もくじ 1. 個人情報漏えい調査結果 2. サイバー攻撃事情 3. 内部犯罪内部不正行為 2/ 38

(1)

大谷尚通 (株)ＮＴＴデータ

2015年 1月20日

セキュリティ被害調査WG

【A3】

多様なリスク時代の

セキュリティ対策の考え方

(2)

【1. 個人情報漏えい調査結果】

【3. 内部犯罪・内部不正行為】

【2. サイバー攻撃事情】

(3)

2013年/2014年上半期

情報セキュリティ

インシデントに関する調査結果

～個人情報漏えい編～

(4)

2013年データ

2012年データ

漏えい人数

925万4513人

972万65人

漏えい件数

1388件

2357件

想定損害賠償総額

1438億7184万円

2132億6405万円

一件当たりの漏えい人数

7027人

4245人

一件当たり

平均想定損害賠償額

_{1億924万円}

_9313万円

一人当たり

平均想定損害賠償額

2万7707円

4万4628円

1. 2013年個人情報漏えいインシデント

期間：２０１３年１月１～１２月３１日（※１２ヶ月分）

インターネットニュースなどで報道されたインシデントの記事、

組織からリリースされたインシデントの公表記事などをもとに集計

(5)

2014年上半期

2013年データ

漏えい人数

74万4453人

925万4513人

漏えい件数

944件

1388件

想定損害賠償総額

245億8688万円

1438億7184万円

一件当たりの漏えい人数

823人

7027人

一件当たり

平均想定損害賠償額

_2726万円

_{1億924万円}

一人当たり

平均想定損害賠償額

4万9715円

2万7707円

1. 2014年上半期個人情報漏えいインシデント

期間：２０１４年１月１～６月３０日（※６ヶ月分）

インターネットニュースなどで報道されたインシデントの記事、

組織からリリースされたインシデントの公表記事などをもとに集計

(6)

1.1 漏えい人数と件数(経年)

881 万人 2,224 万人 3,053 万人 723 万人 572 万人 558 万人 628 万人 972 万人 _{925 万人} 1,032 件 993 件 864 件 1,373 件 1,539 件 1,679 件 1,551 件 2,357 件 1,388 件 0 件 500 件 1,000 件 1,500 件 2,000 件 2,500 件 0 万人 500 万人 1000 万人 1500 万人 2000 万人 2500 万人 3000 万人 2005 年 2006 年 2007 年 2008 年 2009 年 2010 年 2011 年 2012 年 2013 年漏えい人数インシデント件数

漏えい人数

インシデント件数

漏えい人数は、ほぼ横ばい

公表さ

れ

た

イ

ン

シ

デ

ン

ト

件数は

も

っ

と

も

多

い

(7)

1.2 原因別の漏えい件数

管理ミス

（1391件）

紛失・置忘れ

（189件）

盗難

（88件）

誤操作

（474件）

管理ミス

（449件）

誤操作

（485件）

盗難

（77件）

紛失・置忘れ

（199件）

2012年

2013年

(N=2357件)

(N=1389件)

管理ミス（＝誤廃棄）

誤操作（＝ケアレスミス）

による漏えいが多い

上位の原因に大きな変化はなし

誤操作 485件 34.9% 管理ミス 449件 32.3% 紛失・置忘れ 199件 14.3% 盗難 77件 5.5% 不正アクセス 65件 4.7% 設定ミス 43件 3.1% 不正な情報持ち出し 21件 1.5% 内部犯罪・内部不正行為 14件 1.0% 目的外使用_10件 0.7% バグ・セキュリティホール 7件 0.5% ワーム・ウイルス 5件 0.4% その他 9件 0.6% 不明 5件 0.4% Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

(8)

