サイバーセキュリティ保険のことならGift Your Lifeへ

「ウィルス対策ソフトは死んだ」

Antivirus ”is dead,“ says Brian Dye, Symantec's senior vice president for information security.

これは、2014年5月に米国のウォールストリートジャーナルが報じた、ウィルス対策ソフト大手のシマンテック(現ノートンライフロック社)の副社長兼情報セキュリティ担当役員Brian Dye氏の発言です。

個人情報の漏洩だけがサイバー攻撃だと思っていませんか? サイバー攻撃の標的はいくつもあります。個人情報の漏えい、データの損壊・改ざん等の深刻な被害が世界各地で起きています。日本国内も例外ではありません。その手段は巧妙化しており、様々なツールやサービスを用いてもイタチごっこ状態。もちろんツールやサービスを導入し、防衛策を張ることも必要です。しかし、その網をかいくぐる攻撃が存在することも事実です。その“もしも”に備える、言わば『最後の砦』が、サイバーセキュリティ保険なのです。

サイバーリスクの現状

そのメール開いて大丈夫？

サイバー攻撃の入り口はメールが90%

近年、マルウェアEmotetを仕込んだ標的型メール攻撃により、中小企業での被害が多発しています。
さらに、進化して今はランサムウェアが増殖しています。
PCファイルを盗んで一部を公開し、高額な身代金を要求する「ランサムウェア」被害が多発しているのです。ニュースでは大手企業の事件が取り上げられることが多いですが、もはや対岸の火事ではありません。

改正個人情報保護法の施行で広がる責任の範囲

「うちの規模なら、まだ大丈夫」なんて思っていませんか?

2020年6月に成立した『改正個人情報保護法』が、2022年春に施行予定です。この『改正個人情報保護法』の施行により、【厳しい通知ルール】と最大1億円の制裁金が追加されます。
この【厳しい通知ルール】というところが中小企業でも看過できないポイントなのです。

現行法

個人情報取扱事業者による、個人情報の漏えい等の発生時の個人情報保護委員会への報告、本人への通知は法定の義務ではなかった

必要な措置を講じることが望ましい
速やかに報告するよう努める?

(「個人データの漏えい等の事案が発生した場合の対応について」平成29年個人情報保護委員会告示第1号)

法改正の内容

漏えい等が発生し、個人の権利利益を害するおそれがある場合に、委員会への報告及び本人通知を義務化する

(個人情報保護法22条の2)

報告の義務化と原因・被害範囲の調査の重要性

今回の改正で初めて個人情報保護委員会(管理機関)への報告が義務付けられます。
しかも『速報』と『確報』が必要となります。
ここでいう『速報』とは概ね3~5日、『確報』とは当該事態を知った日から三十日以内(※)とあります。
個人情報の漏えいがあった場合、その報告内容は、「漏えいの原因」「被害範囲」「再発防止策」など多岐にわたります。サイバーインシデント(事故や犯罪)に関する事態を、政府も深刻に捉えているからこそ、今回の改正に至っていると言えます。
そのため報告義務を怠ったり、悪質な違反を行った企業へは最大1億円の罰金に加え、社名も公表するとしています。
※参照:個人情報保護委員会規則第六条の三(2021年12月時点)

詳細な原因・被害範囲の調査を行わなければ、報告義務に足る適切な通知・報告は難しいと言えるでしょう。
サイバー攻撃により、個人情報が漏えいしたことに気づいても、そこから漏えいの原因を探って、被害範囲の調査を行い、再発防止には何をすればいいかを調べて・・・ということを自社だけで行うのはハードルが高いと言わざるを言えません。そこで、専門業者に依頼をするにしても高額な調査費用が掛かってしまいます。
例えば、PC一台を調べるのに50~100万円かかる場合があります。もちろん調査内容によって金額は異なりますが、調査対象のPC台数が数十台から100台超なんてことになったら・・・ここでポイントになるのが、この調査費用に対して損害賠償請求が請求されうるという点です。

