2017年
情報セキュリティインシデントに関する調査報告2018年6月12日
セキュリティ被害調査ワーキンググループ
長崎県立大学 情報システム学部情報セキュリティ学科
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

目次
 2017年 情報セキュリティインシデントに関する調査結果 ～個人情報漏えい編～(速報版)の解説
 個人情報漏えいインシデントの公表ガイダンスについて

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

2/23

2017年
情報セキュリティインシデントに関する調査結果～個人情報漏えい編～(速報版)
調査報告書 正規版では、数値やグラフなど、結果の一部が変更される可能性があることをご了承ください。
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

3/23

1. 2017年 個人情報漏えいインシデント概要①
期間：２０１7年１月１～１２月３１日（※１２ヶ月分）
インターネットニュースなどで報道されたインシデントの記事、組織からリリースされたインシデントの公表記事などをもとに集計

2017年データ

2016年データ

漏えい人数

519万8,142人

1,510万6,784人

漏えい件数

386件

468件

1,914億2,742万円

2,994億2,782万円

一件当たりの漏えい人数

1万4,894人

3万4,024人

一件当たり平均想定損害賠償額

5億4,850万円

6億7,439万円

一人当たり平均想定損害賠償額

2万3,601円

3万1,646円

想定損害賠償総額

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

4/23

1. 2017年 個人情報漏えいインシデント概要②
2005年～2016年までの各年の値の平均と2017年の値を比較
2017年データ

年平均比較(2005～2016年)

漏えい人数

519万8,142人

1,452万4,556人

漏えい件数

386件

1,302件

1,914億2,742万円

5,625億8,812万円

一件当たりの漏えい人数

1万4,894人

1万4,368人

一件当たり平均想定損害賠償額

5億4,850万円

5億6,058万円

一人当たり平均想定損害賠償額

2万3,601円

4万0335円

想定損害賠償総額

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

5/23

2. 2017年 インシデント・トップ10
No.

漏えい人数

業種

1

118万8,355人 製造業

不正アクセス2

67万6,290人 公務

不正アクセス3

59万7,452人 情報通信業

不正アクセス４

37万1,200人 情報通信業

不正アクセス

５

19万9,169人 公務

不正アクセス

6

19万

管理ミス

7

18万4,981人 公務

管理ミス

8

16万3,000人 公務

紛失・置忘れ9

14万 408人 情報通信業

不正アクセス

10

13万1,936人 卸売業，小売業

不正アクセス人 サービス業

公務の件数がやや多い

原因

2013年以降不正アクセスが多い

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

6/23

3.1 業種別 漏えい件数
2016年(N=468件)

2017年(N=386件)

教育，学習支援業（107件）

公務（110件）

金融業，保険業（105件）

教育，学習支援業
（60件）

公務
（68件）

卸売業，小売業
（33件）

情報通信業
（38件）

情報通信業
（30件）

全体的に漏えい件数が減少する中、「公務」だけ増加
はじめて「金融,保険業」が、上位３業種以外へ
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

7/23

3.1 業種別 漏えい件数の経年変化
公務が増加

卸売業,小売業が増加
金融,保険業が初めてTOP3以外へ
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

8/23

3.2 原因別 漏えい件数
2016年(N=468件)

2017年(N=386件)

管理ミス（159件）

誤操作
（97件）

誤操作
（73件）

紛失・置忘れ（84件）

不正アクセス（68件）

不正アクセス（67件）

紛失・置忘れ（61件）

管理ミス
（50件）

「誤操作」「紛失・置忘れ」の件数が増加
管理ミスの件数が大幅減少
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

9/23

3.2 原因別 漏えい件数の経年変化
管理ミス誤操作
紛失・置忘れ誤操作の比率が増加
盗難

不正アクセス

不正アクセスの比率が増加

紛失・置忘れ、誤操作(ケアレスミス)と管理ミスが多い 不正アクセスが増加
盗難が多い
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

10/23

3.3 媒体・経路別 漏えい件数
2016年(N=468件)

2017年(N=386件)

紙媒体（220件）

紙媒体（150件）

インターネット（108件）

インターネット
（87件）

電子メール
（65件）

電子メール
（77件）

USB等可搬記録媒体（45件）

USB等可搬記録媒体（41件）

紙媒体による漏えい件数が最も多い
インターネット・電子メール経由も多い
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

