神山

西浦

神山

JNSA創設期に「セキュリティ被害調査ワーキンググループ」というチームが発足しました。焦点は、個人情報が漏洩した場合の賠償金額の査定です。JNSAで長く続いていた伝説的なワーキンググループだったのですが、セキュリティ被害が多様化・多面化して「個人情報漏洩の賠償金」だけで単純に括れなくなっていました。そんな中、新たなワーキンググループを立ち上げようという動きが自然発生的に出てきたのです。 私は、当時から損保会社（あいおいニッセイ同和損害保険株式会社）でサイバーセキュリティ保険の企画・開発・推進・審査といった業務を担当しているのですが、新しいワーキンググループのキックオフミーティングに出席して、「ぜひ参画したい、なんならリーダーをやらせてもらいます！」と、自ら買って出たのです。 損保会社の社員だからこその問題意識がありました。個人情報の漏洩事件が起こったとしても裁判に訴えられて損害賠償請求されるケースはほとんどありません。にもかかわらず、当時は「個人情報が漏れたら賠償額は一人当たり約5万円、1万人で約5億円の損害」というような荒っぽい数字がどこからか出回っていて・・・。もっと現実に即した数字が必要なのではないかと、ずっと思っていたのです。 僕はセキュリティ技術の専門家ではないので、その筋に詳しいサブリーダーが必要だということで西浦さんを引っ張り込みました（笑）。

西浦

私も同じ問題意識を抱いていました。企業向けにサイバーセキュリティ対策の必要性についてお話しする機会が多く、さまざまなレポートからデータを引用して説明していたのですが、そのデータは日本の企業、特に中小企業にとって現実的な数字なのか懐疑的でした。そんなところに新ワーキンググループ発足の案内があり、ぜひ参加したいと思っていたところに、金融業界とIT業界でリーダーとサブリーダーをやろうという誘いを神山さんから頂き、2019年12月の決起集会で立候補させてもらいました。

神山

神山

2021年8月に第一弾として公開した「インシデント損害額調査レポート 2021年版」では、インシデント発生時の対応およびそのコストを「費用損害（事故対応損害）」「賠償損害」「利益損害」「金銭損害」「行政損害」「無形損害」に分類し、それぞれについてどのくらいのコストがかかるのかについてインシデント対応サービスを提供している事業者を中心にヒアリングして集計しました。 2024年2月に公開した「インシデント損害額調査レポート 第2版」では、第1版の内容を全体的に更新するとともに、実際に被害を受けた企業や組織に対してアンケート調査とヒアリングを行い、より実態に即したデータを収集することを目指しました。

西浦

2017年1月1日から2022年6月30日までの5年半の間にサイバー攻撃の被害を受けた企業・組織をネット検索、ニュースサイト検索などでリサーチし、約1300法人をリストアップしました。その作業はひたすら手を動かす力業と言えるものでした（笑）。この約1300法人にアンケート調査への協力を依頼したのです。その中に「直接ヒアリングの可否」を聞く項目も入れておき、「可」と返していただいたところには別途インタビューさせていただきました。

神山

「決して話したくない人」と「あえて話したい人」の2パターンに分かれます。前者が多数ですが、後者のような方も少なからずいらっしゃいます。その動機は「世の中のためには、被害に関する情報を隠すのではなく共有するべきだ」という信念です。うちの会社ではこんなことが起きて、これだけの損失が発生してしまった。他の企業の経営者はそういう損害を被らないように気を付けてほしい――。そういう思いをもって警鐘を鳴らされている方というのは、想像以上にたくさんいらっしゃる。これは私自身にとっても大きな発見であり、私たちの活動を通してしっかりお手伝いをしなければと気を引き締めています。

西浦

個別インタビューでは、被害の詳細に始まり、後から振り返って意識が甘かったところ、担当者として辛かったこと、同じような立場の人たちに伝えたいメッセージなど、多岐にわたってお話いただきました。アンケートとインタビューの内容は 「インシデント損害額 調査レポート 別紙「被害組織調査」」 としてまとめてありますので、ぜひ参考にしていただければと思います。

神山

そこまではできていない会社がほとんどです。アウトソーシング先に支払った費用などは見積書や領収書があるので明確なのですが、インシデントの結果として営業利益にどれだけの影響が出たのかを把握できているかと言えば、中小企業の場合ほとんどできていません。ブランド価値、顧客からの信用といった無形資産への損害も同様です。ですから、アンケートを集計した数字は、実際の損失額よりも小さく出ているということは言えると思います。

西浦

もう一つ、アンケートやインタビューを通して分かったことは、インシデント対応のためにかかった社内の作業量、工数はほとんどのケースにおいて算定されていないことです。つまり、人件費はインシデント損害額の推計値から抜け落ちているのが現状です。

神山

アンケートの回答数やインタビューの実施数をもっと増やして、より広く深く実態に迫っていきたいですね。また、サイバー攻撃の手法が多様化していくことは間違いないので、その時々の時流に合ったレポートを出していきたいと思います。 「ぜひやりたいね」とワーキンググループの仲間と話しているのは「損失額推計ツール」の提供です。業種、企業規模などいくつかの個別情報をインプットすれば損失額推計がすぐに算出される仕組みです。我々のワーキンググループの調査研究から構築したモデリング理論と日本企業に関する統計データを組み合わせたシミュレーションまで持っていけたら面白いと思っています。

西浦

経済産業省と情報処理推進機構（IPA）が2023年3月に公表した 「サイバーセキュリティ経営ガイドライン Ver3.0」 では、その冒頭部分で損害額の試算を紹介し、企業経営者に対してセキュリティ対策の必要性を訴えています。我々のレポートも引用されています。サイバー攻撃による損害額の観点から広く対策・対応を促していくため、公的機関との協力・連携を深めていきたいと思います。