インシデントが発生するといったいいくらかかるのか～インシデント損害額調査レポートについて～

調査研究部会 インシデント被害調査WG
Copyright 2020 NPO日本ネットワークセキュリティ協会

発表者紹介
神山 太朗

JNSA(日本ネットワークセキュリティ協会）
調査研究部会

インシデント被害調査WG リーダー

あいおいニッセイ同和損害保険
新種保険部

サイバー保険室室長

・損保業界の商品開発部門に20数年勤務
・入社以来、IT関連の保険（現サイバー保険）などの開発に携わる・ここ５、６年はサイバー保険の企画・開発・推進を担当
・JNSAにて、今年8月「インシデント損害額調査レポート」を公表したが、そのWGリーダーを務める
Copyright 2020 NPO日本ネットワークセキュリティ協会

目的～本レポートの意図するところ～

Copyright 2020

NPO日本ネットワークセキュリティ協会

レポートの目的（＆結論）
レポート「はじめに」中小企業においても数千万円単位、場合によっては億単位のお金がかかることを認識してる経営者は多くはないと想定されます。

経営者の方に～、実際に生じるコストを～お伝えし、セキュリティ対策の強化を図っていただくことを～インシデントの概要～インシデントとは、対応の流れ、発生時に生じる損害～

Copyright 2020

NPO日本ネットワークセキュリティ協会

インシデントとはインシデントの一例○マルウェア感染○DoS攻撃/DDoS攻撃
情報セキュリティの世界では、○ウェブサイトの改ざんシステムの運用におけるセキュ○従業員の持ち出しなど内部不正リティ上の問題として捉えられ○自然災害等による機器の損壊る事象（これらに繋がる可能性のある事象を含む）を意味する。 ○機器の故障○電子メール、FAX、郵便物の誤送信・誤発送○PCの紛失、USBメモリなどの記録媒体の紛失
等「インシデント（incident）」とは、「事件」「出来事」といった意味をもった語

Copyright 2020 NPO日本ネットワークセキュリティ協会

インシデント発生時の対応の流れ
３つのステップにカテゴライズ
対外的対応（外向きの対応）
発覚

初動対応
および調査

復旧および再発防止（内向きの対応）

収束

調査は継続して実施

Copyright 2020 NPO日本ネットワークセキュリティ協会

インシデント発生時において生じる損害
６つの損害にカテゴライズ
１．費用損害（事故対応損害）

被害発生から収束に向けた各種事故対応に関して自社で直接、費用を負担することにより被る損害（下記２～６に該当しないもの）

２．賠償損害情報漏えいなどにより、第三者から損害賠償請求がなされた場合の損害賠償金や弁護士報酬等を負担することにより被る損害

３．利益損害ネットワークの停止などにより、事業が中断した場合の利益喪失や、事業中断時における人件費などの固定費支出による損害

４．金銭損害ランサムウェア、ビジネスメール詐欺等による直接的な金銭の支払いによる損害

５．行政損害個人情報保護法における罰金、GDPRにおいて課される課徴金などの損害

６．無形損害風評被害、ブランドイメージの低下、株価下落など、無形資産等の価値の下落による損害、金銭の換算が困難な損害
Copyright 2020 NPO日本ネットワークセキュリティ協会

費用損害（事故対応損害）
被害発生から収束に向けた各種事故対応に関して自社で直接、費用を負担することにより被る損害

Copyright 2020

NPO日本ネットワークセキュリティ協会

初動対応および調査

事故原因・被害範囲調査費用◆対応
・速やかに、初動対応として、ネットワークの遮断、証拠保全等の着手が必要
・その後、インシデントの内容の分析・調査、特にサイバー攻撃の場合はフォレンジック調査（注）が必要（注）電子媒体の中に残された証拠を解析し、事故原因や影響・被害範囲の特定などの調査◆アウトソーシング先
インシデントレスポンス事業者◆コスト
３，４百万円～※JNSAのHPに、インシデントレスポンスを行う会員企業の一覧あり

対外的対応（外向きの対応）

コンサルティング費用◆対応
・顧客、取引先などに、インシデントの概要、対応方針等を示していく必要あり
・二次被害を勘案した慎重な対応が必要
・危機管理・メディア対応を行う専門業者へ依頼することが無難◆アウトソーシング先
危機管理コンサルティング会社（PR会社）
◆コスト
数十万円～

対外的対応（外向きの対応）

法律相談費用◆対応・リーガル面（個人情報保護法等の各種関係法令を勘案した対応）を考慮する必要あり
・法律事務所へ依頼するのが通例◆アウトソーシング先
法律事務所
◆コスト
数十万円～

