あらゆる企業において、情報漏洩リスクは常に付きまといます。リスクの高低はあれ,どのような業界・業種でもその事実自体は変わりません。情報漏洩を起こさない・起こった場合でも被害を最小限に抑えるためには、事前にしっかりと対策を練ることが大切です。
当記事では、情報漏洩が起きる原因と起こしてしまった場合のリスク、情報漏洩対策を行う際に気を付けたいポイントを解説します。万が一の際の対処方法も簡単に紹介するため、ぜひご一読ください。
情報漏洩には「機密情報漏洩」「顧客情報漏洩」「個人情報漏洩」の3つがあり、いずれの場合でも大きな被害をもたらすため厳密に管理しなければなりません。
例えば機密情報の漏洩では、下記のリスクが考えられます。
機密情報漏洩のリスク
|
顧客情報や個人情報の漏洩による主なリスクは、下記の通りです。
顧客情報や個人情報の漏洩によるリスク
|
東京商工リサーチが2021年に発表した統計情報によると、上場企業とその子会社で起きた情報漏洩の原因上位4つは下記の通りとなります。
|
ウイルス感染・不正アクセス |
49.6％ |
|
誤表示・誤送信 |
31.3％ |
|
紛失・誤廃棄 |
11.6％ |
|
盗難 |
5.8％ |
出典：上場企業の個人情報漏えい・紛失事故は、調査開始以来最多の137件 574万人分（2021年）」
情報漏洩を起こす原因の8割以上がインターネットを経由しており、サイバーセキュリティ対策の重要性を表す結果になったと言えるでしょう。
インターネット経由の情報漏洩に対しては、情報セキュリティ対策用のソフト・ツールの導入が有効となります。同時に、情報を取り扱う人側にもセキュリティ教育を十分に施し、ポイントを押さえた管理体制構築とルールの周知徹底が必要です。
ここでは、情報漏洩対策のポイントを7つ解説します。
情報漏洩を防ぐためには、自社内にとどめるべき情報が社外へ持ち出されないようにすることが大切です。まずは、情報を取り扱う際の社内ルール確立を目指しましょう。
情報持ち出しに関するルールの例
|
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
企業や組織の情報を放置するケースでも、漏洩は起こります。放置への対策としては、下記のルールが代表的です。
情報の放置に関するルールの例
|
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
情報資産を廃棄する際に注意を怠ったことで、漏洩事故を起こす例は少なくありません。業務で不要になった後でも、重要情報が入った書類やデバイスなどの管理は徹底する必要があります。
廃棄に関するルールの例
|
特に気を付けなければならないのが、「初期化（フォーマット）はデータを消去したことにならない」という点です。専門の業者へ依頼するか、社内で対応できる人員を育てましょう。
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
情報の管理には社外への持ち出しに加え、持ち込みに対しても徹底したルールが必要です。持ち込みにはパソコンなどのデバイスそのものだけでなく、プログラムやウイルスなども含まれます。
持ち込みに関するルールの例
|
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
業務上使用するデバイス自体もそうですが、プログラムやサーバーなどで個別に割り当てられた権限の貸し借り・譲渡にも注意が必要です。「忙しい」「手続きが面倒」などの理由で勝手に権限を持つ人が増えてしまうと、情報の漏洩につながります。
【貸し借り・譲渡に関するルールの例】
|
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
医師や弁護士などのイメージが強い「守秘義務」ですが、どの企業においても「業務上知り得た情報を口外しない」ということは基本です。一般企業では守秘義務への意識が薄れやすいケースもあるため、定期的な注意喚起と社内教育が必要となります。
【情報の公言に関するルールの例】
|
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
どれほど厳格なルールを定めても、人が運用する以上完全に管理ミスやトラブルを防ぎ切ることはできません。万が一の事態に直面した場合でも、被害を最小限に抑えるためのルールを作っておきましょう。
最も悪いのが、情報漏洩が起きた事実を隠蔽することです。情報漏洩が起きてから時間が経てば経つほど、被害の大きさと範囲は広がり続けます。「情報漏洩を起こした人・漏洩を見付けた人は即時報告」を徹底するとともに、事態を共有しやすい体制を整えておくことも重要です。
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
どのような情報漏洩を起こしたかで対応の詳細は異なりますが、基本的な対処法は同じです。
|
1 |
発見・報告 |
|
情報漏洩が発見された場合、速やかな報告と対応整備が必要です。
|
|
|
2 |
初動対応・状況整理・調査開始 |
|
対応本部を設置し、基本的な対応方針と被害の拡大防止に向けた応急処置を行います。
|
|
|
3 |
通知・報告・公表・調査継続 |
|
各部署と連携して調査を継続しつつ情報漏洩の通知・報告・公表などを行いましょう。
|
|
|
4 |
抑制措置・復旧・調査継続 |
|
情報漏洩による被害拡大の抑制と、復旧に必要な措置を行います。
|
|
|
5 |
事後対応・調査終了 |
|
トラブルの後始末と、今後の対策を検討して調査終了です。
|
|
出典：独立行政法人 情報処理推進機構 セキュリティセンター「情報漏えい対策のしおり」
情報漏洩はどこの企業でも起こり得る事故です。そして万が一情報漏洩を起こしてしまうと、顧客や社会からの信用が低下するだけでなく、長期にわたり大きな損害が続く恐れもあります。
情報漏洩の可能性を減らすためには、社員へ情報セキュリティルールを徹底させることに加え、信頼性が高いセキュリティ環境を整えることも重要です。分かりやすく快適な操作性と高度な技術を備えつつ、コストとのバランスが取れたセキュリティシステムをお探しの方は、ぜひ「EXOセキュリティ」へご相談ください。
