情報漏洩とは、企業や個人が管理している情報が、意図しない形で外部の第三者に渡ってしまうことです。特定の製品やサービスの名前ではないため「使い方」や「料金」はありません。実務で問われるのは、何が原因で起き、どんな損害が出て、どう防ぐかです。
情報漏洩とは何か
漏洩する情報には、氏名・住所などの個人情報、本人確認書類の画像、社内の機密資料、IDやパスワードなどの認証情報があります。経路は主に4つです。外部からの不正アクセス、設定ミスで公開状態になったまま放置されること、内部関係者による持ち出し、誤送信や紛失といった人為的ミスです。
エンジニアにとって大事なのは、「保存しているデータはすべて漏洩しうる」という前提で設計することです。アクセス権限を最小限にすること、保存時と通信時の暗号化、ログの監視、不要なデータを確実に削除することが基本になります。
最近の事例
画面キャプチャ共有サービスのGyazoでは、6.9億件の情報漏洩が判明したと日経クロステックが報じました。漏洩の対象には、すでに削除されたデータも含まれていました。漏洩した情報の種類や原因は、見出しからは分かりません。当サイトの見方としては、「削除したはずのデータが残っていた」点が、データ削除の設計を問われる大きな問題になると考えます。
カーシェアリングなどを手がけるタイムズカーの情報漏洩では、運転免許証などの本人確認書類の流出が160万件に上るとImpress Watchが報じました。本人確認書類には氏名・住所・生年月日・顔写真がまとめて載っているため、なりすましに悪用されるおそれがあります。パスワードのように変更して無効にすることもできません（これは当サイトの補足です）。
企業にとっての費用と影響
情報漏洩で「料金」に当たるのは、漏洩を起こした企業が負うコストです。原因の調査と復旧、利用者への通知と問い合わせ対応、場合によっては補償、さらに信用低下による利用者や取引の減少があります。金額は事案ごとに大きく違うため、ここでは相場を示しません。
日本では、2022年4月施行の改正個人情報保護法により、一定の条件に当てはまる漏洩は個人情報保護委員会への報告と本人への通知が義務になりました。条件には、要配慮個人情報の漏洩、財産的な被害のおそれ、不正な目的による漏洩、1,000人を超える漏洩などがあります。企画・DX担当者は、個人情報を扱うサービスを企画する段階から、この義務を前提に体制を組む必要があります。
対策と関連する市場
技術面の対策には、暗号化、多要素認証、クラウド設定の点検、DLP（データ損失防止）製品の導入があります。運用面では、保存するデータを必要最小限にする、保存期間を決めて確実に消す、従業員を教育する、といった対策があります。上の2つの事例は、「消したはずのデータ」と「本人確認書類の保管」という、持っていること自体がリスクになるデータの問題を示しています。
投資家から見ると、情報漏洩は1つの製品市場ではありません。セキュリティ製品、監視サービス、サイバー保険など、複数の分野の需要を生む要因です。個別の企業名や市場規模は今回の情報源では確認できないため、挙げていません。