対外的対応（外向きの対応）

広告・宣伝活動費用◆対応
・お詫び文を作成し、ホームページへの掲載、DM送付等の必要あり・新聞への出稿の検討必要性も◆アウトソーシング先
DM印刷・発送業者、新聞社◆コスト
・DM印刷・発送 1通あたりはがき80円～、封書100円～
・新聞（10cm2段）
全国紙240万円前後、地方紙50万円前後

対外的対応（外向きの対応）

コールセンター費用◆対応
・被害者やその家族だけでなく、その企業のすべての顧客、部外者等からの問い合わせに対応するため、電話による受付体制を整備する必要あり
・煩雑さ、業務の停滞を踏まえれば、コールセンター事業者への委託が一般的◆アウトソーシング先
コールセンター事業者◆コスト
１オペレーター換算で１か月120万円～⇒３か月対応、初月はオペレーター３席、２か月目以降は１席でも、600万円～

対外的対応（外向きの対応）

見舞金・見舞品購入費用◆対応
・情報漏えい事故が発⽣した場合、我が国においては、損害賠償金とは別に、お詫びの一環として見舞金・見舞品を送付するケースがある。
・券面額の500円のプリペイドカードを送付することが多い（多かった？）。
・否定的に受け止める被害者も一定数おり、対応の是非については慎重な判断が必要◆アウトソーシング先
プリペイドカード販売事業者◆コスト
作成料、送料を踏まえると１枚650円～

対外的対応（外向きの対応）

ダークウェブ調査費用◆対応
・自社以外の関係者にも大きな影響が発⽣するような情報が漏えいしたときは、これら関係者からの要請があることも含め、ダークウェブ上でその情報がやり取りされていないかを確認することの検討も必要
・ダークウェブの調査は、高度な専門性を要し、専門の事業者（ダークウェブ調査会社）への委託が必要◆アウトソーシング先
ダークウェブ調査会社◆コスト
数百～数千万円

復旧および再発防止（内向きの対応）

システム復旧費用◆対応
・情報システムが消失・改ざん・損傷した場合、データ復旧が必要。場合によってはハードウェアの復旧費用も…。
・データ復旧は主としてバックアップされたデータの復旧◆アウトソーシング先システムを構築したITベンダー等◆コスト
データ量、復旧を要する機器の範囲等その対応規模によって大きく異なることから、費用はケースバイケース

復旧および再発防止（内向きの対応）

再発防止費用◆対応
・収束に向けて重要となるのは、再発防止の対応。今後の再発を防ぐためその防止策を講じる必要あり・再発防止策は内向きの対応であると同時に、顧客、取引先等の関係者に対する外向きの対応ともいえる。
◆アウトソーシング先
セキュリティベンダー等◆コスト
再発防止策により、費用はケースバイケース

賠償損害
情報漏えいなどにより、第三者から損害賠償請求がなされた場合の損害賠償金や弁護士報酬等を負担することにより被る損害

Copyright 2020

NPO日本ネットワークセキュリティ協会

損害賠償金
情報漏えいなど、第三者に対して損害を与えた場合には損害賠償請求がなされ、損害賠償金を支出することが想定される
区分

損害賠償請求の内容

個人情報の 自社管理漏えい

情報漏えいの被害者個人からの損害賠償請求

他社からの管理委託

各種対応を実施した委託元からの損害賠償請求

クレジットカード情報の漏えい

クレジットカード会社からの不正利用や再発行費用にかかる損害賠償請求

他企業の機密情報の漏えい

将来利益等の損失を被った他企業からの損害賠償請求
Copyright 2020

NPO日本ネットワークセキュリティ協会

損害賠償金のコスト
個人情報の漏えい
自社管理の個人情報
被害者個人から慰謝料等についての損害賠償請求
個人情報漏えい1人あたりの平均損害賠償額(※)
調査年

1人あたり平均想定損害賠償額

2016年

31,646円
23,601円
29,768円

2017年
2018年
3か年平均

他社から管理委託を受けた個人情報
委託元企業が実施した各種事故対応に要したコストについて、損害賠償請求「求償」がなされる
委託元にも一定の責任があるとして過失相殺が認められるケースもあるが、損害賠償金の額は中小企業であったとしても数千万～数億円

28,308円（※）JNSAセキュリティ被害調査WGの調査結果より作成

Copyright 2020 NPO日本ネットワークセキュリティ協会

損害賠償金のコスト
クレジットカード情報の漏えい
カード会社から加盟店に対し再発行に要した費用や不正利用の額についての損害賠償請求がなされる可能性
不正利用の平均被害額は１枚あたり約10万円
コスト（例）
クレジットカード情報が1,000件漏えいし、その30%が不正利用された場合
不正利用額
1,000件×10万円×30％＝3,000万円

