが可能となる脆弱性が発見された• IIJ Internet Infrastructure Review(IIR) Vol.24より引用
http://www.iij.ad.jp/company/development/report/iir/024/01_04.html– 対策は修正済バージョンへのアップデート– 対象は下表のとおりだが・・・※詳細はOpenSSL公式サイトや各脆弱性情報提供サイト等を参照

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

19サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ基盤となるソフトウェアの脆弱性• CCS Injection– OpenSSLのChangeCipherSpecメッセージの処理に欠陥が発見されました。 この脆
弱性を悪用された場合、暗号通信の情報が漏えいする可能性があります。
• 株式会社レピダム 「OpenSSL #ccsinjection vulnerability」より引用
http://ccsinjection.lepidum.co.jp/ja.html– 本脆弱性による MITM 攻撃では、サーバとクライアントの両方が OpenSSL を使っている場合に、その間にいる攻撃者が SSL/TLS ハンドシェーク中に特別なメッ
セージを割り込ませることで、攻撃者にも計算できる鍵を両者の暗号化通信に使わせることができます。 攻撃者はその鍵を使って暗号化通信を復号でき、通信内
容の盗聴、改ざんが可能になります。 この攻撃を受けた状況でも、サーバとクライ
アントでは通常どおりの暗号化通信として認識され、異常に気づくことができません。
• IIJ Security Diary 「OpenSSL の Man-in-the-middle 攻撃可能な脆弱性の影響」より引用
https://sect.iij.ad.jp/d/2014/06/069806.html– 対策は修正済バージョンへのアップデート– 対象はバージョンに依存（次ページ参照）※詳細はOpenSSL公式サイトや各脆弱性情報提供サイト等を参照
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

20サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ基盤となるプロトコルの脆弱性• POODLE Attack– POODLE Attackと呼ばれる本手法はBEAST攻撃に類似した中間者攻撃でブラウザから大量のリクエストをサーバに送りつけることによるトライ＆エラーを繰り返すことでSSLで暗号された攻撃対象データを1バイトずつ復号することを可能にしています．現実的な攻撃としてはCookieの搾取が挙げられます• 暗号プロトコル評価技術コンソーシアム（CELLOS） 「[2014/10/15] SSLv3仕様そのものに対する POODLE attack について」より引用
https://www.cellos-consortium.org/jp/index.php?PoodleAttack_20141015_J– 対策はSSLv3の無効化など– 対象は・・・SSLv3を使用可能としているデバイス全て※詳細は各脆弱性情報提供サイト等を参照

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

21

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ基盤となるソフトウェアの脆弱性• Shellshock– GNU bash の脆弱性 ～ shellshock 問題～ は、 Linux で使用するシェルのひとつである GNU bash (Bourne-Again Shell)の環境変数の処理に存在する任意のコード実行などを許してしまう脆弱性です。 Web サーバ上で動作する CGI プログ
ラムや Linux ベース組み込みシステムなど、非常に広範囲にわたって影響を与えるものです。
• 日本シーサート協議会 「GNU bash の脆弱性 ～ shellshock 問題～ について」より引用
http://www.nca.gr.jp/2014/shellshock/– 対象はbash・・・を使っているプログラムすべて– 対策は修正済みバージョンへのアップデート※詳細は各脆弱性情報提供サイト等を参照

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

22サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

最近の問題における特徴• 正規アカウントの悪用など、対象が幅広く、検出や対策が難しい攻撃が数多く発生している– ID/パスワードを使ってログインする仕組みがあれば、リスト型パスワード
ハッキングの攻撃対象となる可能性がある• インターネットの基盤として広く使われている、オープンソースソ
フトウェアでもいまだに新しい脆弱性が発見される– 安全という認識で広く長く使われているものが、ある日突然危険になる– 既に数多くの組み込み機器にインターネット関連技術が使われており、パソコンやスマホだけがセキュリティ対策の対象ではない。同様の技術を使っていればIoTデバイスなども対象となる– 長期間にわたって対応が発生することを想定する必要がある