1.3 原因別の漏えい件数（経年）

不明

その他

内部犯罪・内部不正行為

目的外使用

不正な情報持ち出し

管理ミス

設定ミス

誤操作

紛失・置忘れ

盗難

不正アクセス

ワーム・ウイルス

バグ・セキュリティホール

インシデントの３大要因は人為的ミス

「管理ミス」「誤操作」「紛失・置忘れ」

22件 20件 25件 28件 121 件 _{72 件} 30件 14件 18件 35件 65 件 266 件 189 件 143 件 _{154 件} 117 件 128 件 103 件 88 件 77 件 434 件 290 件 177 件 194 件 122 件 211 件 213 件 189 件 199 件 128 件 146 件 157 件 483 件 369 件 543 件 _{539 件} 474 件 485 件 12件 17件 34 件 60 件 14 件 17 件 _{22 件} 23 件 43 件 53件 82件 176 件 305 件 784 件 609 件 497 件 1,391 件 449 件 34件 81件 68 件 80件 53件 73件 77件 60 件 21件 20件 _21件 19件 26件 30件 22件 19件 0件 500 件 1,000 件 1,500 件 2,000 件 2005 年 (n=1032) 2006 年 (n=993) 2007 年 (n=864) 2008 年 (n=1373) 2009 年 (n=1539) 2010 年 (n=1679) 2011 年 (n=1551) 2012 年 (n=2357) 2013 年 (n=1389)

２０１２年は

「管理ミス」の

件数が大幅増加

(9)

1.4 媒体別の漏えい件数

紙媒体

（1384件）

インターネット

（118件）

USB等可搬

記録媒体

（610件）

電子メール

（130件）

紙媒体

（941件）

USB等可搬

記録媒体

（108件）

電子メール

（119件）

紙媒体による漏えいが多い。

（例年通り）

2012年

2013年

(N=2357件)

(N=1389件)

インターネット

（126件）

USBが大幅減少

紙媒体

941件

67.7%

インターネット

126件

9.1%

電子メール

119件

8.6%

USB等可搬

記録媒体

108件

7.8%

PC本体

40件

2.9%

携帯電話

スマートフォン

13件

0.9%

その他

33件

2.4%

不明

9件

0.6%

(10)

1.5 媒体別の漏えい件数（経年）

例年、紙媒体による漏えいが多い

次に「USBメモリ」「電子メール」が多い

515 件 _{435 件} 349 件 768 件 1,117 件 1,165 件 1,065 件 1,384 件 941 件 173 件 106 件 94 件 100 件 58 件 55 件 _{68 件} 43 件 40 件 162 件 81 件 108 件 136 件 144 件 208 件 _{156 件} 610 件 108 件 66 件 218 件 133 件 160 件 70 件 82 件 68 件 118 件 126 件 68 件 76 件 85 件 111 件 108 件 115 件 126 件 130 件 119 件 1 件 0 件 0 件 0 件 13 件 32 件 68 件 51 件 88 件 30 件 40 件 45 件 63 件 33 件 16 件 _{8 件} 44 件 10 件 12 件 14 件 23 件 9 件 9 件 0 件 500 件 1,000 件 1,500 件 2,000 件 2005 年 (n=1032) 2006 年 (n=993) 2007 年 (n=864) 2008 年 (n=1373) 2009 年 (n=1539) 2010 年 (n=1679) 2011 年 (n=1551) 2012 年 (n=2357) 2013 年 (n=1389)

不明

その他

携帯電話スマートフォン

FTP

電子メール

インターネット

USB等可搬記録媒体

PC本体

紙媒体

2013年は

「インターネット」

が増加

(11)

1.6 全組織の共通問題「人為的ミス」

人為的ミスの対策が必要！

（ヒューマンエラー）

管理ミス、誤操作、紛失・置き忘れの人為的ミスによる情報セキュリ

ティインシデントは、毎年件数が多く、高い割合を占める

インシデントの３大要因は人為的ミス

「管理ミス」「誤操作」「紛失・置き忘れ」

人為的ミス

2008年

2009年

2010年

2011年

2012年

2013年

インシデント件数

(%)

982件

(71.5%)

1275件

(

82.8%

)

1363件

(

81.2%

)

1249件

(

80.5%

)

2054件

(

87.1%

)

1071件

(

80.3%

)

