セキュリティ被害調査ワーキンググループ 目的 情報セキュリティインシデントにおける被害の定量化 適切な情報セキュリティに対する投資判断 投資対効果の提示 企業における情報セキュリティインシデントに係る被害額 投資額などの実態をアンケートやヒアリングによって調査した この調査結果をもとに 情報セキュリ

Transcription

1 Network Security Forum 2014 A3 講演 個人情報漏えいインシデントの 調査結果に基づく 最近のインシデント傾向について 大谷尚通 ( 株 )NTT データ 2014 年 1 月 29 日 セキュリティ被害調査 WG 1 / 33

2 セキュリティ被害調査ワーキンググループ 目的 情報セキュリティインシデントにおける被害の定量化 適切な情報セキュリティに対する投資判断 投資対効果の提示 企業における情報セキュリティインシデントに係る被害額 投資額などの実態をアンケートやヒアリングによって調査した この調査結果をもとに 情報セキュリティインシデントに関する被害額算出モデル を策定 一年間に報道された個人情報漏えいインシデント ( 事件 事故 ) を調査 分析し JO モデル (JNSA Damage Operation Model for Individual Information Leak) を用いて想定損害賠償額などを推定し 報告書を公開 情報セキュリティ分野において被害の定量化や投資対効果の考え方をもっと普及 発展させたい 2 / 33

3 2012 年情報セキュリティ インシデントに関する調査 ~ 個人情報漏えい編 ~ 共同調査 : 情報セキュリティ大学院大学原田研究室 廣松研究室 3 / 33

4 年個人情報漏えいインシデント 1 期間 :2012 年 1 月 1~12 月 31 日 ( 12 ヶ月分 ) インターネットニュースなどで報道されたインシデントの記事 組織からリリースされたインシデントの公表記事などをもとに集計 2012 年データ 漏えい人数漏えい件数想定損害賠償総額一件当たりの漏えい人数 一件当たり平均想定損害賠償額一人当たり平均想定損害賠償額 972 万 65 人 2357 件 2132 億 6405 万円 4245 人 9313 万円 4 万 4628 円 4 / 33

5 年個人情報漏えいインシデント 3 期間 :2012 年 1 月 1~12 月 31 日 ( 12 ヶ月分 ) インターネットニュースなどで報道されたインシデントの記事 組織からリリースされたインシデントの公表記事などをもとに集計 漏えい人数漏えい件数想定損害賠償総額一件当たりの漏えい人数 一件当たり平均想定損害賠償額一人当たり平均想定損害賠償額 2012 年データ 972 万 65 人 2357 件 2132 億 6405 万円 4245 人 9313 万円 4 万 4628 円 2011 年データ (2012 年比較 ) 628 万 4363 人 (+343 万 5702 人 ) 1551 件 (+806 件 ) 1899 億 7379 万円 (+232 億 9026 万円 ) 4238 人 (+7 人 ) 1 億 2,810 万円 (-3497 万円 ) 4 万 8533 円 (-3905 円 ) 6 / 33

6 年インシデント トップ 10 No. 漏えい人数業種原因 1 76 万 0000 人情報通信業設定ミス 金融業がやや多い 2 40 万 6632 人金融業, 保険業管理ミス 3 17 万 1518 人情報通信業不正アクセス 4 12 万 4471 人金融業, 保険業管理ミス 5 12 万 1191 人公務 ( 他に分類されるものを除く ) 不正な情報持ち出し 6 11 万 0000 人サービス業 ( 他に分類されないもの ) 不正アクセス 7 10 万 0000 人金融業, 保険業管理ミス 8 9 万 6000 人金融業, 保険業管理ミス 9 9 万 5689 人製造業内部犯罪 内部不正行為 10 8 万 0000 人運輸業, 郵便業管理ミス 数年特徴に変化なし 2007 年以降 管理ミスが多い 組織内の情報管理の強化 ( 内部統制対応 ) 近年は 100 万人を超える大規模なインシデントの発生が無い 7 / 33

