個人情報狙いの犯罪は著しく増加しているが、データ流出の最大要因は今年も「不注意」だった。
米国の各業種の企業を対象にした情報セキュリティ調査結果が3月にPonemon Institute LLCより発表された。
それによれば、2010年、犯罪組織や意図的なデータ持ち出しといった悪意のあるデータ漏洩事件の件数が2009年に比べて7%上昇した。また情報1件あたりの平均金額は318ドルで、前年比43%増という突出した値を見せている。全体の対応コスト平均金額が214ドルであるから、犯罪性の情報漏洩事件が起きた場合、その対応コストは通常の約1.5倍だといえる。
このようなサイバー犯罪の急増には目を奪われるが、しかし実は情報流出の最大要因は、今回も例年と同じく「不注意」であった。
不注意によるデータ流出件数は全体の41%で首位であるが、数値では、前年の同40%からわずか1%の上昇だった。対応コストは27%上昇したものの、情報1件あたり平均196ドルで、全体平均よりやや低い。
不注意による情報流出件数が、前年に比べあまり増加しなかったのは、企業の、従業員や提携企業、サードパーティなどとの間で取り組んでいるセキュリティポリシーの順守努力の結果が出ていると言えるだろう。
なお、システム障害などがデータ漏洩の要因となったケースはわずか27%である。
調査対象の企業からは、データ漏洩事件の予防に最も効果的な方法は、トレーニングと啓蒙プログラムであるという声が最も多かった。
「企業や団体は、データを保護することだけ考えるのではなく、セキュリティの文化をつくっていく必要がある」と、今回の調査を後援したSymantec社の副社長、Francis deSouzaは語っている。
たしかに、データ保護に完璧は望めない。だが、社員の意識を向上させることで、「うっかりミス」を減らすことができるのである。
例えば一般に、セキュリティ強化のためにログを取得する。だが、実際にはログはあまり活用されていないケースが多い。しかし、例えばスペクタープロが提供するような動画形式のPC操作ログであれば、技術者でない人の目にも操作状況が一目瞭然であるため、ログを予防的、啓蒙的に用いることも可能となる。
御社のログと活用状況について、その他のセキュリティ教育について、今いちど確認、検討することをおすすめしたい。