インシデント人数

(%)

516.7万人

(71.4%)

269.6万人

(47.1%)

149.5万人

(26.8%)

256.0万人

(40.7%)

805.3万人

(82.8%)

157.3万人

(17.0%)

インシデント人数のばらつきが大きい

1件あたりの漏えい人数は少ない

(12)

1.7 「人為的ミス」の発生確率①

293

243

290 2,246

317 4,082

14,819

10,654

18,116

6,872

15,987

5,300

9,418

13,173

0%

20%

40%

60%

80%

100%

携帯電話事故

パソコン事故

USBメモリ事故

電子メール事故

SNS事故

事故あり

事故なし

持っていない/使ったことがない

n=20,362

2012年1年間で、携帯電話／パソコン／USBメモリの紛失・盗難、電子メールの誤送信、SNS等への情

報漏えいや不適切書き込みをしてしまった経験がある人は？

1.4％

1.2％

1.4％

11.0％

1.6％

※母数は、インシデント対象を持っていない/使ったことがない人も含む20,362人

※携帯電話・パソコン・USBメモリの「事故あり」は、業務データを保存した会社貸与/私物の紛失・盗難のみ

従業員100人の会社では、

z 電子メール誤送信は平均11件

z SNS等への情報漏えい・不適切な

書き込みは平均1～2件

の事故が毎年起きている

従業員100人の会社では、

z 電子メール誤送信は平均11件

z SNS等への情報漏えい・不適切な

書き込みは平均1～2件

の事故が毎年起きている

(13)

1.7 「人為的ミス」の発生確率②

293

243

290 2,246

317 4,082

14,819

10,654

18,116

6,872

0%

20%

40%

60%

80%

100%

携帯電話事故

パソコン事故

USBメモリ事故

電子メール事故

SNS事故

事故あり

事故なし

n=20,362

n= 7,189

n=15,062

n=10,944

n= 4,375

2012年1年間で、携帯電話／パソコン／USBメモリの紛失・盗難、電子メールの誤送信、SNS等への情

報漏えいや不適切書き込みをしてしまった経験がある人は？

※各％の母数は、インシデント対象を

持っていない/使ったことがない人を含まない

※携帯電話・パソコン・USBメモリの「事故あり」は、業務データを保存した会社貸与/私物の紛失・盗難のみ

6.7％

1.6％

2.6％

11.0％

4.4％

業務に使用する携帯電話・パソコン・

USBメモリは１年間に平均して

z 携帯電話は１００台中の６～７台

z パソコンは１００台中の１～２台

z USBメモリは１００個中の２～３個

が紛失・盗難にあっている

業務に使用する携帯電話・パソコン・

USBメモリは１年間に平均して

z 携帯電話は１００台中の６～７台

z パソコンは１００台中の１～２台

z USBメモリは１００個中の２～３個

が紛失・盗難にあっている

(14)

1.8 人為的ミスの対策案

被害の大きさと投資対効果を考慮したセキュリティ対策の方針を採用

② 一般的な対策ではこれ以上の削減が期待できない場合、

インシデントが発生しても被害を最小限に留める対策を実施

被害額よりも

対策コストが大きい

⇒失敗

対策コストインシデント件数

① 業務の重要度やインシデント発生時の被害の大きさに応じて

セキュリティ対策を

差異化

全社統一のセキュリティ対策の

ため、現場から不満が続出？

全社統一のセキュリティ対策では、

重要なシステムは対策不足？

(15)

1.9 人為的ミスの対策案①

～対策の差異化～

① 業務の重要度やインシデント発生時の被害の大きさに応じて

セキュリティ対策を差異化

たとえば、BYODを導入した企業では、スマホの盗難や紛失のインシデントが

毎年、一定数発生している！

求めるセキュリティレベルが異なる

⇒

スマートフォン OK

営業社員

¾ 外出が多い＝外出先で作業したい

移動時間を効率的に使いたい

¾ 機密性の高い情報は扱わない

⇒

スマートフォン NG

固定PCのみOK

スタッフ社員

¾ 外出しない

¾ 機密性の高い情報を扱う

（財務、知的財産等）

リスクを認識し、

コントロールすれば怖くない

ビジネス拡大を重視

(16)