どこからでも攻撃されやすく、問題発生時の影響が大きい。
長期の対応を前提としたセキュリティ対策が不可避
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

23サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

企業における最近の被害動向
止まらない個人情報の漏えい
2013年 情報セキュリティインシデントに関する調査結果 ～個人情報漏えい編～より

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

24サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ漏えい人数と件数(経年)3,053 万人
3000 万人

2,500 件

漏えい人数
インシデント件数

2,357 件2500 万人

2,000 件

2,224 万人
2000 万人

1,500 件1,679 件
1,551 件1,539 件1500 万人

1000 万人

881 万人

1,388 件

1,373 件1,032 件

993 件
864 件

723 万人572 万人558 万人2009 年

2010 年

972 万人925 万人2012 年2013 年

628 万人500 万人0 万人
2005 年

2006 年

2007 年2008 年

漏えい人数は、ほぼ横ばい

2011 年

漏えい人数
インシデント件数

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

公1,000 件
件表
数さ500 件 は れ
もた
っイ
0件
とン
もシ
多デ
いン
ト
25

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

原因別の漏えい件数
バグ・セキュリティホール
7件
内部犯罪・内部不正行為
0.5%
14件 目的外使用
ワーム・ウイルス
1.0%
10件
5件
不正な情報持ち出し
0.7%
0.4%
21件
その他
1.5%
9件
設定ミス
0.6%
43件
3.1%
不明
5件
不正アクセス
0.4%
65件
4.7%
盗難
77件
5.5%
誤操作
485件
34.9%
紛失・置忘れ
199件
14.3%

管理ミス
449件
32.3%

2012年
(N=2357件)

2013年(N=1389件)

管理ミス（1391件）

誤操作（485件）

誤操作（474件）

管理ミス（449件）

紛失・置忘れ（189件）

紛失・置忘れ（199件）

盗難
（88件）

盗難
（77件）

管理ミス（＝誤廃棄）
誤操作（＝ケアレスミス）
による漏えいが多い
上位の原因に大きな変化はなし
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

26サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

原因別の漏えい件数（経年）２０１２年は「管理ミス」の件数が大幅増加

2,000 件

19件
73件
1,500 件

53件
19件
80件

1,000 件

500 件

22件
20件
34件
53件
12件
128 件

434 件

266 件
0件

305 件
21件
81件
82件
17件
146 件
290 件
189 件

26件
77件

21件
497 件

177 件

194 件

449 件

784 件
17 件

22 件

68 件
483 件

1,391 件

609 件

60 件
176 件
34 件
157 件

30件
60 件

23 件

43 件

474 件

485 件

543 件

539 件

211 件

213 件

189 件

199 件

117 件
20件

128 件
25件

103 件
18件

88 件
35件
28件

77 件
65 件

2009 年(n=1539)

2010 年(n=1679)

2011 年(n=1551)

2012 年(n=2357)

2013 年(n=1389)

14 件
369 件

14件

121 件

143 件
72 件

154 件
30件
22件

2005 年(n=1032)

2006 年(n=993)2007 年(n=864)2008 年(n=1373)

122 件

不明
その他
内部犯罪・内部不正行為
目的外使用
不正な情報持ち出し
管理ミス
設定ミス
誤操作
紛失・置忘れ盗難
不正アクセス
ワーム・ウイルス
バグ・セキュリティホール

インシデントの３大要因は人為的ミス「管理ミス」「誤操作」「紛失・置忘れ」
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

27サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

媒体別の漏えい件数

USB等可搬
記録媒体
108 件
7.8%

携帯電話
スマートフォン その他 不明
33 件
9件
PC 本体 13件
2.4% 0.6%
40 件 0.9%
2.9%

電子メール
119 件
8.6%
インターネット
126 件
9.1%

紙媒体
941 件
67.7%

2012年
(N=2357件)

2013年(N=1389件)