再発行手数料
1,000件×1,100円＝110万円

合計3,110万円の損害賠償金が発生

出典：三井住友カード：【ヒトトキ調査】クレジットカードの不正利用被害にあった500人に聞いた！
私のカードでテーマパークのチケットが買われていた？？ https://www.smbc-card.com/mem/hitotoki/learn/survey_abuse.jsp

Copyright 2020 NPO日本ネットワークセキュリティ協会

弁護士費用等その他各種費用
法的課題への対処には弁護士への委任検討が必要
訴訟に発展する前の和解交渉や訴訟に発展した場合には、民事訴訟法に基づく訴訟費用や、裁判に対応するための各種人件費等も発生
弁護士費用（日本弁護士連合会旧基準）
経済的利益の額

着手金

報酬金

300万円以下

８％

16％

300万円超3,000万円以下 ５％＋９万円

10％＋18万円

3,000万円超３億円以下

３％＋69万円

６％＋138万円

３億円超30億円以下

２％＋369万円

４％＋738万円

30億円超協議により決定 協議により決定

例
損害賠償請求訴訟の額が1億円である場合、• 着手金は369万円（１億円×３％＋69万円）• 報酬金は738万円（１億円×６％＋138万円）
Copyright 2020NPO日本ネットワークセキュリティ協会

利益損害
事業が中断した場合の利益喪失や、事業中断時における人件費などの固定費支出による損害

Copyright 2020

NPO日本ネットワークセキュリティ協会

利益損害
事業中断による機会損失
多くのシステムが生産・営業活動に直結している現状において、システムの停止は事業中断につながり、売上高の減少をもたらす
利益損害のイメージ
項目

平時

事業中断時

差額

売上高

10億円

６億円

▲4億円

固定費

２億円

２億円

―

人件費、賃料等

変動費

７億円

4.2億円

2.8億円

１億円

▲0.2億円▲1.2億円

材料費、電気代等

営業利益（損失）

利益損害 ≠ 売上高の減少額
変動費の支出を免れるケースでは利益損害と売上高の減少額は一致しない
営業利益の差である1.2億円が利益損害となる▲0.2億円－1億円＝▲1.2億円
Copyright 2020

NPO日本ネットワークセキュリティ協会

金銭損害
ランサムウェアをはじめとするマルウェア感染、ビジネスメール詐欺、インターネットバンキングでのなりすまし等による直接的な金銭の支払いによる損害

Copyright 2020

NPO日本ネットワークセキュリティ協会

金銭損害
インシデントにより発生する直接的な金銭損害
サイバー犯罪検挙件数推移（国内）
12500

9911

10000
7500

7334

6933

8113 7905 8096 8324

9014 9040

9519

サイバー犯罪の検挙件数が増加

サイバー犯罪がより身近なものになっていることを示しており、被害を受ける可能性が高まっている

5741

5000
2500
0

（※）警察庁の公開資料より作成
2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020
Copyright 2020

NPO日本ネットワークセキュリティ協会

ランサムウェアによる身代金
ファイルの暗号化、機密情報の暴露をたてに身代金要求
ランサムウェア攻撃者の攻撃手法の凶悪化とともにランサムウェア被害の発生件数と被害金額が増加
2021年1Qの身代金平均額は$220,298（約2,400万円）（ Coveware社）
発生件数と被害金額（米国）件数$35,000

ランサムウェアによって支払われた身代金

金額

2474

千ドル単位

$30,000$25,000

3000
2500

平均値: $220,298
中央値: $78,398

2000$20,000
1500$15,000
1000$10,000

500$5,000
$00

2014

2015

2016

2017

参考：Internet Crime Complaint Center (IC3) のデータをもとに作成
https://www.ic3.gov/

2018

2019

2020
出典：Coveware
https://www.coveware.com/blog/ransomware-attack-vectors-shift-as-new-software-vulnerability-exploits-aboundビジネスメール詐欺（BEC）
取引先などになりすました電子メールを送って送金を促す詐欺
組織内外における金銭の授受を装うため、高額な金銭損害につながりやすく、組織が被害に遭った際の影響が大きい
コスト（損害額）
送金金額に違和感を覚えづらい、日常的に授受される金額の被害が多いと考えられる

国内組織に関連する被害額の大きな事例
2017 大手航空会社
2019

大手自動車部品メーカーの欧州の子会社

2019 大手新聞社の米国の子会社

取引先の担当者を装った第三者からの偽メールにより約3億8400万円の詐欺被害
外部の第三者による虚偽の指示により約40億円の資金が流出
経営幹部を装った攻撃者による虚偽の指示に基づいて、米子会社の資金約2,900万ドル（約32億円）が流出
Copyright 2020 NPO日本ネットワークセキュリティ協会

インターネットバンキングによる被害金額
インターネットバンキングの悪用による不正送金
攻撃者にインターネットバンキングの認証情報を窃取された結果、銀行預金を不正送金・不正利用される被害が発生