サイバー攻撃の事例

【事例1】テレワークに潜むサイバーリスク

PCファイルを盗んで一部を公開し、高額な身代金を要求する「ランサムウェア」被害。
従来は、ファイルを暗号化して、復旧と引換に身代金を要求するものだったが、最近では、暗号化する前に、大量に情報を盗み出し、その後暗号化し、脅迫に従わない場合は盗み出した情報を小出しに公開し、高額な身代金を要求する手口が増えています。
実際に、国内の大手企業でもサイバー攻撃の報告が増えてきている。昨今増えているテレワークによって、サイバーリスクも増えており、実際に被害も起きています。

<4/29>
従業員が在宅勤務時に自宅で、社内ネットワークを経由せずに外部ネットワークへ接続。SNSを利用した際に、第三者から受領したウイルスを含んだファイルをダウンロードしたことにより、当該従業員の社有PCが感染。
<5/7>
当該従業員が出社し、感染したPCで社内ネットワークに接続。
<5/18>
社内ネットワークを通じ、感染が拡大。
出典:三菱重工業2020年8月7日付プレスリリース

【事例2】中小企業が踏み台に

大手企業がウィルスに感染した場合、その感染源が取引先だったときはその取引先の過失割合は100%から始まります。
つまり、その企業は、自らも「他者から感染」した被害者であることを証明しなければ、事件の発端とみなされ、100%の過失割合となる可能性が大きいのです。
従って、「個人情報を取得していないから」とか「会社規模が小さいから」などの理由で、他人事だと思っていては、大変なことになるかもしれません。

A社において個人情報漏えい事案が発生した。
ただちにA社は、調査報告の義務があるため、フォレンジック業者に依頼し、漏えいの原因調査を行った。
調査対象のPCは、100台。調査費用は1台当たり50万円だった。調査の結果、情報漏えいの原因となるウィルスの侵入経路が、取引先のB社からのメールであったことが判明。
A社は損害額全体の正確な算定が難しいため、調査費用5000万円を損害賠償請求することを決めた。

GYLのサイバーリスク保険

ここまで何度か繰り返してきましたが、セキュリティソフトも、セキュリティシステムも、サーバー攻撃には有効です。でも、完全ではありません。どんなに守りを固めていても、攻撃を避けられない場合があります。もし攻撃されしまったらされてしまったら・・・
法的に報告義務があり、デジタルフォレンジックを行わなければいけません。ランサムウェア等による直接的な被害ももちろんですが、デジタルフォレンジックの時間とコストについても膨大なコストがかかります。先にも述べましたが、踏み台にされる中小企業も、その脅威にさらされていることを忘れてはいけません。
ここで本領を発揮するのが、『サイバーリスク保険』。
とはいえ、「最後の砦」となるサイバーリスク保険だけを考えるだけでも不十分です。
完全でないながらも、セキュリティソフト等で対策を取ることもとても大切です。つまり、トータルで対策を講じていく、取捨選択していくことが重要です。Gift Your Lifeなら、セキュリティ対策からサイバーリスク保険の提供までを一気通貫でサポートします。

GiftYourLifeは、法人様のご相談も数多くいただいており、お客様満足度2年連続で3冠を獲得しています。
法人様の財務状況を踏まえ、最適なサイバーリスク対策をご提案させていただきます。
まずは現状把握のための無料ご相談から！

当社は個人情報の取扱いを適切に行う企業としてプライバシーマークの使用を認められた認定事業者です。

個人情報保護方針

会社概要個人情報の取り扱いについてプライバシーポリシー

このぺージは、各保険の概要についてご紹介したものです。取扱商品、各保険の名称や補償内容は引受保険会社によって異なりますので、ご契約（団体契約の場合はご加入）にあたっては、必ず「重要事項説明書」や各保険のパンフレット（リーフレット）等をよくお読みください。ご不明点等がある場合には、代理店までお問い合わせください。