改めて、事業におけるサイバーリスクについて考えてみましょう。

企業経営にとって、今や情報システムは欠かせないものになっています。さらには、それらのシステムはインターネットを通じて世界中のネットワークとつながることが可能になっています。このことは企業経営をするうえで利便性をもたらす一方、自社のネットワークに外部からの侵入を許してしまう危険性も併せ持っていることは言うまでもありません。

なお、たびたび発生している、みずほ銀行のシステム障害のような事象は、システムを構築する上での設計上のミスによるものであり、これもまた経営陣の情報システムリスク対策に関する認識の甘さが露呈したものになります。このような事象はサイバーリスクに関する議論の対象外になりますが、いずれにしても情報システムが抱えるリスクが、企業経営に対して極めて大きなインパクトをもたらすことは間違いありません。

今回はサイバーリスクについて、改めて課題を整理してみたいと思います。まずはサイバーリスク関して、典型的な事例を挙げてみます。

例① 　標的型攻撃

旅行会社が標的型攻撃に遭い、約800万人分の個人情報が流出した可能性があると公表した。

標的型攻撃は、機密情報を盗み取ることなどを目的として、特定の個人や組織を狙った攻撃です。 業務関連のメールを装ったウイルス付きメール（標的型攻撃メール）を、組織の担当者に送付する手口が知られています。 従来は府省庁や大手企業が中心に狙われてきましたが、最近では地方公共団体や中小企業もそのターゲットとなっています。

例② 　不正アクセス

通販サイトが不正アクセスを受け、クレジットカード情報が流出した。同社は合計で6,000件の情報が流出した可能性があると発表した。

企業などのネットワークに使用するファイアウォールは、インターネットと社内のLANとの間に設置し、外部からの不正なアクセスを社内のネットワークに侵入させないように監視します。しかしながら、悪意のある第三者からの侵入を許してしまうと、サーバ内に保存されていたデータが外部に送信される、他のパソコンを攻撃するための踏み台として利用される、バックドアを仕掛けられ、いつでも外部から侵入できるようにされるといった、さらなる被害拡大が発生してしまう恐れがあります。

例③ 　ウイルス感染

大学で個人情報約2万件の入った業務用PCがウイルスに感染し、外部との不正な通信を行っていたことが発覚した。

組織内のネットワークを介して、ファイルサーバやWebサーバーに感染するタイプのウイルスが一般的になっています。ネットワークに接続しているたった1台のパソコンがウイルスに感染しただけで、組織内のパソコンに被害が拡大する可能性があるため、その影響は甚大になります。

このようなサイバー攻撃を受けたことにより、個人情報や企業情報の漏洩し、取引先企業との業務が妨害され、これらが社会に明るみに出ることにより企業イメージや信用の低下を招き、これらの対応をする結果、自社の本来業務が阻害されるという、様々な対応や損害が発生し、負のスパイラルに陥ってしまいます。

具体的には、次のような対応や損害が発生します。

(1) 初動対応

・被害拡大防止
・原因、被害状況の調査
・弁護士相談　等

(2) 被害者に対する事故対応

・お詫び状送付等の通知
・コールセンター設置
・見舞金支払い
・損害賠償金支払い　等

(3) 信用回復のための対応

・再発防止会見、広告
・再発防止のためのコンサルティング費用
・再発防止策の実行　等

(4) 自社の業務阻害

・システムダウン
・情報機器の修理
・データの復旧

実際に、わが国においてもサイバー攻撃の件数は年々増加しております。2016年の統計で1200億件のサイバー攻撃通信が確認され、毎年2倍以上のペースで増加してきたとされています。

実際に、企業がサイバー攻撃の被害に遭うと、いくらの費用が発生するのでしょうか。

会社のサーバーがサイバー攻撃を受けた場合、まず被害状況の確認をしますが、この被害状況の確認だけで600万円の費用がかかるケースがあるようです。

そして、3万人の個人情報が漏洩したことが判明したとします。これへの対応としては、被害者へのDM発送費用として350万円、お見舞金を一人あたり500円とすると合計で1,500万円、被害者等の対応をする専門のコールセンターの設置に5,000万円、これらを合計すると、対応費用だけで6,850万円の費用が発生します。

さらに、損害賠償請求を受けてしまったとします。損害賠償請求額が1人当たり10,000円だった場合、合計で3億円の損害賠償請求額となってしまいます。

このように、たった1回のサイバー被害に遭っただけで甚大な損害をもたらしてしまう可能性があるサイバーリスクは、自然災害リスクと同様、十分にリスク対策を講じておく必要があるのではないでしょうか。