情報漏洩を半年後に公表 「スイパラ」に批判の声 どこで対応を誤ったのか：サイバーセキュリティのプロに聞く（2/3 ページ）

[濱川太一，ITmedia]

公表が遅れた理由

　「今回の発表まで時間をいただいたことを、おわび申し上げます」

　井上商事は6月7日の公表文でこう謝罪した。同社は21年12月末に利用客と一部クレジットカード会社からの指摘で、情報漏洩の疑いを把握。22年2月末には第三者機関による調査で情報漏洩を確認。それから公表に、さらに3カ月を要した。

公表資料をもとに筆者が作成

　今回の対応はどこに問題があったのか。

　公表がこのタイミングになったことについて、須田氏は「システム管理の不備によって、実情の把握と確認が手間取ったと考えられる」と指摘する。

　一方で、即時の公表の是非については意見が分かれるという。

　被害範囲が不確定な状態で公表すると、風評被害を招くほか、不要な再発行依頼や問い合わせという形で消費者やクレジットカード会社にもしわ寄せがいく。

　他方で、今回の公表文では2月末の第三者機関による調査完了から発表までに3カ月を要した経緯が記載されていない。須田氏は「3カ月間に何をしていたかを一文だけでも加えれば良かったのではないか」と説明する。

　その上で、須田氏はクライシスマネジメント（危機管理）の観点から「2月末に第三者機関による調査が完了した時点で、一次公表をする必要があった」と指摘する。

「2月末に第三者機関による調査が完了した時点で、一次公表をする必要があった」と須田氏は話す（画像はイメージ、ゲッティイメージズ）

　クライシスマネジメントとは、サイバー攻撃などの危機が発生した際に、被害を最小限に抑えるためにいかに対処するかという考え方だ。よく耳にするBCP（事業継続計画）が、災害などに遭った際に事業をいかに復旧できるかという「復旧観点」であるのに対し、クライシスマネジメントは、一時対応として何が必要かという観点だ。

　半年後の公表となった理由について、井上商事は取材に対し、以下のように回答した。

　「本来であれば疑いが生じた時点でお客さまにご連絡し、注意を喚起するとともにおわび申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客さまへのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことにしました」

　同社がもし、2月末に一次公表をしていれば、ここまでの批判は回避できたのかもしれない。