特 集 個 人 情 報 漏 えいインシデントを 減 らすためには セキュリティ 被 害 調 査 WG ( 株 )NTTデータ 大 谷 尚 通 1. はじめに 2008 年 は 2007 年 と 比 較 して 個 人 情 報 漏 えいインシデント( 以 下 インシデントとする)の 件 数 が 大 幅 に 増 加 し 1,373 件 (+509 件 )となった これは 教 育 学 習 支 援 業 金 融 保 険 業 サービス 業 運 輸 業 など 多 くの 業 種 において 全 体 的 にインシデント 件 数 が 増 加 したことによる 図 1のようにインシデント 件 数 が 過 去 最 多 にもかかわらず 漏 えい 人 数 は 723 万 人 と 個 人 情 報 保 護 法 施 行 後 では 最 も 少 なく かつ 初 めて 減 少 に 転 じた これは 漏 えい 人 数 が100 万 人 を 大 きく 超 える 大 規 模 なインシデントが 発 生 しなかったことが 大 き く 影 響 している 詳 細 は 2009 年 7 月 に 公 開 した 2008 年 情 報 セキュリティインシデントに 関 する 調 査 報 告 書 をご 覧 いただきたい つまり2008 年 は 小 規 模 なインシデントが 多 く 発 生 し 公 表 された 年 である 3000 3053 1373 1400 2 2500 2000 1500 1000 500 42 155 63 57 366 1032 881 2224 993 864 723 1200 1000 800 600 400 200 0 2002 2003 2004 2005 2006 2007 2008 0 図 1:インシデント 件 数 と 漏 えい 人 数 ( 経 年 ) 2. 小 規 模 な 個 人 情 報 漏 えい 件 数 1 件 あたりの 漏 えい 人 数 が100 人 未 満 の 漏 えい 件 数 は 全 体 の 約 60%を 占 める 小 規 模 なインシデントは 公 表 されない 場 合 もあるため 実 際 の 件 数 と 割 合 は 図 2よりも 高 いと 予 想 される 一 方 5000 人 以 上 の 漏 え い 件 数 は わずか6%である 図 2: 人 数 区 分 別 の 漏 えい 件 数
SPECIAL COLUMN 業 種 別 のインシデント 件 数 の 人 数 区 分 を 図 3に 示 す 1 件 あたりの 漏 えい 人 数 が100 人 以 下 の 漏 えい 件 数 は 公 務 が469 件 中 375 件 (80.0%)でもっとも 多 い 次 いで 金 融 保 険 業 の159 件 中 92 件 (57.9%) 教 育 学 習 支 援 業 の178 件 中 72 件 (40.4%)である 公 務 は 100 人 以 下 のインシデント 件 数 の 占 める 割 合 も 他 の 業 種 と 比 べて 最 も 高 い 次 に 割 合 の 高 い 電 気 ガス 熱 供 給 水 道 業 の66.7%(26 件 )との 差 も 大 きい Special Column 3 JNSA Press 図 3: 人 数 区 分 別 の 漏 えい 件 数 ( 業 種 別 ) 業 種 別 によって 小 規 模 なインシデントの 発 生 確 率 に 違 いがあるのはなぜだろうか 各 業 種 において 業 種 全 体 で 扱 う 個 人 情 報 の 総 量 100 人 以 下 の 個 人 情 報 を 取 り 扱 う 業 務 を 考 察 してみる 個 人 情 報 を 取 り 扱 う 業 務 は 個 人 情 報 の 授 受 や 持 ち 出 す 業 務 を 想 定 した これらの 値 を 正 確 に 見 積 もって 比 較 することはできな いため それぞれの 規 模 感 を 表 現 した 業 種 全 体 で 扱 う 個 人 情 報 の 量 は 以 下 のように 想 定 した 公 務 : 日 本 国 民 の 人 数 に 比 例 金 融 保 険 業 : 日 本 国 民 の 人 数 に 比 例 電 気 ガス 熱 供 給 水 道 業 : 世 帯 数 教 育 学 習 支 援 業 : 就 学 者 数 同 様 に 各 業 種 において100 人 未 満 の 個 人 情 報 を 扱 う 通 常 業 務 の 頻 度 を 考 察 してみた 公 務 : 住 民 票 の 発 行 税 金 年 金 のお 知 らせなどの 郵 送 等 金 融 保 険 業 : 窓 口 での 振 込 手 続 き 口 座 開 設 手 続 き 等