紙媒体（1384件）

紙媒体（941件）

USB等可搬記録媒体（610件）

インターネット（126件）

電子メール（130件）

電子メール（119件）

インターネット（118件）

USB等可搬
記録媒体（108件）

紙媒体による漏えいが多い。
（例年通り）
USBが大幅減少

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

28サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

媒体別の漏えい件数（経年）
9件
63
件
130 件
118 件
2,000 件1,500 件
10 件
88 件
0件
111 件
1,000 件

16
32 件
68 件
件
66 件
162 件
173 件

500 件
515 件

160 件
8件
68
件
1件
76
件
218 件
81 件
106 件
435 件

44 件
51
0 件
85件
件
133 件
108 件
94 件

12
30
件
0 件
108件件
70 件
144 件
58 件

14
40 件
件
115 件
82 件
208 件
55 件

不明

610 件
23
45 件
件
126 件
68 件
156 件
68 件

その他
43 件

136 件
100 件

9 件
33
13件
件
119 件
126 件
108 件
40 件

1,384 件

1,117 件 1,165 件 1,065 件

941 件

768 件

携帯電話スマートフォン
FTP
電子メール
インターネット
USB等可搬記録媒体
PC本体
紙媒体

349 件

0件
2005 年

2006 年

2007 年2008 年2009 年

2010 年

2011 年

2012 年2013 年(n=1032)(n=993)(n=864)(n=1373)(n=1539)(n=1679)(n=1551)(n=2357)(n=1389)

2013年は「インターネット」
が増加

例年、紙媒体による漏えいが多い
次に「USBメモリ」「電子メール」が多い
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

29サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

全組織の共通問題 「人為的ミス」
管理ミス、誤操作、紛失・置き忘れの人為的ミスによる情報セキュリ
ティインシデントは、毎年件数が多く、高い割合を占める
インシデントの３大要因は人為的ミス「管理ミス」「誤操作」「紛失・置き忘れ」
人為的ミス

2008年

2009年

2010年

2011年

2012年

2013年

インシデント件数(%)

982件(71.5%)

1275件(82.8%)

1363件(81.2%)

1249件(80.5%)

2054件(87.1%)

1071件(80.3%)

インシデント人数(%)

516.7万人 269.6万人 149.5万人 256.0万人 805.3万人 157.3万人(71.4%)(47.1%)(26.8%)(40.7%)(82.8%)(17.0%)

インシデント人数のばらつきが大きい
1件あたりの漏えい人数は少ない

人為的ミスの対策が必要！
（ヒューマンエラー）
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

30サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

企業における最近の被害動向
止まらない個人情報の漏えい
2014年上期 情報セキュリティインシデントに関する調査結果 速報

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

31サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ漏えい人数と件数(経年)3,053 万人
3000 万人

2,500 件

漏えい人数
インシデント件数

2,357 件2500 万人

2,000 件

2,224 万人
2000 万人

1900件 (予測)1,500 件1,679 件
1,551 件1,539 件1500 万人

1000 万人

881 万人

1,388 件

1,373 件1,032 件

972 万人

993 件
864 件

723 万人572 万人558 万人+3500万人
1,000 件 (下半期）925 万人
944件 (上半期)628 万人500 件

500 万人

0 万人

0件
2005 年

2006 年

2007 年2008 年2009 年

2010 年

2011 年

2012 年2013 年

75万人

2014 年

漏えい人数
インシデント件数
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

32サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

業種別（件数／人数） 2014年上期速報
医療，福祉62,348人
0.7%

運輸業，郵便業
51,195人
不動産業，物品賃貸業
0.5%
13,704人製造業
0.1%
47,188人
学術研究，専門・技術サー
0.5%
ビス業
建設業

