サイバー攻撃を受けるとお金がかかる！
～「インシデント損害額調査レポート」第２版の紹介～

JNSA（日本ネットワークセキュリティ協会）
調査研究部会 インシデント被害調査WG
神山 太朗
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）発表者紹介
神山 太朗

JNSA（日本ネットワークセキュリティ協会）幹事
調査研究部会 インシデント被害調査WGリーダー

あいおいニッセイ同和損害保険
新種保険部 サイバー保険室 室長
・損保業界の商品開発部門に30年弱勤務
・入社以来、IT関連の保険（現サイバー保険）などの開発に携わる
・JNSAにて「インシデント損害額調査レポート」を公表。そのWGリーダーを務める
本日お話しする内容は、「所属企業」の立場、見解等を代表するものではありません
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）ご存じでしょうか？
「インシデント損害額調査レポート」◇インシデントが発生したときの、以下をまとめた資料
・どのような対応が必要か
・対応のアウトソーシング先は誰か
・コストはいくらかかるか など◇検索サイトで「インシデント損害額」の語で検索をかけると出てきます。
◇ぜひご一読を！！！

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）まとめ…。イイタイコト（レポートが訴えたいこと)～シンプル、単純明快です！～

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）イイタイコト①（レポートで訴えたいこと）
サイバー攻撃を受けるとお金がかかる
中小企業においても数千万円単位、場合によっては億単位のお金がかかる
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）「お金がかかる」って言いたいだけ？

イイタイコト②（レポートで訴えたいこと）①経営者
このレポートで、経営に多大な影響（最悪の場合、倒産）があるがゆえ、対策の必要性を自ら理解してもらう②情シス（セキュリティ担当者）
このレポートで、対策の必要性を経営者に説明してもらう③IT/セキュリティベンダ
このレポートで、対策の必要性を経営者、情シスに説明してもらう
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）イイタイコト③（レポートで訴えたいこと）
住所/氏名等の個人情報漏えいは、個人に対する慰謝料等で損害賠償金が大変なことになるんです！

サイバー攻撃を受けた場合、被害（対応やそのコスト）はよくわからないですけどw、中小企業でも数千万の被害が発生するらしいですよ！

このレポートで（理解、引用等で）具体的、リアルなハナシを！

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）

…

幸み「とレ
いてポいでいーう
すたトこだ と」け。 をでれば

ここからは、レポートの解説、レポートをみるにあたってのポイントをお伝えします第２版の解説～パワーアップしました…～

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）構成
前回（2021年8月）

今回（2024年2月）

本紙を見直しつつ、別紙作りました～
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）「別紙」が肝なんですけど、まずは、「本紙」の説明します。

本紙の改定ポイント①～概要～◇エグゼクティブサマリーを追加◇既存コンテンツの見直し
・金額などの数値データの最新化
・ヒアリング対象（対応のアウトソーシング先）の拡充
・その他直近動向を踏まえた内容◇以下のコンテンツを追加
・メンバーほか有志によるコラム（６本）
・セキュリティ関係者による座談会（３本）
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）本紙の改定ポイント②～エグゼクティブサマリー～

省 略

レポート上の各種損害を列挙し、具体的コスト、つまり、お金がかかることを1ページでシンプルに表現
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）本紙の改定ポイント③～既存コンテンツの見直し～

例えば、インシデントレスポンス業者・フォレンジックベンダへのヒアリング結果
前回（2021年8月）

ぶっちゃけ、しょぼい…

今回（2024年2月）◇たくさん聞けました！
◇標準的な価格は、特段変化なく概ね300～400万円◇各社が経験した高額事例は注目調査費用だけで数千万、億のケースも・・・

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）本紙の改定ポイント④～コラム～

メンバーほか有志の方にコラムを書いてもらいました
コラム①CSIRT担当が思うこと～CSIRTにおける迅速なインシデント対応のポイント～

コラム②ランサムウェア被害によって倒産してしまった中小企業のハナシ～インシデント対応の現場から その1～

コラム③リスクコミュニケーションの重要性～インシデント対応の現場から その2～

コラム④インシデント報告会について思うこと～犯人捜しはやめましょう～

コラム⑤再発防止策の現場～「推進サイド」と「現場サイド」の葛藤～

サイバー攻撃による倒産事例！
今回、被害組織の調査（後述）でも、その後の存在が確認できない組織が複数アリ。

サイバー攻撃は倒産可能性も！

コラム⑥サイバー保険～IT・セキュリティ業界の方に知っておいて欲しい、サイバー保険（というか損害保険）のハナシ～
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）本紙の改定ポイント⑤～座談会～

セキュリティ関係者で座談会（いずれも4名+司会）を開きました
座談会①「インシデントレスポンス事業者編」
けっこう突っ込んだ内容…。今回のキラーコンテンツ笑「ランサムウェアの復号可能！」を喧伝する業者のハナシなど…

