データ漏洩とは

データ漏洩は、規模やデータ セキュリティ・リスク管理の慣行を問わず、あらゆる組織で起きる可能性があります。過去 10 年間に発生した最も大きなデータ漏洩の例を次に示します:

2017 年、米国の信用調査所が消費者苦情ポータルを介してハッキングされ、1 億 4,790 万人のアメリカ人、1,520 万人のイギリス人、約 19,000 人のカナダ人の個人記録が漏洩しました。その後、データ漏洩の影響を受けた人々を支援するために、4 億 2,500 万米国ドルを支払うことで和解が成立しました。

2013 年に、サイバー犯罪者がサードパーティ ベンダーから盗まれた資格情報を使用し、米国の大手小売企業のゲートウェイ サーバーにアクセスし、その結果、7,000 万件の顧客の記録と共に、4,000 万個のクレジット カードおよびデビット カードの番号が漏洩しました。この侵害の後、同小売企業は顧客情報を保護するための高度な対策の導入を余儀なくされました。推定被害総額は 2 億 200 万米国ドルでした。

2014 年に、北朝鮮のサイバー攻撃者がマルウェアを使用し、ある多国籍エンターテイメント スタジオの 100 テラバイトを超えるデータにアクセスし、漏洩させました。このデータには、従業員の個人情報、メール、給与、当時未公開だった映画のコピー、その他の情報が含まれていました。同社は評判と収益に大きな影響を受け、従業員の個人データが失われたことに対して補償するために、800 万米国ドルを支払うことに同意しました。

2021 年 11 月、ジョージア州の医療センターに対して不満を抱えていた元従業員が、漏洩を目的に同医療センターのシステムから個人の USB ドライブに個人データをダウンロードしました。その結果、患者の検査結果、名前、生年月日が漏洩しました。この医療センターでは、データ漏洩の被害を受けた患者全員に対し、アイデンティティの復元と信用情報の監視サービスを提供する必要がありました。

データ漏洩は、規模に関係なく、どの企業にとっても大きな懸念事項です。金銭的な損失、評判の低下、規制上の罰則につながる可能性があります。しかし、堅牢なデータ漏洩対応計画を備えることで、データ漏洩の影響を効果的に管理および軽減できます。データ漏洩が起きた場合に実行する手順を次に示します:

データ漏洩とその影響に関するできるだけ多くの情報を収集します。インシデントの原因と範囲を特定し、侵害されたデータの種類と量を把握します。

影響を受けたシステム、デバイス、データを分離してセキュリティで保護し、それ以上のデータの損失や不正な使用・アクセスを防ぎます。セキュリティ対策と制御を実装し、データの漏洩を止め、損害を最小限に抑えます。

インシデントの根本原因と結果を分析します。データ漏洩の原因となった脆弱性や、セキュリティ ポリシーと慣行のギャップを特定します。

攻撃者は、偽のメールや Web サイトを通じて従業員を騙し、機密情報を開示させようとする可能性があります。

クラウド サービスが適切にセキュリティで保護されていないと、承認されていないユーザーによって、クラウドに格納されているデータにアクセスされる可能性があります。

管理機関により定められた規則や規制に従い、法的義務と責任を果たします。データ漏洩を関連機関に報告し、法的および規制上のリスクを回避または軽減するために必要な措置を講じます。

データが漏洩した個人または関係者に通知します。必要な情報と支援を提供し、組織を保護すると同時に、信頼とロイヤルティの損失を最小限に抑えます。

漏洩により失われた、もしくは破損したデータをセキュリティで保護し、復元します。データの不正使用による今後の損害を防ぎ、軽減するための対策を講じます。

データ漏洩に関する PR を管理し、評判の低下を食い止めます。インシデントについて透明性の高いコミュニケーションを取り、責任を取り、今後再発を防ぐために行われた措置の概要を示します。

これらの手順に従うことで、データ漏洩に効果的に対処し、影響を最小限に抑え、顧客と利害関係者の継続的な信頼を確保できます。