7 3.1 業種別の漏えい件数 1 卸売業, 小売業運輸業, 郵便業 34 件 37 件 1.4% 1.6% サービス業 ( 他に分類されないもの ) 38 件 1.6% 電気 ガス 熱供給 水道業 50 件 2.1% 情報通信業 83 件 3.5% 医療, 福祉 106 件 4.5% 学術研究, 専門 技術サービス業 24 件 1.0% 製造業 26 件 1.1% 不動産業, 物品賃貸業 23 件 1.0% 建設業 17 件 0.7% 生活関連サービス業, 娯楽業 14 件 0.6% 宿泊業飲食サービス業 5 件 0.2% 農業, 林業 2 件 0.1% 複合サービス事業 8 件 0.3% 分類不能の産業 8 件 0.3% 2011 年 2012 年 (N=1551 件 ) (N=2357 件 ) 公務 (516 件 ) 金融業, 保険業 (332 件 ) 教育, 学習支援業 (216 件 ) 医療, 福祉 (109 件 ) 金融業, 保険業 (1094 件 ) 公務 (486 件 ) 教育, 学習支援業 (302 件 ) 医療, 福祉 (106 件 ) 教育, 学習支援業 302 件 12.8% 金融業, 保険業 1,094 件 46.4% 例年 上位 4 業種は同じ 公務 ( 他に分類されるものを除く ) 486 件 20.6% 8 / 33

8 3.1 業種別の漏えい件数 ( 経年 )2 公務 ( 他に分類されるものを除く ) サービス業 ( 他に分類されないもの ) 2,000 件 金融業, 保険業 の件数が大幅増加 486 件 106 件 複合サービス事業医療, 福祉教育, 学習支援業生活関連サービス業, 娯楽業 1,500 件 1,000 件 500 件 0 件 398 件 555 件 516 件 302 件 469 件 65 件 件 64 件 件件 件 139 件 109 件 件件 88 件 ,094 件 191 件件 件件 91 件 216 件 84 件 52 件 件 178 件件 件 件 36 件 73 件 4 件件 88 件 33 件 136 件 件 420 件 332 件 件 70 件 17 件 6 件 73 件 件 件 10 件 件 件件 件 件 件 81 件 55 9 件 件件 80 件 95 件件 83 件 件 件 2005 年 (n=1032) 2006 年 (n=993) 2007 年 (n=864) 2008 年 (n=1373) 2009 年 (n=1539) 2010 年 (n=1679) 2011 年 (n=1551) 2012 年 (n=2357) 宿泊業, 飲食サービス業学術研究, 専門 技術サービス業不動産業, 物品賃貸業金融業, 保険業卸売業, 小売業運輸業, 郵便業情報通信業電気 ガス 熱供給 水道業製造業建設業農業, 林業 9 / 33

9 参考 : 箱ひげ図 ばらつきのあるデータをわかりやすく表現するための統計学的グラフ 外れ値 最大値 1.5h データ個数の 75% 数値の差 =h 中央値 データ個数の 25% 1.5h 外れ値 最小値 10 / 33

10 3.1 業種別の漏えい件数 3( 箱ひげ図 ) 対数軸 外れ値 最大値は 1000 人程度 100~1000 人 / 件が中心 規模が大きめ 1~10 人 / 件規模が中心 最小値は 1 人から 11 / 33

11 3.1 業種別の漏えい件数 4 ( 箱ひげ図 ) 対数軸 10~100 万人規模の漏えいに注意 ば特らにつ外きれが値大のきい 大規模なインシデントが発生する恐れあり 12 / 33

12 3.2 原因別の漏えい件数 1 内部犯罪 内部不正行為 30 件 1.3% 不正アクセス 35 件 1.5% 不正な情報持ち出し 60 件 2.5% 盗難 88 件 3.7% 設定ミス 23 バグ セキュ件 1.0% リティホール 28 件 1.2% 紛失 置忘れ 189 件 8.0% 誤操作 474 件 20.1% ワーム ウイルス 9 件 0.4% その他 8 件 0.3% 管理ミス 1,391 件 59.0% 目的外使用 11 件 0.5% 不明 11 件 0.5% 2011 年 2012 年 (N=1551 件 ) (N=2357 件 ) 誤操作 (539 件 ) 管理ミス (497 件 ) 紛失 置忘れ (213 件 ) 盗難 (103 件 ) 管理ミスが増加 管理ミス (1391 件 ) 誤操作 (474 件 ) 紛失 置忘れ (189 件 ) 盗難 (88 件 ) 管理ミス (= 誤廃棄 ) 誤操作 (= ケアレスミス ) による漏えいが多い 13 / 33