1.9 人為的ミスの対策案②

～被害の最小化～

② 一般的な対策ではこれ以上の削減が期待できない場合、

インシデントが発生しても被害を最小限に留める対策を実施

たとえば、メールの誤送信やUSBメモリの紛失のインシデント発生件数は、

ゼロにできない！

暗

号

化

情報漏えい

発生

紛失/盗難

メール送信

添付ファイル

（平文）

情報漏えい

発生

誤送信

暗号化

指紋認証

メール送信

添付ファイル

（暗号化）

情報漏えい

なし

情報漏えい

なし

紛失/盗難

誤送信

インシデント発生件数を削減できないのであれば

インシデントが発生しても被害を最小限に留める対策へ！

(17)

パスワードリスト攻撃

水飲み場型攻撃

クラウドサービスの乗っ取り

(18)

No.

漏えい人数

業種

原因

1 400万人情報通信業

不正アクセス

2 169万2496人情報通信業

不正アクセス

3 47万人卸売業，小売業

不正アクセス

４ 42万6000人公務(他に分類されるものを除く)

紛失・置忘れ

５ 24万3266人情報通信業

不正アクセス

6 17万5297人情報通信業

設定ミス

7 15万0165人卸売業，小売業

不正アクセス

8 12万0616人金融業，保険業

管理ミス

9 10万9112人情報通信業

不正アクセス

10 9万7438人情報通信業

不正アクセス

2. 2013年インシデント・トップ10

情報通信業

が多い

パスワードリスト攻撃

2013年は

不正アクセスが

急増！

(19)

2.1 パスワードリスト攻撃

同じID、パスワードを使い回しているアカウントを狙った不正ログイン攻撃

無料

オンライン

サービス

ＩＤ: [email protected] PW: Hogeh0ge!

オンライン

ショッピング

サイト

ＩＤ: [email protected] PW: Hogeh0ge!

オンライン

ゲーム

ＩＤ: abc PW: Hogeh0ge!

ＳＮＳ

ＩＤ: abc PW: Hogeh0ge!

クラウド

サービス

ＩＤ: [email protected] PW: Hogeh0ge! ＩＤ: [email protected] PW: Hogeh0ge! ＩＤ: [email protected] PW: Hogeh0ge! ＩＤ: [email protected] PW: Hogeh0ge!

漏

洩

攻撃者

パスワードの使い回し! ID=メールアドレスを指定!

不正ログイン

NTTコミュニケーションズ 400万人 (2013/7/24) LINE 169万人 (2013/7/19) UCC上島珈琲 47万人 (2013/1/7) サイバーエージェント 24万人 (2013/8/12) セブンネットショッピング 15万人 (2013/10/23) グリー 4万人 (2013/8/8) 大規模なパスワードリスト攻撃の例 Copyright (c) 2000-2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

(20)

2.1 パスワードリスト攻撃の被害例

パスワードリスト攻撃が成功してアカウントへ不正アクセス

されてしまった場合の被害

オンライン

ショッピング

サイト

ＳＮＳ

クラウド

サービス

ＩＤ: [email protected] PW: Hogeh0ge! ＩＤ: [email protected] PW: Hogeh0ge! ＩＤ: [email protected] PW: Hogeh0ge!