個 人 情 報 漏 えいインシデントを 減 らすためには 電 気 ガス 熱 供 給 水 道 業 : 検 針 料 金 の 通 知 等 教 育 学 習 支 援 業 :テスト 答 案 の 保 有 成 績 データの 管 理 等 業 種 全 体 で 扱 う 個 人 情 報 の 総 量 と100 人 未 満 の 個 人 情 報 を 扱 う 通 常 業 務 の 頻 度 を 総 合 的 すると 公 務 と 金 融 保 険 業 の 個 人 情 報 の 流 量 が 最 も 多 く 次 いで 電 気 ガス 熱 供 給 水 道 業 が 多 い 教 育 学 習 支 援 業 は 上 位 の2つのグループよりも 少 ない 公 務 と 金 融 の 個 人 情 報 の 流 量 は 同 じぐらいであり 公 務 が 他 の 業 種 より も 飛 び 抜 けて 個 人 情 報 の 流 量 が 多 いとは 思 えない 図 3のように 公 務 だけが 小 規 模 なインシデント 件 数 占 める 割 合 が 多 くなるには 別 の 理 由 がある 過 去 5 年 間 の 調 査 結 果 によると 公 務 と 金 融 保 険 業 は 常 にインシデント 件 数 の 多 い 業 種 の1 位 と2 位 であ る これらの 業 種 には 個 人 情 報 保 護 に 関 する 行 政 の 指 導 が 強 く 働 いており 小 規 模 のインシデントであっ ても 公 表 することが 多 いため 上 位 になっていると 思 われる このように 小 規 模 なインシデントを 報 告 公 表 する 業 種 や 組 織 には 偏 りがあることが 判 明 している さらに 2008 年 の 個 人 情 報 漏 えいインシデントを 分 析 したところ ある 人 口 の 多 い 地 方 公 共 団 体 からのインシデントの 公 表 件 数 が 大 幅 に 増 加 したことがわかっ た 特 にこれまで 報 告 されなかったような 小 規 模 なインシデントが 数 多 く 報 告 されている 公 務 は 小 規 模 なインシデントを 報 告 公 表 する 体 制 ルールが 整 備 されていることが 予 想 される 4 3. 地 方 公 共 団 体 における 情 報 漏 えいインシデントの 対 応 各 地 方 公 共 団 体 は 個 人 情 報 の 取 り 扱 いに 関 する 条 例 を 策 定 することになっている 総 務 省 による 各 地 方 公 共 団 体 における 情 報 セキュリティ 対 策 の 体 制 と 規 程 整 備 に 関 する 調 査 結 果 を 表 1に 示 す 表 1: 地 方 公 共 団 体 における 情 報 セキュリティ 対 策 の 実 施 状 況 団 体 区 分 別 団 体 数 情 報 セキュリティポリシー を 策 定 主 要 な 情 報 資 産 について 情 報 セキュリティ 対 策 実 施 手 順 を 策 定 情 報 セキュリティ 研 修 を 職 員 に 対 して 実 施 都 道 府 県 47 47 100.0% 42 89.4% 46 97.9% 指 定 都 市 18 18 100.0% 17 94.4% 18 100.0% 50 万 人 以 上 15 15 100.0% 14 93.3% 15 100.0% 10~50 万 人 未 満 251 251 100.0% 171 68.1% 240 95.6% 市 / 特 別 区 5~10 万 人 未 満 267 266 99.6% 133 49.8% 242 90.6% 5 万 人 未 満 255 248 97.3% 111 43.5% 185 72.5% 小 計 788 780 99.0% 429 54.4% 682 86.5% 5 万 人 以 上 4 4 100.0% 1 25.0% 3 75.0% 1~5 万 人 未 満 502 491 97.8% 183 36.5% 324 64.5% 町 村 5 千 ~1 万 人 未 満 254 241 94.9% 83 32.7% 118 46.5% 5 千 人 未 満 234 213 91.0% 55 23.5% 89 38.0% 小 計 994 949 95.5% 322 32.4% 534 53.7% 合 計 1,847 1,794 97.1% 810 43.9% 1,280 69.3% 地 方 公 共 団 体 における 行 政 情 報 化 の 推 進 状 況 調 査 結 果 平 成 21 年 度 資 料 編 総 務 省 http://www.soumu.go.jp/denshijiti/chousah21.html
