情報漏えいとは
情報漏えいとは、企業や組織が管理する個人情報や機密情報が、権限のない第三者に渡ったり、外部へ流出したりすることです。製品やサービスの名前ではありません。そのため「使い方」や「料金」は存在しません。この語で検索した人が知りたいのは、多くの場合「何が起きたのか」「自社に関係があるか」「防ぐのにいくらかかるか」です。
対象になる情報は幅広く、次のようなものがあります。
- 氏名・メールアドレス・住所などの個人情報 - 口座番号などの金融情報 - 取引先情報や設計資料などの営業秘密
主な原因と手口
原因は大きく 4 つに分かれます。
- 外部からの不正アクセス - 内部の人による持ち出し - メールの誤送信や設定ミスなどの過失 - PC や記録媒体の紛失・盗難
エンジニアが押さえておくべき点があります。侵入経路は自社のシステムだけでなく、委託先や利用しているクラウドサービスの側にもあることです。たとえば自治体の防災情報配信のように、多くの組織が共通で使うシステムが侵害されると、被害は複数の利用者へ一度に広がります。
最近の国内事例
当サイトで取り上げた事例です。いずれも報道時点で、見出しから確認できた範囲に限ります。
- 防災情報配信システム：さいたま市・横須賀市などが利用するシステムに不正アクセスがありました。全国でメールアドレスが最大 313 万件漏えいした可能性があります（ITmedia NEWS）。提供事業者、侵入の手口、影響を受けた自治体の全容は報道時点では分かっていません。 - ローソン：215 万件の情報が漏えいしました。同じ報道で、ココナラと Sansan でも情報漏えいが起きたと伝えられています（CNET Japan）。 - 大和証券：約 22 万件の情報が漏えいした可能性があります。顧客約 11 万人分の口座番号も含まれるとしています（ITmedia NEWS）。
業種は小売、スキルマーケット、名刺管理、証券、自治体とばらばらです。特定の業界に限った問題ではないことが分かります。
企業の対策と費用（料金）
企画・DX 担当者がまず押さえるべきなのは、どこにどの情報があるかの把握です。外部サービスや委託先も含めて洗い出します。新しく SaaS を導入するときは、次の 2 点を確認項目に入れます。
- 扱うデータの種類 - 事業者のセキュリティ体制
技術的な対策には、次のようなものがあります。
- アクセス権限を必要最小限にする - 多要素認証を導入する - 通信と保存データを暗号化する - ログを監視する - データの外部送信を検知・遮断する DLP（Data Loss Prevention）製品を使う
費用は製品や組織の規模で大きく変わります。確かな根拠がないため、本記事では具体的な金額は示しません。
法令面の義務もあります。個人情報保護法では、一定の条件にあたる個人データの漏えいが起きた場合、個人情報保護委員会への報告と本人への通知が義務になっています（2022 年 4 月施行の改正法）。
投資家の視点：誰が関わり、何が市場か
情報漏えいは誰かが作る製品ではありません。関連する市場は、漏えいを防ぐセキュリティ製品とサービスです。DLP、EDR、ID 管理、脆弱性診断などの分野に多くの事業者がいます。
上の事例のように、業種を問わず被害が続いています。これがセキュリティ対策の需要を支える要因の一つになると当サイトは見ています。ただし、これは当サイトの推測であり、市場規模などのデータに基づく評価ではありません。