攻撃者

不正ログイン不正ログイン

乗っ取ったアカウントを使って

換金性の高い商品を不正購入

乗っ取ったアカウントの友人から

電子マネーをだまし取る

乗っ取ったアカウントを使ってCPUリソー

スを不正利用したり、攻撃の踏み台や

水飲み場型攻撃用のWebページやC&C

サーバに使う(p.19)

(21)

2.1 パスワードリスト攻撃の対策案

パスワードリスト攻撃によって不正ログインされないためには

z パスワードを使いまわさない。同じパスワードを使わない

z 2要素認証など、不正アクセス対策がしっかりした

サービスを積極的に利用する

z 解読されやすい秘密の質問を使用しない

z ログインできる端末やIPアドレスを限定する(可能な場合)

z 設定ミスに気をつける(クラウドサービスの場合。P.22参照)

例) 母親の旧姓は？＝鈴木

出身地は？

＝東京

2要素認証

パスワードリスト攻撃で1段階目

の認証を突破されても

2段階目の認証を突破できない

(22)

2.2 水飲み場型攻撃

ユーザがアクセスする可能性の高いWebページへ

Drive-By-Download攻撃を仕掛ける

水飲み場型攻撃

が大量発生。

⑦情報窃取、スパムメール送信、 DDoS攻撃など

Web閲覧者

別のWeb サーバ Y ④ウイルス本体のダウンロード ③悪質なコード/ファイル実⾏攻撃者 C&C サーバ(※) ⑤ウイルス実⾏バックドア作成 ⑥ 命令内部動作 (非表示)

正規の

Web

ページ

正規の Webサーバ ①正規のWeb ページを閲覧 (⽔飲み場型攻撃の仕掛けあり) 攻撃者⽔飲み場型攻撃の仕掛け

正規の

Webページ

（⾒た⽬は異常なし）⽔飲み場型攻撃の仕掛け別のWeb サーバ X 悪質な JavaScript, PDF, Flash ②⾃動的に別Web ページへ誘導して、悪質なコード/ファイルをダウンロード

Drive-By-Download攻撃

日産自動車のWebサイト改ざん (2014年8月26日) パロアルトネットワークスのWebサイト改ざん(2014年9月11日) GMOのブログサービス JUGEMのWeb サイト改ざん(2014年5月28日) HISのWebサイト改ざん (2014年5月28日) 大規模な水飲み場型攻撃の例

(23)

2.2 水飲み場型攻撃の対策案

水飲み場型攻撃によってウイルスに感染しないためには

z 最新のセキュリティパッチを適用する

z Java/ActiveX/Flash/Silverlightの不必要な実行を許可しない

z ネットワーク対策/感染防止(URLフィルタの導入)

z ネットワーク対策/早期検知(通信ログの監査、サンドボックス検知)

ウイルス対策ソフトはほとんど検知しない！

ユ

ー

ザ

の

対策

シス

テ

ム

側

の

対

策

(24)

2.3 クラウドサービスの乗っ取り

ユーザが利用しているSalesforce、Amazon EC2やWindows Azureな

どのクラウドサービス(仮想サーバ)へ不正ログインして、不正に利用

する

乗っ取ったアカウントを使って

• CPUリソースの不正利用

• 攻撃の踏み台(DoS攻撃、Spam送信)

• 水飲み場型攻撃

(Webページ、C&Cサーバ(p.19))

例えば、乗っ取ったクラウドサービスを不

正に使用して、ビットコインのマイニング

を実行（ビットコインの取引時の認証の

計算を行い、報酬をビットコインで得る）

(25)

2.3 クラウドサービスの乗っ取りの原因

クラウドサービスは、サーバ構築や運用の知識がない人でもサーバを

構築/運用できるため、さまざまなセキュリティの問題が発生

• セキュリティ対策が不十分

（使いやすい設定を適用）

（脆弱性を放置）

• セキュリティ設定ミス（不要なサービスを起動）

• 簡単なパスワードを設定

セキュリティ設定より使いやすい設定を優先

Webサーバなどのセキュリティパッチを適用

したり、バージョンアップしたりできない

サービスの構成を把握せず、セキュリティ設

定が不十分なサービスをそのまま運用。そ

のサービスから不正侵入される

初期パスワードのままで運用

(26)