法人顧客の１件当たりの平均被害額は約140万円（出典：一般社団法人全国銀行協会）

インターネット・バンキングによる預金等の不正払戻し件数・金額について（出典：一般社団法人全国銀行協会）
出典：一般社団法人全国銀行協会 (2021) : 盗難通帳、インターネットバンキング、盗難・偽造キャッシュカードによる預金等の不正払戻し件数・金額等に関するアンケート結果および口座不正利用に関するアンケート結果について https://www.zenginkyo.or.jp/news/2021/n031101/

行政損害
個人情報保護法において命令違反等により科される罰金、GDPR（EU一般データ保護規則）等において課される課徴金等の損害

Copyright 2020

NPO日本ネットワークセキュリティ協会

行政損害
行政上の義務違反に対する金銭的制裁
世界各国には、個人情報保護に関する法令が存在個人情報が漏えいした場合には、これら法令に基づき行政当局への報告など各種対応が必要
アウトソーシング先• 大手弁護士事務所• 外資系コンサルティングファーム• 一部のITベンダーなど
Copyright 2020

NPO日本ネットワークセキュリティ協会

日本企業に関連する
主なプライバシー関連法令と罰則の例
地域

法令通称

罰金等の額

日本

個人情報保護法EU

GDPR

データベース等不正提供罪、委員会による命令違反の場合、最大1億円
違反内容により次の①または②①「情報漏えいの発生時に監督機関へ72時間以内に報告しなかった」「データ保護責任者の任命が義務付けられているにもかかわらず任命していなかった」などの場合
最大1,000万ユーロまたは全世界年間売上高の2％のいずれか高い額②「個人データの処理に関する原則に違反した」「監督機関からの命令に従わなかった」などの場合
最大2,000万ユーロまたは全世界年間売上高の4％のいずれか高い額
米国
（加州）

CCPA

消費者１名あたり最大2,500ドル（故意だと7,500ドル）
Copyright 2020 NPO日本ネットワークセキュリティ協会

無形損害
風評被害、ブランドイメージの低下、株価下落など、無形資産等の価値の下落による損害、金銭の換算が困難な損害

Copyright 2020

NPO日本ネットワークセキュリティ協会

ブランドイメージ毀損
損害の定量的な評価は困難
毀損の度合いは、その後のインシデント復旧時間やインシデントが及ぼす影響範囲、対象企業の対応内容等によって大きく変動コスト（損失額）
企業の売上高に対し数十パーセント程度
ブランドイメージ毀損をきっかけとしたサービスの廃止・長期間の利用停止例
2019 IT企業・ファイル交換サービス

大規模な不正アクセス被害をきっかけにサービスを廃止

2019 大手流通業・バーコード決済サービス

大規模な不正利用事件によりサービスを廃止
認証機能の不備により不正引き出し被害が発生。
一部のサービスの提供を中断

2020 大手通信業・電子マネー口座からの不正引き出し

Copyright 2020

NPO日本ネットワークセキュリティ協会

株価下落
インシデント影響が、企業の株価にまで及ぶ可能性
下落率は、発生したインシデントの復旧時間、インシデントが及ぼす影響範囲、対象企業の対応内容などによって大きく変動
企業の格付けに影響が及ぶと資金調達コストが上昇する可能性も考えられる
インシデント被害と株価への影響例
2020 大手自動車メーカー・サイバー攻撃

株価が一時5%下落

2020 大手ゲーム会社・サイバー攻撃
2021 婚活サイト運営会社情報漏えい

株価が一時16%下落
株価が事件発覚前より43％下落（2021.7時点）
Copyright 2020

NPO日本ネットワークセキュリティ協会

モデルケース

Copyright 2020

NPO日本ネットワークセキュリティ協会

モデルケース

軽微なマルウェア感染
従業員がメールに添付されていたファイルを開いたところ、マルウェアに感染
至急、出入りのITベンダー経由で、インシデントレスポンス事業者に対応を依頼
感染内容、被害範囲等の調査を実施

損害額：600万円
内訳

調査の結果、メールを介して感染が拡大するマルウェアであり、従業員端末3台とサーバー1台の感染が判明• 事故原因・被害範囲調査
500万円

個人情報の漏えいのおそれなど、顧客影響等はないことが確認◼ 端末3台、サーバー1台の調査• 再発防止策：100万◼ メールフィルタリングサービスの導入

その他のモデルケース

Copyright 2020 NPO日本ネットワークセキュリティ協会

さいごにぜひ、報告書本紙もご一読いただき、ご活用いただけましたら幸いです

Copyright 2020 NPO日本ネットワークセキュリティ協会

Copyright 2020

NPO日本ネットワークセキュリティ協会