11/23

3.3 媒体・経路別 漏えい件数の経年変化
インターネット、電子メール経由の比率が増加

紙媒体からの漏えいが大半を占める

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

紙媒体経由の比率が減少

12/23

3.4 インシデント件数と人数の経年変化インシデント件数が大きく減少

近年の平均的な漏えい人数は約500～700万人/年
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

漏えい人数100万人以上のインシデントは1件発生
13/23

4.サイバー攻撃による漏えいのリスクの考察
箱ひげ図を使って、サイバー攻撃による漏えいインシデントの特徴を分析

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

14/23

【参考】 箱ひげ図
ばらつきのあるデータをわかりやすく表現するための統計学グラフ
外れ値

最大値
１.５ｈ
データ個数の７５％

数値の差＝ｈ中央値
データ個数の２５％

１.５ｈ
外れ値

最小値
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

15/23

4.サイバー攻撃による漏えいのリスクの考察
箱ひげ図を使って、サイバー攻撃による漏えいインシデントの特徴を分析
規模100～10000人
一桁大きい

118万8,355人(最大)29,342人(75%)
4,950人(中央値)403人(25%)

27,220人(75%)
260人(中央値)
151人(25%)

ほとんどのインシデント規模は10～1000人の範囲

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

16/23

5. まとめ 不正アクセスによる被害は、依然として増加傾向
 インターネット接続システムの脆弱性を狙ったサイバー攻撃
によりインシデントが発生
 深刻な脆弱性の発見（Apache Struts2 の脆弱性=8件）
 セキュリティ対策不足（SQLインジェクション=5件）（上記を含み、脆弱性が原因と推定できるインシデント=31/67件）

 サイバー攻撃により、インターネット接続システムから個人情報が漏えいすると、他の媒体・経路よりも漏えい規模(リスク)が一桁以上大きい
攻撃者は常にインターネット接続システムの脆弱性を探っている。
定期的な自システムの脆弱性の調査、迅速な脆弱性対応が必要。
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

17/23

個人情報漏えいインシデントの公表ガイダンス

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

18/23

1. はじめに当WGは、これまで組織からリリースされたインシデントの公表記事やインシデントのニュース記事をたくさん収集、分析してきたが、適切な公表タイミングと記事内容の両方を満たす記事が少ない。

【課題】
 公表側(インシデント発生組織)• インシデントの公表の判断、タイミングに悩む• 記載すべき内容の基準がわからない
 被害者/読者側• 第一報の公表が遅い• 知りたい情報が含まれていない• 最終報告が無い

情報セキュリティインシデントの公表ガイダンスを作成して提供する
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

19/23

2. ガイダンスの構成
さまざまな情報セキュリティインシデントのうち、もっとも公表することが多い個人情報漏えいインシデントの公表ガイダンスを作成
 個人情報漏えいインシデントの公表ガイダンス
 公表文書サンプル（企業編、学校編）
 公表文書サンプル【企業編】（ケース）攻撃者が、Webサイトの脆弱性を悪用して不正アクセスを行い、システム上のお客様の個人情報が流出 公表文書サンプル【学校編】（ケース）個人情報が保存されたUSBメモリを校外へ持ち出して、カバンが盗難されて漏えい 公表文書例の解説編（企業編、学校編）

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

20/23

3. 公表ガイダンスのポイント
個人情報漏えいインシデントの公表ガイダンスから内容の一部を紹介
1. 組織内にインシデントの公表判断のルールを用意しておく• 被害者への個別連絡が難しい場合は、公表する• 二次被害のおそれが高い場合は、公表する• 公表が規程されている（金融機関、公務） ・・・等

2. インシデントの公表、報告回数• 「第一報」と「最終報告」を行う• 「中間報告」は、第一報の内容に修正が必要な場合、調査が長引いて最終報告が遅くなるおそれがある場合、サービスの停止/再開などユーザに影響する変化がある場合・・・等

3. 報告文書の内容• 被害者/一般読者が読み切れるサマリ(２～３ページ以内) の量が基本• 詳細な原因や対策、技術的な内容は付録にする• 第一報は必要最小限の情報を掲載して、速報性を重視する• 被害者に対する情報提供（被害有無や範囲、対応方法、問い合わせ先）が優先
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

21/23

成果物の公開予定

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

22/23

成果物公開 2017年 情報セキュリティインシデントに関する調査結果 ～個人情報漏えい編～
 速報版 （近日中） 正規版 （作業中） 個人情報漏えいインシデントの公表ガイダンス
 公表文書サンプル（企業編、学校編）
 公表文書サンプル【企業編】
 公表文書例の解説編（企業編、学校編）（作業中）
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

23/23

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

24/23