学術研究，専門・技術
サービス業(他に分類されな
不動産業，物品賃貸
サービス業
いもの)
生活関連サービス業，業
19件
68,237人
娯楽業
8件
2.0%
0.7%
5件
0.9%
運輸業，郵便業 建設業
サービス業(他に分類0.5% 製造業
3件
1件
教育，学習支援業
13件
されないもの)
0.3%
0.1%
68,760人
1.4%
28件
0.7%
3.0% 卸売業，小売業
5件
宿泊業，飲食サービス 生活関連サービス業，娯楽
0.5%
業
業
電気・ガス・熱供給・水1件
101,360人
道業
0.1%
医療，福祉
1.1%
13件
33件
1.4%
公務(他に分類されるものを 卸売業，小売業
3.5%
除く)
703,973人
情報通信業
549,002人
7.6%
41件
公務(他に分類される
5.9%
4.4%
ものを除く)
金融業，保険業
321件
教育，学習支援業
892,259人
34.3%
129件
9.6%
13.8%

宿泊業，飲食サービス業
321人
0.003%
電気・ガス・熱供給・水道業
1,461人
0.016%

情報通信業
6,735,552人
72.3%

金融業，保険業
315件
33.7%

業種別（件数）

4,692人0.1%

12,491人
0.1%

業種別（人数）

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

33サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

原因別（件数／人数） 2014年上期速報
バグ・セキュリティホール
3件
内部犯罪・内部不正行為
0.3%
11件
不明
1.2%
2件
盗難
設定ミス
0.2%
22件
21件
2.3%
2.2%

バグ・セキュリティホール
盗難
13,757人 誤操作 459人 不明
0.1%
1.8%
8,542人20人 その他
内部犯罪・内部不正行
1.1%
0.003%
1人
ワーム・ウイルス
為2件
0.0001%
15,125人
0.2%
2.0%
その他
ワーム・ウイルス
不正な情報持ち出し2件
1人
38,061人
0.2%
0.0001%
5.1%

不正な情報持ち出し26件
2.8%
不正アクセス
30件
3.2%

設定ミス
53,748人
7.2%

紛失・置忘れ
357件
37.8%

管理ミス
200件
21.2%

誤操作
268件
28.4%

原因別（件数）

紛失・置忘れ
91,142人
12.2%

不正アクセス399,591人
53.7%

管理ミス
124,006人
16.7%

原因別（人数）

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

34サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

経路別（件数／人数） 2014年上期速報

USB等可搬記録媒体
64件
6.8%

PC本体
15件
1.6%

その他
25件
2.6%

不明
3件
0.3%

電子メール
55件
5.8%

PC本体
6,321人その他
2,441人

電子メール
6,961人不明
14人

USB等可搬記録媒体
109,733人

インターネット
59件
6.3%
紙媒体
133,675人

インターネット
485,308人

紙媒体
723件
76.6%

経路別（件数）

経路別（人数）

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

35サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

2014年の特徴• 個人情報漏えい業種を...
– 件数でみると公務・金融・教育等が多い– 人数でみると情報通信業が約3/4• 個人情報漏えい原因を...
– 件数でみると紛失・誤操作・管理ミス等、ヒューマンエラー関連が多い– ところが人数で見ると不正アクセスが半数を占める• 個人情報漏えい経路を...
– 件数でみると紙媒体からの漏えいが圧倒的に多い– 一方人数で見るとインターネットからの漏えいが圧倒的に多い

インターネットからの不正アクセスによる情報漏えいはその影響が大きい。事前の対策は不可避
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

36サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

Agenda• JNSAのご紹介• 企業における最近の被害動向––––

日常的に発生するサイバー攻撃
多発するリスト型アカウントハッキング攻撃
揺らぐ基盤ソフトウェアへの信頼
止まらない個人情報の漏えい• 2013年 情報セキュリティインシデントに関する調査結果～個人情報漏えい編～• 2014年上期 情報セキュリティインシデントに関する調査結果速報• サイバーセキュリティ「費用」から「投資」へ– 個人情報漏えい損害額の算出– 情報セキュリティ市場規模の推定• まとめ

