セキュリティの
学び場

今回の解説ニュース

USBメモリの紛失により発生した損害賠償が請求されています。セキュリティ体制の中で設置される責任者の役割や、損害賠償請求では補填できないインシデントの被害について説明します。

今回のインシデントは、尼崎市が委託する企業の関係社員がコールセンターでのデータ移管作業のために必要なデータを記録したUSBメモリを入れたかばんを紛失したものです。その後、USBメモリー紛失事案に関する調査報告書が公表されています。

尼崎市では調査報告書受領後に、ハード面、ソフト面、研修の3点について、対応と再発防止策を実施しています。また、本件事案で有形損害が生じたと認められるため、委託する企業に対して、損害賠償を請求するということです。

CIO（最高情報統括責任者）の役割

例えば、みなさんが雑貨屋さんを開いたとします。より、売上を上げようとした際に考えられることは何ですか？

まずは近所の人に知ってもらうためにチラシを配ったり、もっとITに詳しかったら、ECサイトを立ち上げて全国の人に雑貨を売ってみようとするとします。チラシだけではご近所さんにしか届きませんが、ECサイトであれば世界中に届けることができそうです。雑貨屋さんでECサイトを始めようという判断が、まさにCIOに求められる役割のひとつになるかもしれません。

CIOとは、Chief Information Officerの略で、最高情報統括責任者などと訳される、情報システム部門の最高責任者に割り当てられる役割です。企業の経営方針に寄り添って情報システムの戦略を立案するため、技術的な知識だけでなく、経営に関する知識も求められます。

情報セキュリティ監査とは

例えば、みなさんがお出かけをする際に、着ている服が似合っているかどうかは、どのように確認をされていますか？鏡を見てチェックしてみたり、誰かに見てもらったりして、自分では気が付かないところで変なことになってないか、確認してもらうと思います。情報セキュリティ監査も同様で、セキュリティ対策が十分に実施できているかどうかを、実施した本人では気が付くことができない点に対して、第三者の観点から確認してもらうことを目的としています。情報セキュリティ監査でも、内部監査は、組織内の独立した担当者が行い、外部監査は外部の専門家が行うことが一般的です。

無形損害の被害請求は難しい？

無形損害は直接、金額が導き出せないため、請求しにくい傾向があるかもしれませんが、損害賠償が発生しないというわけではありません。

JNSAが発表している「インシデント損害額調査レポート 2021年版」では、無形損害として、ブランドイメージ毀損、株価下落が挙げられています。コスト総括として、ブランドイメージ毀損においては、その企業の売上に対して、数十パーセント程度の損失を引き起こすことが想定されています。また、株価下落においては、時価総額として、数十パーセント程度の下落を招いた過去の事例もあるようです。

これらの無形損失が認められた場合、損害賠償の対象となる可能性もあると考えられます。