2.3 クラウドサービスの乗っ取りの対策案

クラウドサービスが乗っ取られないためには

z 複雑なパスワードを設定する。

パスワードを使いまわさない。同じパスワードを使わない

z ログインできる端末やIPアドレスを限定する(可能な場合)

z 設定ミスに気をつける

z セキュリティ対策が強化されたクラウドサービスを利用する

サーバ構築や運用の知識がない人がサーバを

構築/運用するので、安心できるクラウドサー

ビスを推奨したり、利用するクラウドサービスを

限定してIT部門がサポートするほうがよい

サーバ構築や運用の知識がない人では難しい・・・

(27)

2.4 最新のサイバー攻撃の対策案まとめ

2.1 パスワードリスト攻撃

2.2 水飲み場型攻撃

2.3 クラウドサービスの乗っ取り

定期的に新しい脅威、攻撃を調査して

セキュリティ対策を追加

これからも

新しい攻撃は

増える！

(28)

(29)

3. 過去の内部犯罪による個人情報漏洩

Yahoo!BB （2004年2月27日）

ヤフーBB代理店社員が、恐喝目的で約450万人分の個人情報を持ち出す

Yahoo! BB会員に500円相当の金券送付

裁判の結果、1人あたり6,000円✕5名の損害賠償

三菱UFJ証券（2009年1月26日）

システム部の部長代理が、顧客データベースから約149万人分の個人情報を

不正に引き出して、名簿業者4社へ転売。動機は借金500万円の返済

5万人に商品券1万円を配布

ベネッセ（2014年7月9日）

グループ企業から再委託した外部業者のSEが3504万人分の個人情報を不

正に引き出して、複数の名簿業者へ転売。動機は借金300万円の返済

760万件の対象者へ金券500円分を配布(特別損失約260億円計上)

(30)

3.1 内部不正対策の誤解と限界

¾ 情報セキュリティ教育

不正行為を認識して実行。怨恨の場合は会社を止めるつもりで実行

¾ 情報セキュリティルール

金銭目的の場合は見つからないように実行。見つからなければ罰則されない

¾ アクセス制限

管理者権限を持っていて無制限の場合が多い

特別なアクセス権限をもった人の内部不正ほど、被害が大きくなる

¾ セキュリティ対策

セキュリティ対策のしくみを知っているので対策を迂回する

技術力があるため、脆弱性を攻撃して権限を奪取する

内部不正は、一般的な対策だけでは通用しない

ルールや教育による対策は間違い

利便性を犠牲にしたり

監視・運用体制やシステムによる対策を強化しなければ

内部不正には対抗できない！

管理者が少ないので、一人でいくつもの

システムの管理者を兼任

(31)

3.2 内部犯罪による個人情報漏洩の原因

顧客情報DBの全顧客情報にアクセス可能な権限を付与

顧客情報DBの開発と運用の両方に関わっていた

顧客情報DBに備わっていた流出防止プログラムを解除していた

顧客情報DB等のアクセスログの監査が不十分

PCに接続されたスマートフォンへのデータコピーを制限していな

かった

顧客情報ＤＢに忍び込ませていたダミーデータが名簿業者に見抜

かれて機能しなかった。

ベネッセの場合に問題だったと思われる点

(32)

3.3 内部犯罪(情報漏えい)の対策案

顧客情報DBの全顧客情報にアクセス可能な権限を付与

→ 不要な権限を与えない。DBのメンテナンスに必要な権限の

みを与える。OSの管理者権限やデータアクセス権限は与え

ない

顧客情報DB等のアクセスログの監査が不十分

→ アクセスログを自動監査し異常を早期検知

PCに接続されたスマートフォンへのデータコピーを制限していな

かった

→ USBメモリだけでなく、スマホに使われている新しい方式メ

ディア転送プロトコル（Media Transfer Protocol：MTP）,画像

転送プロトコル（Picture Transfer Protocol：PTP)も制限する

ベネッセの場合の対策案

新しい技術が開発される

と新しいリスクが出現する

⇒定期的なリスク分析と

対策見直し！

「委託しない」という対策はどうなのか？

全ログの目視監視は不可能

(33)