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

37サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

サイバーセキュリティ「費用」から「投資」へ

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

38サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

被害動向と「投資」
供給される数多くの脅威情報
リスト型アカウント
ハッキング

不正アクセス

ShellShockCSS Injection
標的型攻撃MalwareHeartBleed

こんなに危ないので対策が必要です！

対策する価値がどこまであるかわからなくても、対策することで安心感は得られる

定性的効果（費用）のよくあるパターン

DDoS・DRDoS
Web改ざん

BotnetPhishing

内部犯行

影響の
数値化

～の期間でいくら損しますよ～の期間でいくら得しますよ

対策する価値があるかどうかを合理的に判断
自社の情報資産※なお自動化の観点でSCAPなどセキュリティの定量化が行われているがここでは金額にして示す、と言う意味で数値化としている

定量的効果（投資）へのチャレンジ

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

39サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

本日のテーマ• 「費用」から「投資」へ– サイバーセキュリティ対策は費用、が今までの認識• サイバーセキュリティ対策費は、問題の発生予防や回復を目的とした手段を入手するための支出でしかない• ともすれば消極的にとらえられがち• しかし、ICTの利活用と、サイバーセキュリティの考慮は切り離せないのが現状– ICTを利活用することがこれからの事業発展に欠かせないものとなっていくとするならば、サイバーセキ
ュリティ対策も事業発展に欠かせないものとなっていくのではないかCopyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

40サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

本日のテーマ• 「費用」から「投資」へ– 投資には将来的なリターン（利益）が必要• 投資対効果が測定可能でなければならない• 測定するためには投資の数値、利益の数値が必要• 投資の数値＝投資額、であれば利益も「金額」– 数値化に関わるチャレンジ• セキュリティ対策で「損害が軽減される」ことによる利益• セキュリティ対策を「販売する」ことによる利益• セキュリティ対策のおかげで「より売れる」ことによる利益

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

41

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ「費用」から「投資」へ
個人情報漏えい損害額の算出

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

42サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

セキュリティ被害調査WGによる損害額算出
目的 情報セキュリティインシデントにおける被害の定量化
 適切な情報セキュリティに対する投資判断、
投資対効果の提示
 企業における情報セキュリティインシデントに係る被害額・投資額などの実態をアンケートやヒアリングによって調査した。この調査結果をもとに「情報セキュリティインシデントに関する被害額算出モデル」を策定
 一年間に報道された個人情報漏えいインシデント（事件・事故）を調査・分析
し、「JOモデル（JNSA Damage Operation Model for Individual Information
Leak）」を用いて想定損害賠償額などを推定し、報告書を公開

情報セキュリティ分野において被害の定量化や投資対効果の考え方をもっと普及・発展させたい
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

43サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

想定損害賠償額/算定式の注意点
想定損害賠償額算定式は、各組織が所有する個人情報の潜在的リスクを把握するためのひとつの推定方法である。
 保有する個人情報によるリスクを定量化し、個人情報を取り扱う組織のリスクを把握するもの
 算定結果は、対策するときの判断材料とするもの
想定損害賠償額は、あくまでも「もし被害者全員が賠償請求したら」という“仮定”に基づくものである。
 実際に各事例においてその金額が支払われたものではない
 被害者が漏えい元の組織に対して請求できる損害賠償額を示したものではない

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

44サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

参考：個人情報価値の算出式
漏洩個人情報価値＝基礎情報価値×機微情報度
×本人特定容易度
 基礎情報価値 ： 2003年6月、L社カードの会員56万人の個人情報が漏えい。同社は115万人全員に謝罪文と商品券500円分を郵送した。これ＝５００
により「1人あたり500円の謝金を配る」とする対応が増えた。
 機微情報度 ：漏洩した個人情報に含まれる機微情報の量

機微情報度＝（10x-1+5y-1）
Simple-EP図上の個人情報の座標値（x,y）より
x = 漏洩した情報の精神的苦痛レベルの最大値y=〃
経済的損失レベルの最大値

判定基準
個人を簡単に特定可能。
 本人特定容易度 ：「氏名」「住所」が含まれること。
漏洩した個人情報からの コストを掛ければ個人が特定できる。
「氏名」または「住所+電話番号」が含まれること。
個人特定しやすさ
特定困難。上記以外。