13 3.1 業種別の漏えい件数 ( 経年 )2 2,000 件 1,500 件 1,000 件 500 件 0 件 件 128 件 434 件 266 件 2005 年 (n=1032) 81 件 82 件 件 290 件 68 件 176 件 34 件 157 件 80 件 305 件 60 件 483 件 管理ミス の件数が大幅増加 53 件 784 件 14 件 369 件 73 件 609 件 77 件 497 件 17 件 22 件 543 件 539 件 1,391 件 177 件 194 件 211 件 189 件 件件 189 件 143 件 154 件 件件 128 件 件 88 件件 年 (n=993) 2007 年 (n=864) 2008 年 (n=1373) 2009 年 (n=1539) 2010 年 (n=1679) 2011 年 (n=1551) 14 / 件 23 件 474 件 2012 年 (n=2357) 不明 その他 内部犯罪 内部不正行為 目的外使用 不正な情報持ち出し 管理ミス 設定ミス 誤操作 紛失 置忘れ 盗難 不正アクセス ワーム ウイルス バグ セキュリティホール 管理ミス 誤操作 紛失 置き忘れ のヒューマンエラー系のインシデントが 3 大要因

14 3.2 原因別の漏えい件数 3( 箱ひげ図 ) ばらつきが大きい 外れ値も多い 漏えい人数が多め メール誤送信 ( 小規模 ) 15 / 33

15 3.3 媒体別の漏えい件数 インターネット 118 件 5.0% 電子メール 130 件 5.5% PC 本体 43 件 1.8% その他 63 件 2.7% 不明 9 件 0.4% 2011 年 2012 年 (N=1551 件 ) (N=2357 件 ) 紙媒体 (1065 件 ) USB 等可搬記録媒体 (156 件 ) 紙媒体 (1384 件 ) USB 等可搬記録媒体 (610 件 ) 電子メール (126 件 ) 電子メール (130 件 ) USB 等可搬記録媒体 610 件 25.9% 紙媒体 1,384 件 58.7% インターネット (68 件 ) 順位に変化なし インターネット (118 件 ) 紙媒体による漏えいが多い ( 例年通り ) USB が増加 16 / 33

16 3.4 一件当たりの漏えい人数 1 1 万 ~10 万人未満 261 件 11.1% 10 万 ~100 万人未満 7 件不明 0.3% 67 件 2.8% 1000~1 万人未満 344 件 14.6% 1~10 人未満 572 件 24.3% 100~1000 人未満 343 件 14.6% 10~100 人未満 763 件 32.4% 1000 人 / 件未満の小さなインシデントの件数が約 70% を占める 17 / 33

17 3.4 一件当たりの漏えい人数 ( 経年 )2 800 件 700 件 644 件 643 件 763 件 10~100 人未満 600 件 548 件 572 件 500 件 400 件 300 件 200 件 100 件 0 件 479 件 422 件 407 件 357 件 344 件 314 件 314 件 332 件 343 件 308 件 290 件 320 件 281 件 287 件 269 件 300 件 261 件 226 件 件件 186 件 136 件 140 件 137 件 111 件 122 件 119 件 119 件 98 件 97 件 44 件 51 件 81 件 70 件 件 67 件 件 件 件 1 件 4 件 2 件 0 件 1 件 10 1 件 43 件 70 件 2005 年 2006 年 2007 年 2008 年 2009 年 2010 年 2011 年 2012 年 (n=1032) (n=993) (n=864) (n=1373) (n=1539) (n=1679) (n=1551) (n=2357) 1000~1 万人未満 1 万 ~10 万人未満 1~10 人未満 10~100 人未満 100~1000 人未満 1000~1 万人未満 1 万 ~10 万人未満 10 万 ~100 万人未満 100 万人以上不明 18 / 33

18 3.5 一件当たりの想定損害賠償額 10~100 億円未満 9 件 0.4% 不明 67 件 2.8% 1 万円未満 88 件 3.7% 1~10 億円未満 453 件 19.2% 1~10 万円未満 390 件 16.5% 1000~1 億円未満 198 件 8.4% 100~1000 万円未満 649 件 27.5% 10~100 万円未満 502 件 21.3% 想定損害賠償額が 100~1000 万円未満のインシデントの件数が増加 19 / 33

19 3.6 漏えい人数と件数 ( 経年 ) 3000万人 3,053 万人 2,357 件 2,500 件 2500万人 2,224 万人 1,679 件 2,000 件 2000万人 1500万人 1000万人 500万人 0万人 1,032 件 993 件 881 万人 864 件 1,373 件 723 万人 572 万人 558 万人 628 万人 972 万人 年年年年年年年年 漏えい人数は ほぼ横ばい 1,539 件 1,551 件 漏えい人数インシデント件数 1,500 件 1,000 件 500件 0件 件数はもっとも多い 公表されたインシデント 20 / 33

