帝国データバンクが10月19日に発表した企業アンケートによると、情報漏えいやその可能性のある事案が「発生したことがある」と回答した企業は16.2％だった。直近1年以内の発生は5.5％、1年以上前の発生は10.7％。一方、情報漏えいが発生したか「分からない」と回答した企業も14.8％あり、企業側の把握状況が課題として浮かんだ。
事案の詳細
帝国データバンクは、全国の企業を対象に情報漏えいに関するアンケートを実施した。調査期間は10月9日から14日までで、1328社から回答を得た。
人為的なミスやサイバー攻撃などによる情報漏えい、またはその可能性のある事案について、「発生したことがある」と答えた企業は16.2％だった。発生時期の内訳は、直近1年以内が5.5％、1年以上前が10.7％となった。
企業規模別では、大企業の30.2％が「発生したことがある」と回答し、全体を14.0ポイント上回った。直近1年以内の発生は、大企業が8.8％、中小企業が5.0％だった。
具体的な事案としては、メールの誤送信などの人為的ミスや、取引先担当者を装ったメールを信じて情報を送ってしまった例、外部からのサイバー攻撃などが挙げられた。攻撃手法や個別事案の被害件数、被害規模などの詳細は、現時点で不明。
一方、情報漏えいが発生したか「分からない」と回答した企業は14.8％に上った。専門家や社内の確認体制が不足し、漏えいの有無を判断できない企業もあるとみられる。
影響と背景
情報漏えいは、発生した事実そのものだけでなく、発生を把握できない状態も企業運営上のリスクとなる。今回の調査で「分からない」という回答が14.8％に達したことは、情報漏えいの防止だけでなく、発生を迅速に検知し、見逃さない仕組みの整備も必要であることを示している。
企業規模によって経験率に差がある一方、中小企業では専門人材や予算の不足を背景に、発生の有無を十分に確認できない可能性がある。調査結果からは、社内での監視、ログの記録、確認・報告の手順を整備することの重要性が浮かび上がった。
対策・今後の展望
- 発生有無を判断できる状態にする：情報漏えいを防ぐだけでなく、発生を検知し、事実関係を確認できる仕組みを整える。端末やサーバ、クラウドサービスなどのログを適切に保存し、必要な期間にわたって確認できるようにする。
- 社内の確認・報告の流れを明確化する：異常に気付いた際に誰が何を確認し、どこへ報告するかを決める。メールの誤送信や不審なアクセスなど、事象ごとの初動手順を文書化し、判断が属人化しないようにする。
- 継続的な点検を前提にする：単発の取り組みで終わらせず、定期的にアクセス権限、ログ取得、バックアップ、従業員教育、インシデント対応手順を見直す。自社だけで対応が難しい場合に備え、外部の専門家や相談窓口もあらかじめ確保しておく。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用や診断では、「漏えいしたか分からない」に直結する“監視・記録が薄い”状態が目立ちます。端末やサーバのログが残っていない、確認担当が決まっていないなど、発生の有無を後から追えないケースがあります。
【観点②：平易な解説】これは例えるなら、会社の鍵が開いた形跡があっても「いつ誰が入ったか分からない」状態のようなものです。被害がないと言い切れず、確かめようとしても材料が不足しているということです。分からない期間が長いほど、原因究明や関係先への連絡などの対応が遅れる可能性があります。
【観点③：今週中にできること】まず、自社で「異常に気付いたときの連絡先」と「確認の手順」が文書で決まっているかを確認してください。次に、PCやサーバで“いつ・誰が・何をしたか”の記録が残る設定になっているか担当者に確認します。最後に、分からない事案が出たときに外部へ相談する窓口も決めておくと、初動を速められます。