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

本人特定容易度
６３１45サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

参考：Simple-EP図（評価尺度を３段階へ）
個人情報の価値の評価尺度を３段階とし、基準判断を容易にしよう！
y
3

５０～５２
機微情報度

経済的損失レベル

経済的損失＝１～３０万円

2

1
x-1
y-1
＝（10 +5 ）口座番号＆暗証番号, クジットカード番
号, カード有効期限, 銀行のアカウント/
パスワード

遺言書

パスポート情報, 購入記録, ISPのアカ
ウント/パスワード

年収・年収区分, 資
産, 建物, 土地, 残高,
借金, 所得, 借り入れ記録

氏名, 住所, 生年月日, 性別, 金融機関
名, 住民票コード, メールアドレス, 健康
保険証番号, 年金証書番号, 免許証番
号, 社員番号, 会員番号, 電話番号, ハ
ンドル名, 健康保険証情報, 年金証書
情報, 介護保険証情報, 会社名, 学校
名, 役職, 職業, 職種, 身長, 体重, 血液型, 身体特性, 写真（肖像）, 音声, 声紋,
体力診断

健康診断, 心理テスト,
性格判断, 妊娠歴, 手
術歴, 看護記録, 検査
記録, 身体障害者手帳, DNA, 病歴, 治療法, 指紋, レセプト, ス
リーサイズ, 人種, 地
方なまり, 国籍, 趣味,
特技, 嗜好, 民族, 日記, 賞罰, 職歴, 学歴,
成績, 試験得点, メー
ル内容, 位置情報

加盟政党, 政治的見解, 加盟労働組合, 信条, 思想, 宗教, 信仰,
本籍, 病状, カルテ,痴呆症, 身体障害, 知的障害, 精神的障害,
保有感染症, 性癖, 性
生活

1

2

3

１００～１０２
精神的苦痛＝１～１００万円

前科前歴, 犯罪歴, 与信ブラックリスト

X

精神的苦痛レベル【Simple-EP図】

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

46

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

参考：想定損害賠償額の算定式（ＪＯモデル）
式や判定基準表を用いて、計算式への代入値を求めやすく。
損害賠償額＝漏洩個人情報価値×社会的責任度×事後対応評価＝（基礎情報価値×機微情報度×本人特定容易度）
×社会的責任度
基礎情報価値を一律
×事後対応評価500円（ポイント）と定義。
＝基礎情報価値[500]
×機微情報度[Max（10x-1+5y-1）]
×本人特定容易度 [6,3,1]
×社会的責任度[2,1]
×事後対応評価
[2,1]
判定基準

判定基準

事後対応評価

適切な対応

1

不適切な対応2

不 明 、そ の 他

1

機 微 情 報 度 ＝ （ 1 0 x -1 + 5 y -1 ）x = 漏洩した情報の精神的苦痛レベルの最大値
y =野 の 業 種 （医 療 、 金 融 ・信 用 、 情 報 通高い信 等 ）お よ び 、 知 名 度 の 高 い 大 企 業 、

