現場のプロが教える 情報漏えい対応のリアル 漏えい事故実態調査と最新事例

大井哲也 株式会社エス・ピー・ネットワーク総合研究部

• 第一法規出版 (2018年7月20日発売)

作品紹介・あらすじ

企業の個人情報・機密情報等管理担当者や企業経営者が、これまで実際に発生した企業の情報漏えい事故の実態、事故対応実例を参考にでき、漏えい事故が発生・発覚した後の適切な対応方法が学べる危機回避対策実践書。

○実際に情報漏えい事故を起こした企業への調査結果及び事故対応のコンサルティングを通じて蓄積した実例や事故後に危機を拡大させないための重要ポイント等を明示。

○情報流出時の危機対応解説に止まらず、マニュアル（理想）と現実対応のギャップを実例を示して解説。
○事故を踏まえて再発防止と企業が講ずべき運用上の対策を解説
○各章にコンサルタントが実際に最近経験した事案から必要と感じた事項をコラムとして掲載

感想・レビュー・書評

[2319chanさんの感想 · 2019年2月16日]

　リスト型攻撃による対策を期待していたのだが、あまり該当する記載はなかった。


　Ａ社が、第三者Ｂによるサイバー攻撃によって、その提供するサービスに関して収集・管理するＣら顧客の個人情報を漏えいさせてしまった場合、Ａ社においては、どのような民事的責任が問題となるでしょうか。
　そもそも、Ａ社はＢによるサイバーアタックの被害者であり、Ａ社はＢに対してその損害を賠償するよう求めることができると考えられますが、通常かかるＢを特定することは極めて困難である反面、Ａ社は、Ｃら個人との関係で、自ら責任を負う可能性があります。また、一定の場合には、Ａ社の取締役が、役員としての責任を負う可能性もあります。

　コンピュータ・電磁的記録対象犯罪等
①電磁的記録不正作出・毀棄等
②電子計算機損壊等業務妨害
③電子計算機使用詐欺
④不正指令電磁的記録作成等
⑤不正アクセス行為の禁止等に関する法律違反

　不正アクセス禁止法
　同法は、他人の識別符号の無断入力行為やいわゆるセキュリティー・ホール攻撃による不正アクセスを処罰の対象としていますので、社員等の行為がこれらに該当する場合には同法違反で処罰の対象となります（同法３条、11条）。例えば、上司のIDやパスワードを使用してログインして情報を盗み出した場合や、何らかのハッキングツールを用いてログインして情報を盗み出した場合がこれに該当します。逆にいえば、自分のIDやパスワードで正規にログインした場合は、仮に不正な目的があったとしても同法の処罰の対象とはなりません。

　不正とは「動機」「機会」「正当化」の三つすべてが揃ったときに発生するという、米国の組織犯罪者クレッシーによる研究成果を体系化した理論、これが「不正のトライアングル」です。

　社会不安を増幅する主な要因
・目にみえないもの
・発生可能性が高い
・自分ごと
・重大結果誘発
・わかりにくい
・コントロール不可

[shonantokaさんの感想 · 2018年9月9日]

情報漏えいにかかる法規制をはじめ、情報セキュリティに関するアンケート調査結果、情報漏えい発生事例およびその具体的な対応方法例が示されている書籍。情報セキュリティ部門が直面することになる具体的な内容が記載されている。新しい知識があったわけではないが、もしも実際に情報漏えいが起きてしまったときな行動指針として利用できる。情報漏えい発生時には事実を詳らかに公開していくこと、また原因分析し真因を把握、真因に対して再発防止を図ることが重要となる。その際、実際の被害者を中心に特にコールセンターをはじめとした事故発生時の問い合わせ窓口の運用が肝となる。このコールセンターについては外注することも検討しうり、外注しなかったとしても担当者のケアが重要になる。また事前に想定問答集を準備し、会社として統一的な対応をとれるようにしておきべきである。またそもそも情報漏えいが発生しないように、利用可能で具体的なルールの策定・見直し、従業員への周知・教育といった人的な対策とFW・IDS/IPSの導入、特権管理、脆弱性診断といった技術的な対策の両輪を行っていく必要がある。

著者プロフィール

TMI総合法律事務所　弁護士

「2019年 『起業の法務――新規ビジネス設計のケースメソッド』 で使われていた紹介文から引用しています。」