インシデントレスポンス事業者の選択は十分精査が必要！

座談会②「マスコミ編」
マスコミ、セキュリティ業界、ユーザーそれぞれにおける各種情報発信の在り方…。

座談会③「弁護士編」

セキュリティ業界としても発信の在り方は考えていくべき…

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）ここからは今回の肝・・・「別紙」の説明します。

別紙の内容①被害組織調査
過去5年半に渡り、サイバー攻撃による国内の被害組織を約1,300をピックアップ。さらに、これらの組織の所在地、資本金、従業員数等の各種情報を力業で調査②アンケート調査
上記①の約1,300組織に対してアンケートを実施
回答を得られた組織について被害額等を集計③被害組織インタビュー
上記②の回答を得られた組織のうち、同意を得られた組織にインタビューを実施。生々しい実態を確認
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）とりあえず、わかりやすいところで順番は逆に、レポート掲載の「③被害企業インタビュー」の説明します。

インタビュー ～エモテット感染～■事案概要
エモテットに感染（WORDファイルからの感染）■時系列

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）インタビュー ～エモテット感染（続き）～■被害額
1,800万円（人件費込み）■コメント（レポートの一部抜粋）○QUOカードの配布について、顧問弁護士からは配布不要のコメントもあったが、若手社員を中心に「今の若者は個人情報漏えいに敏感」との意見もあり、配布に踏みきった。
○うちは大丈夫という思いが少なからずあった。しかし、被害に遭うと対応も大変で精神的な苦痛も大きいので、今後はセキュリティ対策のしっかりしたサービスへの変更ほか、サイバー保険も検討したい。

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）インタビュー ～ランサムウェア感染～■事案概要
VPN機器からランサムウェアに感染■時系列

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）インタビュー ～ランサムウェア感染（続き）～■被害額
1.24億＋人件費（1,000万強）＋利益喪失■コメント（レポートの一部抜粋）○「なるべくしてなった（経営層にイイタイ…。）」「他人事と捉えていた。まさか自社が被害に遭うとは」○情報セキュリティの指揮官がおらず、インシデント発生時に何から手を付ければいいかわからなかった。
○実はVPN機器の保守サービスを途中解約してしまったことに起因○セキュリティ対策の強化を図っているが、今後、EDRだけでは防げないであろうことも認識している。
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）リアルをみても「お金がかかる」
ことがわかりますよね・・・「お金がかかる」がわかったところで「②アンケート調査」を説明します。

10月の速報版を軽くまとめてみましたランサムウェア感染組織の被害金額◇平均被害金額：2,386万円

回答組織の内訳（企業・団体等の規模別）◇対応に要した組織の内部工数平均：27.7人月◇ランサムウェア被害のすべての回答組織が身代金は支払っていないと回答◇暗号化されたデータを復旧できた組織は50%

中小企業
3件
37.5%

アンケート回答数 大企業
8件
5件
62.5%

◇ほとんどの被害組織について、被害金額は1,000万円超被害に遭った場合の影響が大きいことを確認
Copyright 2023 NPO日本ネットワークセキュリティ協会

エモテット感染組織の被害金額
回答組織の内訳◇平均被害金額：1,030万円（企業・団体等の規模別）
大企業◇対応に要した組織の内部工数平均：2.9人月

◇被害金額のばらつきが大きい

団体等
3件
27.3%

2件

18.2%

アンケート回答数
11件
中小企業
6件

54.5%

Copyright 2023 NPO日本ネットワークセキュリティ協会

ウェブサイトからの情報漏えい被害組織の被害金額◇平均被害金額
クレジットカード情報および個人情報の漏えい：

3,843万円
個人情報のみの漏えい：
2,955万円◇対応に要した組織の内部工数平均
クレジットカード情報および個人情報の漏えい：

13.3人月

回答組織の内訳（企業・団体等の規模別）
団体等
4件
18.2%

大企業
2件
9.1%

アンケート回答数
22件
中小企業
16件
72.7%

個人情報のみの漏えい：
13.5人月Copyright 2023 NPO日本ネットワークセキュリティ協会

アンケート調査まとめ
被害種別

平均被害金額ランサムウェア感染被害

2,386万円

エモテット感染被害

1,030万円ウェブサイトからの情報漏えい（クレジットカードおよび個人情報）

3,843万円

アンケート調査の回答が少ないこと、人件費、逸失利益は含まれていないことを勘案するに、実際の損失はもっと高額かと。。。
Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）３つめ（おまけ）「①被害組織調査」の説明します。
～約1,300組織の被害からみえてくること～

全体～企業規模～

大企業だけではない

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）全体～業種～製造業、情報通信業が多い
参考（令和3年経済センサス）

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）全体～公表件数年別推移～

着実に年々、増えている

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）全体～インシデント種別の年別推移～

2021年度

やっぱ、ランサム‥

2019年度

2017年度

0%

10%

20%

ランサムウエア感染

30%

40%

エモテット感染

50%

60%

70%

80%

ウェブサイトからの情報漏えい

90%

100%

その他

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）ランサムウェア～業種～間違いなく、製造業が多い
参考（令和3年経済センサス）

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）ランサムウェア

～所在地分布～地域は関係ない（当然…）

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）さいごに

さいごにサイバー攻撃を受けるとお金がかかるケースによって、数千万～億の損失がでてもおかしくない
このような被害を発生させないためにもセキュリティ対策を講じていく必要がある「ぜひ、レポートもご一読いただき、ご活用いただけましたら幸いです」（と、セキュリティ業界の方にイイタイです）

Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）Copyright 2024 JNSA（NPO 日本ネットワークセキュリティ協会 ）