経済的損失レベルの最大値

判定基準
個人を簡単に特定可能。
「氏 名 」「住 所 」が 含 ま れ る こ と 。

社会的責任度コス トを 掛 け れ ば 個 人 が 特 定 で き る。
「氏 名 」ま た は 「住 所 +電 話 番 号 」が 含 ま れ る こ と 。

適正な取扱いを確保すべき個別分
一般より

〃

2

特 定 困 難 。上 記 以 外 。

本人特定
容易度

６
３
１

公的機関。
一般的

そ の 他 一 般 的 な 企 業 お よ び 団 体 、組織。

1

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

47

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

参考：想定損害賠償算定の全体像
y
経
済
的
損
失

【判定基準表】

【EP図】

社会的
責任度

判定基準

経済的
情報

一般より
高い
一般的

適正な取扱いを確保すべき個別分野の業種（医療、金融・信用、情報通信等）および、知名度の高い大企業、公的機関。

2

判定基準
事後対応
その他一般的な企業および団体、組織。
1
適切な対応
1
評価
本人特定
判定基準
不適切な対応
2
容易度

基本
情報

プライバシー
情報

精神的苦痛

不明、その他

個人を簡単に特定可能。
1「氏名」「住所」が含まれること。

６

コストを掛ければ個人が特定できる。
「氏名」または「住所+電話番号」が含まれること。

３

特定困難。上記以外。

１

X

損害賠償額＝（基礎情報価値 × 機微情報度 × 本人特定容易度）
×情報漏洩元組織の社会的責任度
×事後対応評価＝ 基礎情報価値[500]×機微情報度[Max（10x-1+5y-1）]
×本人特定容易度[6, 3, 1]
×社会的責任度[2, 1]
×事後対応評価[2, 1]

個人情報の基
本的な価値を
算出

漏洩組織の
対応を評価

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

48

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

2013年 個人情報漏えいインシデント
期間：２０１３年１月１～１２月３１日（※１２ヶ月分）
インターネットニュースなどで報道されたインシデントの記事、組織からリリースされたインシデントの公表記事などをもとに集計

2013年データ

2012年データ

漏えい人数

925万4513人

972万65人

漏えい件数

1388件

2357件

1438億7184万円

2132億6405万円

7027人

4245人

一件当たり平均想定損害賠償額

1億924万円

9313万円

一人当たり平均想定損害賠償額

2万7707円

4万4628円

想定損害賠償総額
一件当たりの漏えい人数

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

49サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

2014年上期 個人情報漏えいインシデント

報告書はJNSAホームページで公開予定

期間：２０１４年１月１～６月３０日（※６ヶ月分 速報値のため、修正される場合有り）
インターネットニュースなどで報道されたインシデントの記事、組織からリリースされたインシデントの公表記事などをもとに集計

2014年上半期

2013年データ

漏えい人数

74万4453人

925万4513人

漏えい件数

944件

1388件

245億8688万円

1438億7184万円

823人

7027人

一件当たり平均想定損害賠償額

2726万円

1億924万円

一人当たり平均想定損害賠償額

4万9715円

2万7707円

想定損害賠償総額
一件当たりの漏えい人数

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

50

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ「費用」から「投資」へ
情報セキュリティ市場規模の推定

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

51サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

本日のテーマ• 「費用」から「投資」へ– 投資には将来的なリターン（利益）が必要• 投資対効果が測定可能でなければならない• 測定するためには投資の数値、利益の数値が必要• 投資の数値＝投資額、であれば利益も「金額」– セキュリティ数値化に関わるチャレンジ• セキュリティ対策で「損害が軽減される」ことによる利益• セキュリティ対策を「販売する」ことによる利益• セキュリティ対策のおかげで「より売れる」ことによる利益

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

52サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

セキュリティ市場調査WGによる市場規模推定
今日の段階

過去10年間の調査の蓄積＋

新規参入・撤退などの変化

入札による個社別、売上データの購入

推定値

今年度の調査：

検
討
会

調
査
結
果
5
月

• 調査活動期間： 2014年6月～（現在も進行中、本日は速報値）• 調査方法：アンケート調査はしない（回収率が悪く参考にならない）
各種統計･調査資料の参照
企業の事業概要・規模推定（対象数：470→505社）
検討会：WGメンバー情報や、公開情報を元にデータ修正• 対象期間：2012, 2013年度実績 2014年度見込み 2015年度予測
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

53サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

市場区分の定義

セ
キ
ュ
リ
テ
ィ
ツ
ー
ル

セ
キ
ュ
リ
テ
ィ
サ
ー
ビ
ス

統合型アプライアンス

FW、IDS、ウイルス対策等複数機能を持ったアプライアンス

ネットワーク脅威対策製品

FW、IDS/IPS、VPN、アプリケーションファイアウォール

コンテンツセキュリティ対策製品

ウイルス対策、スパム対策、URLフィルタ、メールフィルタ、DLP等

アイデンティティ・アクセス管理製品

認証、ログオン管理･アクセス許可、PKI製品

システムセキュリティ管理製品

セキュリティ情報統合管理、ポリシー・アクティビティ管理ツール、
脆弱性検査ツール 等

暗号製品

暗号化製品、暗号モジュール

情報セキュリティコンサルテーション

ポリシー構築、監査･診断等セキュリティ管理全般コンサルティン
グ、規格認証取得支援サービス

セキュアシステム構築サービス

ITセキュリティの設計、導入、製品選定支援 等

セキュリティ運用・管理サービス

マネージドサービス（ITセキュリティの監視、運用支援）、プロ
フェッショナルサービス、電子認証サービス 等

情報セキュリティ教育

教育実施、コンテンツ提供、教育ASP、資格認定 等

情報セキュリティ保険

情報セキュリティおよびITセキュリティ保険

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

54サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

サイバーセキュリティ製品・サービス市場• 市場規模推移
1,000,000

報告書はJNSAホームページで公開予定
2008/9リーマンショック

７７７０億円

900,000
800,000
700,000

３
２
８
５
億
円

600,000
500,000

400,000

サービス

300,000

ツール

200,000

３
３
４
４
８
６
０
２
100,000
４
５
５
４
９
６
５
８
億
億
億
億
0
円 2014円2015円
円 2013
2003 2004 2005 2006 2007 2008 2009 2010 2011 2012

売上高実績推定値
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

見
込
み

予
想
値
55

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

国内情報セキュリティツール市場推移•ツール全体で2012年から7.6%の伸び。
•伸率が高かったカテゴリ
は、システムセキュリティ
管理製品と暗号化製品。
•情報漏えい対策強化の結果と推測される。

４,１４１億円

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

56サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

情報セキュリティサービス市場推移•前年比4.7%伸び3628億円• システム構築サービスが最大。標的型攻撃対策などで需要が伸びた。
•スマートデバイスを用いた社
内システム運用の需要、情報漏えい対策、景気回復が後押していると思われる。

３,６２８億円
0

500

1,000

億円

702
727
763
801

情報セキュリティコンサル
テーション

1,389
1,449

セキュアシステム構築サービ
ス

1,032
1,094
1,206
1,278

セキュリティ運用･管理サービ
ス
266
270
280
294

情報セキュリティ教育
情報セキュリティ保険

1,500

76
89
99
106

2012年度

2013年度

2014年度

2015年度Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

57サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

参考：クラウドセキュリティ対策サービス
Category 1: Identity and Access Management
Category 2: Data Loss Prevention
Category 3: Web Security
Category 4: Email Security
Category 5: Security Assessments
Category 6: Intrusion Management
Category 7: Security Information and EventManagement (SIEM)
Category 8: Encryption
Category 9: Business Continuity and Disaster
RecoveryCategory 10: Network Security

https://cloudsecurityalliance.org/research/secaas/ より引用
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

58サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

まとめ

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

59サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

まとめ• ICTの利用が広がるとともに、攻撃の対象範囲も拡大– リスト型アカウントハッキングや暗号化プロトコルの問題は広く影響– ネットを使った不正アクセスによる大規模な情報漏えい– 攻撃対象は幅広く、サポート期間はより長くなる傾向• ICTを生かした事業運営とサイバーセキュリティは一心同体––––

脅威情報や被害動向だけ見ていても事業とはつながらない事業戦略とサイバーセキュリティを一体化して考える
そのためには重要な一要素である数値化
投資対効果測定に参考となる（かもしれない）被害額算定、市場規模推定を紹介

サイバーセキュリティを投資としてとらえるためにはまだまだ情報・手法が不足している（確立されていない）ことは大きな課題だが、誰かが解決してくれることを待っていられるほど余裕のある状況でもない

続きはパネルディスカッションで・・・
Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

60

サイバーセキュリティ月間 キックオフ・シンポジウム 「費用」から「投資」へ

御清聴ありがとうございました

Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

61