セキュリティ会社のトップが見せた情報漏えい騒ぎでの対処と防止策：技術のみでは解決できない課題（1/2 ページ）

暗号化ベンダーPGPのフィリップ・ダンケルバーガーCEOは、自社で起きた情報漏えい騒ぎのエピソードから、企業が情報漏えい対策で考慮すべきポイントを紹介した。

[國谷武史，ITmedia]

　「情報漏えい対策は技術も大事だが、最後は人の意識に頼る。わたしの行動を参考にしていただきたい」――暗号化ベンダー米PGPのフィリップ・ダンケルバーガー会長兼CEOがこのほどインタビューに応じ、同社で起きた情報漏えい騒ぎのエピソードを紹介した。同氏は、「技術だけでは解決できない課題へのヒントにしてほしい」と話した。

ダンケルバーガー氏

　同社で起きた情報漏えい騒ぎとは、従業員が顧客へメールを送信する際に多数のメールアドレスが分かる状態で送信したというもの。このようなトラブルは、企業では日常的に起こりがちだが、セキュリティ専業の同社が起こしたという点でメディアなどが問題提起し、ユーザーを巻き込んだ騒動に発展してしまった。

　「日ごろからデータ保護の重要性を提唱しながらも、騒ぎに発展したのはわたしの責任。従業員も意図的にしたわけではないので、責めなかった。公開の場で顧客に謝罪し、信頼回復に努めた」（ダンケルバーガー氏）

　その後、同氏は全従業員を召集して自社のデータを適切に取り扱うようへの注意を呼び掛け、セキュリティ意識を高める研修や啓発を徹底したという。同氏はまた、顧客からのクレームにも対応し、謝罪と再発防止のための取り組みを説明した。

　「メールアドレスが漏えいしただけで、“トップが取るべき対応なのか”という人もいるが、被害者は“メールアドレスが知れ渡るのも嫌だ”と考える。ビジネスのデータはかけがえのないものであり、わたし自身がデータを守るという姿勢を見せたかった」（同氏）

　ダンケルバーガー氏は情報漏えいが起きた場合の行動について、事実を認めることや影響を受ける顧客やパートナーへの対応、漏えいに至った原因究明（データの取り扱い）を真剣に行うべきとアドバイスする。その上で、再発防止策などの組織内部で取るべき対応を着実に実行することが大事だという。

意識改革せよ

　企業や公共機関などによる情報漏えい事件は、メディア報道がされない日がないほど、日常的に発生している。情報漏えい対策は企業の重要なセキュリティ課題の1つになり、データの暗号化やアクセス管理、コンテンツフィルタリングといったさまざま対策技術も登場しているが、一向に減少する気配がない。

　ダンケルバーガー氏はこうした状況について、「重要なデータが漏えいすることでどのような影響が出るのか、それを徹底して守る意識が十分ではないようだ。技術的な対策も大事だが、運用する人の意識で効果は変わる」と話す。

　企業での情報漏えい対策を考える上で、同氏は特にデータの漏えいによって企業自体が被る損失を理解する必要性を挙げる。具体的には、漏えいによって失われる顧客の信頼がどの程度でなり、ビジネスの機会や本来得られるべき収益がいくら失われるのかという点を企業の経営層が十分に理解する。経営に甚大な影響を与える重要データを死守する姿勢を、経営層が持つべきだとしている。

　「特に日本は顧客の個人情報に気を配る点で先進的だが、個人情報ばかりに関心が向いている。技術などの知的財産やパートナー企業との信頼といった点も含めて、経営層が事業に影響する重要なデータが何かを熟知しておくべきだろう」（同氏）

　米国では、2003年7月にカリフォルニア州で制定された通称「カリフォルニア州法SB 1386」という情報漏えいへの対応に関する法律をきっかけに、漏えいの事実を速やかに公表することが企業などに義務付けられた。「これによって、情報漏えいはすぐに経営へダメージを与えるという意識が企業幹部に広まった。実際に漏えい事故での損失額は、2007年に比べて2008年は65％増加している」（同氏）

　同社は、研究調査機関のPonemon Instituteと2005年から情報漏えい事故の実態調査を行っているが、2008年の調査では漏えい情報1件あたりのコストは202ドルとなり、このうち139ドル（69％）が、直接的な売り上げの損失や信頼回復に必要なコストになるとしている。

　2007年に大手小売チェーンのTJXで発生した情報漏えい事件は、最終的に1億件近い顧客情報が漏えいし、当初の対応コストだけでも3〜5億ドルになるとみられている。「現在も多数の損害賠償訴訟を抱えていることから、最終的な損失額の見通しは“青天井”だろう」（同氏）

　情報漏えい事故に対する罰則化や警察機関などによる対応強化は、英国などでも検討されているといい、情報漏えいにおけるコストは今後も増える可能性があると、ダンケルバーガー氏は指摘する。