SPECIAL COLUMN 情 報 セキュリティポリシーを 策 定 は 都 道 府 県 指 定 都 市 人 口 10 万 人 以 上 の 市 人 口 5 万 人 以 上 の 町 村 において 100% 対 応 している 全 体 でも 約 97%の 地 方 公 共 団 体 が 対 応 できている 一 方 主 要 な 情 報 資 産 に ついて 情 報 セキュリティ 対 策 実 施 手 順 を 策 定 と 情 報 セキュリティ 研 修 を 職 員 に 対 して 実 施 は 各 地 方 公 共 団 体 の 大 きさによる 実 施 率 の 差 が 大 きい 情 報 セキュリティ 研 修 を 職 員 に 対 して 実 施 は 都 道 府 県 指 定 都 市 人 口 10 万 人 以 上 の 市 の 約 96% 以 上 が 対 応 できているのに 対 し 町 村 は 平 均 50% 程 度 である 主 要 な 情 報 資 産 について 情 報 セキュリティ 対 策 実 施 手 順 を 策 定 も 都 道 府 県 指 定 都 市 人 口 50 万 人 以 上 の 市 の 93% 以 上 が 対 応 できているが それ 以 外 の 地 方 公 共 団 体 となると 実 施 率 が 大 きく 下 がり 人 口 10 50 万 人 未 満 の 市 が 約 70% 町 村 になると 約 40% 以 下 である 前 記 の 小 規 模 なインシデントの 公 表 件 数 が 大 幅 に 増 加 したある 地 方 公 共 団 体 も 人 口 が 多 い 都 市 であった ことから 表 1の3つの 施 策 が 実 施 されていたと 思 われる このような 情 報 セキュリティポリシーとそれに 対 応 した 実 施 手 順 の 策 定 さらにそれらを 徹 底 させるための 情 報 セキュリティ 研 修 が 実 施 されたことによって それらの 施 策 の 実 施 率 の 高 い 地 方 公 共 団 体 内 部 には 情 報 セキュリティ 関 連 知 識 を 備 えた 人 材 が 増 え そう いった 人 材 を 中 心 に 全 体 としてセキュリティレベルの 底 上 げが 行 われたのではないかと 考 えられる その 結 果 として 従 来 は 業 務 現 場 から 上 がってこなかったような 小 さなインシデントなども 全 て 報 告 が 上 がる ようになり その 地 方 公 共 団 体 における 報 告 件 数 が 大 きく 増 えたと 思 われる 最 終 的 に それらの 報 告 され たインシデントがすべて 公 表 されたため 2008 年 の 調 査 結 果 において 件 数 が 大 幅 増 となった 次 に 個 人 情 報 漏 えいインシデントの 公 表 について 考 えてみる Special Column 5 4. 個 人 情 報 漏 えいインシデントの 周 知 と 公 表 インシデントが 発 生 し 個 人 や 組 織 社 会 に 損 害 や 迷 惑 などを 及 ぼす 場 合 またはその 恐 れがある 場 合 インシデントの 発 生 元 の 組 織 は なるべく 早 く 対 象 者 へインシデントに 関 する 情 報 を 周 知 しなければならな い 個 人 情 報 漏 えいインシデントの 場 合 は 当 該 個 人 へ 個 人 情 報 漏 えいによるリスクが 高 まっていることを 知 らせて 個 人 情 報 の 悪 用 による 二 次 被 害 を 防 ぐことが 必 要 になる 周 知 すべき 項 目 は いくつかある 以 下 に 示 すようにその 目 的 も 合 わせて 記 述 した 表 2: 周 知 の 目 的 と 項 目 JNSA Press 目 的 項 目 例 )* 1 被 害 拡 大 の 阻 止 対 応 策 の 周 知 想 定 されるリスク( ) 悪 用 の 手 口 ( ) 対 応 方 法 問 合 せ 先 2 誤 認 の 防 止 不 安 の 除 去 経 緯 状 況 説 明 個 人 情 報 漏 えいの 概 要 漏 えいしたと 推 察 される 期 間 漏 えいしたと 推 察 される 件 数 漏 えいしたと 推 察 される 個 人 情 報 の 種 類 ( 属 性 など) 3 謝 罪 罪 や 過 ちの 謝 罪 謝 罪 ( ) 補 償 内 容 ( ) 4 信 用 回 復 対 応 体 制 再 発 防 止 策 改 善 の 報 告 ( : 本 稿 において 追 加 した 例 ) 漏 えいの 原 因 調 査 報 告 ( ) 再 発 防 止 策 の 提 示 ( ) 改 善 状 況 ( ) * 参 考 : 情 報 セキュリティ 早 期 警 戒 パートナーシップガイドライン, 独 立 行 政 法 人 情 報 処 理 推 進 機 構 http://www.ipa.go.jp/security/ciadr/partnership_guide.html,p.16 Ⅴ.ウェブアプリケーションに 係 る 脆 弱 性 関 連 情 報 取 扱