20 3.7 漏えい人数と損害賠償総額 ( 経年 ) 2 兆円 2223 万 6576 人 3053 万 1004 人 合計 / 損害賠償総額 ( 万円 ) 漏えい人数 3000 万人 2500 万人 1 兆 5000 億円 2000 万人 1 兆円 2 兆 2710 億 8943 万円 1500 万人 881 万 4735 人 972 万 65 人 1000 万人 723 万 2763 人 628 万 4363 人 5000 億円 572 万 1498 人 557 万 9316 人 5328 億 万円 500 万人 3890 億 万円 2132 億 万円 4570 億 86.3 万円 2366 億 億 9067 万円万円 0 円 1899 億 万円 0 人 2005 年 2006 年 2007 年 2008 年 2009年 2010年 2011年 2012年 (n=1032) (n=993) (n=864) (n=1373) (n=1539) (n=1579) (n=1551) (n=2357) 漏えい人数 想定損害賠償総額ともに以前より変化が少ない 21 / 33

21 年調査結果のまとめ 個人情報漏えいインシデント件数 ( 報告件数 ) と漏えい人数が増加 金融業, 保険業 の件数の増加が顕著 地方銀行からの報告が増加 監督官庁の指示などが影響? その他の要素は 前年からあまり変化していない 100 万人規模の大規模な個人情報漏えいインシデントは発生していない 個人情報漏えいの基本的な対策は 組織 企業へ広く行き渡った ( 対策が一巡した ) 管理ミス が増加 管理ミス = 計 1391 件のうち 1065 件は 金融業, 保険業 増加の影響 ヒューマンエラー系のインシデント 誤操作 紛失 置忘れ の件数はほぼ例年通り 一定の割合で発生するため インシデントの発生を完全に防ぐことが困難 組織 企業が保有する個人情報の漏えいよりも その他からの個人情報の漏えいのリスクが増大中 22 / 33

22 9. 新たな個人情報の漏えいリスク 1 集約された個人情報データベースからの過失による漏えいだけでなく 個人の IT 環境を直接攻撃して個人情報を詐取するリスクが増加 企業 個人 IT 環境 個人情報 個人情報 保存 個人情報 過失 管理ミス誤操作紛失 置き忘れ クラウドサービス 不正アクセスワーム ウイルス 攻撃 外部からの不正侵入 攻撃 ウイルス不正アプリ スマホタブレット 不正アクセスワーム ウイルス ウイルス不正アプリ パソコン その他 フィッシング 23 / 33

23 9. 新たな個人情報の漏えいリスク 2 個人の利用率の高い複数のクラウドサービスの存在と パスワードの使い回しの問題から リスクが顕在化 企業 組織 個人情報 保存 個人 IT 環境 個人情報 ウイルス不正アプリ ウイルス不正アプリ リスト型アカウントハッキング クラウドサービス 不正アクセスワーム ウイルス 外部からの不正侵入 スマホタブレット パソコン 企業側には新しいリスクに対しても適切な対応を期待できる 24 / 33

24 9. 新たな個人情報の漏えいリスク 3 ウイルス例 : スマホ版 Zeus 悪意のあるアプリ マッドウェア 例 : the Movie 個人 IT 環境 ウイルス不正アプリ スマホタブレット 個人情報 ウイルス不正アプリ パソコン 基本的な個人情報 金銭に関わる個人情報 ウイルス, スパイウェア例 :Zeus, Citadel 悪意のあるアプリ アドウェア スパイウェア スマホアプリへの不注意 不正アクセスワーム ウイルス その他 標的型攻撃 ( メール ) のコモディティ化 個人のセキュリティ意識の向上が課題 フィッシング 水飲み場型攻撃 (Drive by Download) のコモディティ化 Web 待ち伏せ攻撃 25 / 33

25 10. セキュリティ被害調査の方向 企業 組織の機密情報 / 個人情報漏えいリスクの調査 情報セキュリティ大学院大学と連携して実施 個人特性とインシデント発生確率の調査 個人 IT 環境からの個人情報漏えいリスクの調査 リスク定量化に向けて調査 情報セキュリティ被害がある限り リスク定量化や投資対効果 (ROSI) の 確立に向けて活動します 26 / 33

26 27 / 33