情報漏洩対策についてのご質問です。
製造業の中小企業を営んでいます。最近、ネットを通じた情報漏洩や企業への攻撃が増えているというニュースを耳にします。中小企業には関係ないと思っていましたが、今後はそうも言っていられないのかなと感じています。何年か前に法律も厳しくなったと聞いたことがありますが、今後どのようにしていけば良いか教えてください。
私、針田がお答えします！
※CBCラジオ「北野誠のズバリ」で2024年7月29日に放送されたテーマを記事にしております。
※ラジオ出演時のFPと本記事で解説するFPが異なる場合があります。ご了承ください。
※ラジオ放送時の法律・税制に基づいておりますので、記事閲覧時と異なる場合があります。ご了承ください。
情報漏洩に関する法律は厳しくなったの？
2022年4月に施行された改正個人情報保護法により、会社の規模や業種に関わらず、個人情報保護についての制約と罰則が強化されました。多岐にわたる取り決めがありますが、大きなポイントは次の3つです。
- 本人の権利保護の強化（開示請求・利用停止・削除などの権利の拡充）
- 事業者の責務の追加（漏洩時に、個人情報保護委員会と本人への報告が義務化）
- 法令違反に対する罰則の強化（措置命令や報告義務違反などに対する罰則・罰金の厳格化）
すでに施行から2年が経つ法律ですが、まだ十分に周知されているとは言えない状況です。
どんなサイバー攻撃が多いの？
被害は年々増えており、手口もさまざまです。もっとも多いのが、メールを通じた攻撃だと言われています。
メールで感染するマルウェア
悪意のあるソフトウェア（マルウェア）を仕込んだメールで、有名なのが「Emotet（エモテット）」です。メールの添付ファイルを開いて「コンテンツの有効化」を実行すると感染し、同じサーバーを共有する他のパソコンにも広がって情報が抜き取られます。
さらに、そこから自社を装ったメールが取引先へ自動的に送られるなど、被害が連鎖的に広がります。知人や取引先から届いたメールに見えるため、うっかり開いてしまうことがあります。
担当FPも、過去に誤って開封してしまった経験があるそうです。誰にでも起こり得ることです。
ランサムウェアは身代金を要求される
ランサムウェアは、「身代金（Ransom）」と「ソフトウェア（Software）」を組み合わせた造語です。企業の情報を盗み、情報の流出と引き換えに高額な身代金を要求する被害を指します。
放送の直前には、大手出版企業の動画配信サービスが狙われ、サービス停止に追い込まれました。登録している配信者の個人情報の漏洩を材料に身代金を要求されるなど、被害は出版や映像の事業にも広がったと報じられています。
どうやって感染するの？
標的型メールからの感染はもちろんですが、近年は在宅勤務で使うVPN機器（社外から社内ネットワークに接続する機器）からの侵入が最も多いとされています。警察庁の調査でも、ランサムウェアの感染経路ではVPN機器の割合が最も高く、リモートデスクトップと合わせて大半を占めています。
例えば、在宅ワーク中に感染したパソコンをそのまま会社のサーバーに接続し、会社全体に広がってしまうといったケースです。
セキュリティの弱いところから入り込まれるため、気をつけていても事故が起こることがあります。
被害が出たら、どんな費用がかかる？
代表的な費用は、次のとおりです。
- 調査費用
- 被害者へのお詫び費用
- 弁護士費用
- コールセンターの設置費用
- 損害賠償費用
官公庁や被害者への報告が義務付けられているため、まず感染経路の確認と被害状況の調査を行います。これは専門業者に依頼し、パソコンやサーバーの調査（デジタルフォレンジック）を行う流れで、証拠の保全、解析、報告まで進みます。
調査費用の目安
費用の目安は、パソコン1台あたり50万〜100万円程度、サーバー1台あたり100万〜200万円程度と言われています。専門業者が複数人で取り組むため、ほぼ人件費です。
一刻を争う状況では、複数の業者を比べている余裕がないことも想定されます。パソコンを数台〜数十台持つ中小企業も多く、調査費用だけで数百万円〜数千万円になる可能性があります。
その上で、情報の漏洩先へのお詫びとして、QUOカード500円分に郵送代120円を加えて、件数分を負担するといった例もあります。
取引先に広がると何が起こる？
いちばん怖いのは、取引先へ感染が波及した場合です。まず、取引先の企業が負担した調査費用を求められることが想定されます。
相手が大企業の場合は調査の対象が非常に広くなり、場合によっては億を超える請求になることもあります。過失割合は法的な解釈によりますが、感染元が100％というところから話が始まることもあるようです。
2022年には愛知県でも、自動車大手の下請け企業が狙われ、結果的に工場の稼働が停止する大きな被害が出ました。
大げさではなく、経営が危ぶまれる事態も想定されます。
自社でできる備えは？
サイバーリスクをゼロにすることはできません。そのため、事故が起きた後にどう対応するかまで考えておくことが大切です。
金銭面では、損害保険で一定程度備えることができます。大手損害保険会社が扱うサイバー保険では、調査費用、事故対応費用（弁護士費用など）、損害賠償請求などにある程度備えられます。身代金の支払いは補償の対象外とされるのが一般的です。
付帯サービスとして、調査会社の手配やコールセンターの設置が用意されている商品もあります。補償内容は商品ごとに異なるため、加入前に必ず確認してください。
デジタル社会に対応する備えとして、中小企業でもサイバー保険を検討してみてはいかがでしょうか。
中小企業のリスク対策や保険についてのご相談は小宇佐・針田FP事務所にお任せください。