個 人 情 報 漏 えいインシデントを 減 らすためには 周 知 方 法 は 対 象 者 に 直 接 連 絡 する 手 段 があるかどうかに 依 存 する 郵 送 電 子 メール 電 話 /FAXなど 対 象 者 に 直 接 かつ 確 実 に 連 絡 する 手 段 があれば それを 使 用 すればよい 対 象 者 に 直 接 連 絡 する 手 段 がない 場 合 や 対 象 者 全 員 の 連 絡 に 時 間 が 掛 かる 場 合 は 広 告 などを 用 いた 周 知 メディアへの 公 表 を 使 用 すること になる ただし 個 人 情 報 漏 えいインシデントを 公 表 する 場 合 は 公 表 によって 二 次 被 害 が 拡 大 する 恐 れを 考 慮 しなければならない WinnyなどのP2Pファイル 交 換 ネットワーク 上 へ 個 人 情 報 が 漏 えいした 場 合 は 公 表 によって 漏 えいした 情 報 を 興 味 半 分 に 取 得 され 漏 えいの 範 囲 が 拡 大 する 恐 れがある 漏 えいした 個 人 情 報 の 悪 用 による 二 次 被 害 のリスクと 個 人 情 報 の 漏 えいの 範 囲 が 拡 大 するリスクを 見 極 めて 公 表 する 内 容 やタイミングを 決 定 することが 求 められる 可 能 ならば P2Pファイル 交 換 ネットワーク 上 の 個 人 情 報 を 消 去 してから 公 表 を 行 えば リスクを 低 く 抑 えることができる 前 記 の 地 方 公 共 団 体 では 小 規 模 なインシデントを 積 極 的 に 公 表 していた 小 規 模 なインシデントは 対 象 者 に 対 する 周 知 を 問 題 なくおこなえるため 被 害 拡 大 の 阻 止 を 目 的 とした 公 表 は 不 要 である 前 記 の 地 方 公 共 団 体 は 社 会 的 立 場 や 説 明 責 任 を 重 視 して 公 表 を 積 極 的 に 行 っていたと 思 われる 6 以 上 から インシデントについて 周 知 公 表 する 場 合 は 各 組 織 において 以 下 のような 判 断 を 行 って 欲 しい 周 知 公 表 する 目 的 は?( 周 知 謝 罪 ) 周 知 公 表 する 相 手 ( 被 害 者 社 会 )は 適 切 か? 周 知 公 表 する 手 段 は 適 切 か? 公 表 する 範 囲 ( 組 織 内 / 外 )は 適 切 か? 公 表 による 二 次 被 害 の 考 慮 は? セキュリティ 被 害 調 査 WGは これまで 多 くのインシデントの 公 表 の 記 事 を 調 査 してきた 全 般 的 に 経 過 報 告 謝 罪 が 多 く 残 念 なことに 注 意 すべきことや 対 応 方 法 などの 被 害 者 のケアを 記 述 したものは 少 ない また 原 因 を 究 明 して 発 表 するとしながら 追 加 報 告 を 行 っていない 組 織 も 多 い インシデントの 発 生 原 因 被 害 状 況 などの 情 報 は 公 表 するだけでなく 上 手 く 活 用 すれば 対 策 に 大 きく 役 立 つ 可 能 性 がある 次 に 組 織 内 でのインシデントの 報 告 とインシデント 情 報 の 共 有 による 効 果 について 述 べる 5. インシデント 報 告 による 対 策 効 果 インシデント 報 告 による 対 策 効 果 セキュリティ 対 策 がある 程 度 進 んでいる 現 在 の 状 況 において インシデントがなかなか 無 くならない 理 由 を 考 えてみる これまでの 個 人 情 報 漏 えいインシデントの 調 査 結 果 から セキュリティを 保 つための 対 策 には ルールや 作 業 手 順 などの 必 ず 人 間 が 介 在 する 部 分 が 存 在 するため ケアレスミスによって ある 程 度 漏 え いインシデントが 発 生 してしまうことがわかっている つまり 人 間 が 介 在 する 限 り インシデントは 無 く ならないと 思 われる このような 人 間 の 行 為 に 基 づくインシデントの 確 率 的 な 考 え 方 に ハインリッヒの 法 則 がある ハインリッヒの 法 則 は 米 国 の 技 師 ハインリッヒ 氏 (H. W. Heinrich)が 労 働 災 害 の 発 生 確 率 の 研 究 から 導 いた 経 験 法 則 であり 1:29:300の 法 則 や ヒヤリ ハットの 法 則 とも 呼 ばれている 図 4に 示 すような 海 に 浮 かぶ 氷 山 に 例 えられ 1 件 の 重 大 な 事 故 の 発 生 の 陰 には29 件 の 軽 微 な 事 故 があり さらに300 件 の 事 故 未 然 のヒヤリとした 経 験 が 隠 れているという 法 則 である 海 上 に 氷 山 として 見 える 重 大 な 事 故 と 軽 微 な 事 故 に