3.4 内部不正の対策のポイント①

顧客DBなどの重要なシステムを

優先して対策する

内部不正に有効な対策

• 細かなアクセス制限や権限分離

• 不正行為の検知/防止システム導入などのシステム対策

• 重要な操作の実施時の立会い

• 操作記録やログ取得とその監査

• 定期的なリスク分析と対策見直し

内部不正の対策はコストが高い

(34)

3.4 内部不正の対策のポイント②

一般的な対策が通用しない人による内部不正に対抗するには

早期検知/早期対応と被害最小化

（特別な権限あり、技術力あり、セキュリティ対策を迂回可能）

• 操作記録やログ取得とその監査

• 定期的なリスク分析と対策見直し

• 細かなアクセス制限や権限分離

• 不正行為の検知/防止システム導入

• 迅速な初動対応

内部不正も完全に

防ぐことがほぼ不可能

(35)

まとめ

(36)

人為的ミスによる

機密情報漏えい

内部犯罪・

内部不正行為

サイバー攻撃

発生の頻度と被害の大きさ、セキュリティ対策の費用対効果を考慮し

対策の優先順位を決定

(37)

人為的ミスによる個人情報漏えい

→ 発生確率が高い、被害が小さい

→ 効果の高い予防策

とする

被害の最小化対策

を組み合わせる

サイバー攻撃

→ 発生確率は企業組織/環境で異なる、被害が大きい

→ 定期的に

新しい脅威、攻撃を調査

してセキュリティ対策を追加

内部犯罪・内部不正行為

→ 発生確率が低い、被害額が大きい

→ 重要なシステムを優先

して対策

被害の大きさと対策費用を考慮した合理的なセキュリティ対策の方針

(38)

もくじ 1. 個 人 情 報 漏 えい 調 査 結 果 2. サイバー 攻 撃 事 情 3. 内 部 犯 罪 内 部 不 正 行 為 2/ 38

大谷 尚通 (株)ＮＴＴデータ

2015年 1月20日

セキュリティ被害調査WG

【A3】

多様なリスク時代の

セキュリティ対策の考え方

【1. 個人情報漏えい調査結果】

【3. 内部犯罪・内部不正行為】

【2. サイバー攻撃事情】

2013年/2014年上半期

情報セキュリティ

インシデントに関する調査結果

～個人情報漏えい編～

2013年データ

2012年データ

漏えい人数

925万4513人

972万65人

漏えい件数

1388件

2357件

想定損害賠償総額

1438億7184万円

2132億6405万円

一件当たりの漏えい人数

7027人

4245人

一件当たり

平均想定損害賠償額

1億924万円

9313万円

一人当たり

平均想定損害賠償額

2万7707円

4万4628円

1. 2013年 個人情報漏えいインシデント

期間：２０１３年１月１～１２月３１日（※１２ヶ月分）

インターネットニュースなどで報道されたインシデントの記事、

組織からリリースされたインシデントの公表記事などをもとに集計

2014年上半期

2013年データ

漏えい人数

74万4453人

925万4513人

漏えい件数

944件

1388件

想定損害賠償総額

245億8688万円

1438億7184万円

一件当たりの漏えい人数

823人

7027人

一件当たり

平均想定損害賠償額

2726万円

1億924万円

一人当たり

平均想定損害賠償額

4万9715円

2万7707円

1. 2014年上半期 個人情報漏えいインシデント

期間：２０１４年１月１～６月３０日（※６ヶ月分）

インターネットニュースなどで報道されたインシデントの記事、

組織からリリースされたインシデントの公表記事などをもとに集計

1.1 漏えい人数と件数(経年)

漏えい人数

インシデント件数

漏えい人数は、ほぼ横ばい

公表さ

れ

た

イ

ン

シ

デ

ン

ト

件数は

もくじ 1. 個人情報漏えい調査結果 2. サイバー攻撃事情 3. 内部犯罪内部不正行為 2/ 38

大谷尚通 (株)ＮＴＴデータ

_{1億924万円}

_9313万円

1. 2013年個人情報漏えいインシデント

_2726万円

_{1億924万円}

1. 2014年上半期個人情報漏えいインシデント