SPECIAL COLUMN 対 して 海 面 下 の 見 えない 部 分 にはその10 倍 もの 事 故 の 兆 候 が 存 在 している 図 4:ハインリッヒの 法 則 のイメージ 個 人 情 報 漏 えいインシデントにハインリッヒの 法 則 を 当 てはめてみると 1 件 の 個 人 情 報 漏 えいインシデン ト 29 件 の 情 報 漏 えいを 伴 わない 紛 失 などのインシデント 300 件 の 報 告 までに 至 らないちょっとした 失 敗 や ヒヤリとした 体 験 が 当 てはまる そして この300 件 のヒヤリハットな 事 象 は 重 大 な 事 故 や 軽 微 な 事 故 の 兆 候 といわれる セキュリティ 被 害 調 査 WGの 調 査 からも 複 数 の 小 さなミスや 無 許 可 で 機 密 情 報 を 持 ち 出 す などのちょっとした 故 意 の 不 正 行 為 が 重 なって 個 人 情 報 漏 えいインシデントの 発 生 につながっていること がわかっている このヒヤリハットな 事 象 を 適 切 に 処 置 できれば 事 故 を 未 然 に 防 止 できたり 事 故 の 影 響 を 最 小 限 にとどめたりすることができる また 複 数 の 原 因 が 連 なってインシデントが 発 生 する 場 合 は よ り 早 い 段 階 のちょっとした 失 敗 やヒヤリとした 体 験 レベルの 原 因 に 対 処 するほうが 対 応 しやすく 効 果 的 な 対 策 が 行 える Special Column JNSA Press 7 これまで 情 報 セキュリティインシデント 対 策 といえば 図 5の 超 高 リスク 高 リスク( 影 響 度 =3 発 生 確 率 =2) 中 リスク( 影 響 度 =3 発 生 確 率 =1) 高 リスク( 影 響 度 =2 発 生 確 率 =3)といった 影 響 度 の 大 きいリス クが 優 先 的 に 取 り 組 まれている これからは 発 生 確 率 が 高 く 影 響 が 小 さいリスクについても 対 策 を 行 うことを 推 奨 する 発 生 確 率 が 高 いヒヤリハットな 事 象 への 対 応 は 多 くの 現 場 の 実 務 者 に 経 験 として 蓄 積 されやすい このように インシデント 以 前 のヒヤリハットな 事 象 の 対 策 は 一 見 遠 回 りの 対 策 に 感 じら れるが 重 大 なインシデント 対 策 の 一 環 であり 効 果 がある 実 際 に 医 療 現 場 では このヒヤリハットのデー タを 収 集 し データベースで 分 析 情 報 共 有 することによって 医 療 事 故 が 削 減 されている
個 人 情 報 漏 えいインシデントを 減 らすためには 図 5:リスク 発 生 確 率 影 響 度 マトリクス 8 このように 当 WGは 医 療 分 野 や 保 険 分 野 などで 効 果 が 確 認 されているハインリッヒの 法 則 を 情 報 セキュ リティ 分 野 に 適 用 した 対 策 方 法 を 提 案 しようと 考 えている これによって これまで 報 告 の 対 象 としていな かったヒヤリハットな 事 象 を 収 集 し その 原 因 や 状 況 などの 情 報 を 共 有 することによって 現 在 の 対 策 方 法 では 対 処 できていない 問 題 を 解 決 できる 可 能 性 がある そのためには 報 告 すべきヒヤリハットな 事 象 の 基 準 や 収 集 すべきインシデントの 情 報 インシデントの 公 表 指 針 などを 提 示 する 必 要 もあると 考 えている 現 在 各 組 織 における 重 大 な 事 故 軽 微 な 事 故 ヒヤリハットな 事 象 の 集 計 状 況 とその 割 合 を 把 握 するために JNSA 会 員 企 業 のインシデントの 発 生 件 数 に 関 する 調 査 と 分 析 を 開 始 している 今 後 上 記 の 仮 説 を 調 査 や 検 証 を 通 して 確 認 していく 予 定 である