BCM は情報漏えいによる損失の軽減に寄与するのだろうか？(※画像はイメージです　Photo AC)

情報セキュリティやプライバシー問題などが専門の調査機関である、米国の Ponemon Institute は、IBM からの支援を受けて、情報漏えいコストに関するアンケート調査を行い、その結果を「2017 Cost of Data Breach Study」（以下「本報告書」と略記）として 2017 年 7 月に発表した（注 1）。

調査対象は 日本および欧米、アジアおよび中東などの主要な国における 419 社であり、2016 年に発生した情報漏えいのうち、1,000 件以上の個人情報が漏えいした事案を対象として、アンケート調査を実施している。

本報告書には「Impact of Business Continuity Management」という副題が付けられており、企業における BCM プログラムが、情報漏えい事案の検知および対処にかかる時間の短縮や、情報漏えいによって発生するコストの軽減に寄与していることが、調査結果から示されている。

図1  業種ごとの MTTI および MTTC（出典）Ponemon Institute: 2017 Cost of Data Breach Study

図 1では情報漏えい事案が発生してから、事案の発生が検知されるまでの日数と、漏えいを食い止めるための対処をするためにかかった日数が、業種ごとに分けて示されている。ここで使われている「MTTI」と「MTTC」の意味は次の通りである（いずれもグラフ上では日数で示されている）。

MTTI: Mean Time To Idendify（情報漏えいが発生したことを検出するまでにかかった時間の平均）
MTTC: Mean Time To Contain（情報漏えいを食い止めるまでにかかった時間の平均）


例えば金融業の場合は、実際に情報漏えいが発生してから平均で 155 日後に検知され、その時点から情報漏えいを食い止めるための対処に平均で 34 日かかっているという意味である。つまり情報漏えいが発生してから漏えいを食い止めるための対処が完了するまでは、平均でこれらの合計の 189 日かかっていることになる。

全体の平均は MTTI が 191 日、MTTC は 66 日との事であるが、企業における BCM プログラムが情報漏えい対策に関与している企業と、そうでない企業とに分けて集計すると、表 1 のようになっており、BCM プログラムが関与している企業において、情報漏えい事案に対応する時間が短縮されていることが示されている。

表 1 BCM プログラムの関与状況に応じた、対応日数の比較
（出典）Ponemon Institute: 2017 Cost of Data Breach Study のデータを元に筆者作成

また図 2 は、情報漏えいによって発生したコストに対して、どのような要因が影響を与えたかを調べたものである。グラフの中央が平均値に相当し、グラフが右側に伸びているものほど、データ漏洩 1 件あたりのコストが小さくなっていることを示している。

図 2 データ漏洩によって生じた 1 件あたりのコストに対する各種要因の影響
（出典）Ponemon Institute: 2017 Cost of Data Breach Study

これを見ると、最も効果が大きいのは「インシデント対応チーム」であるが、これは BCM プログラムの一部として設置されている場合が多いであろう。また「BCM の関与」が平均よりもコストを $10.9 減らす効果があったとされているほか、BCM プログラムに関係がありそうなものとしては、「従業員の教育訓練」、「損害保険」がプラスの影響をもたらしていることが示されている。

基本的に BCM は災害や事故などによる事業中断が主な対象であるから、本来は情報漏えい事案は BCM の対象では無いと思われるかもしれないが、BCM における様々な施策が、結果的に情報漏えい事案への対処に役立つ可能性もある。読者の皆様が取り組まれている BCM においても、情報漏えいなどの事案が発生した場合に、どのような対処ができるか、あらためて検討してみてはいかがだろうか。

■ 報告書本文の入手先（PDF 24 ページ／約 1.3 MB）
http://www-935.ibm.com/services/us/en/it-services/business-continuity/impact-of-business-continuity-management/index.html

注 1） 前回、前々回に続いて今回も情報セキュリティ関連の調査報告書の紹介が続いているが、これは筆者の情報源（主に海外の BCM 関連ニュースサイトなど）において、情報セキュリティ関連の話題が非常に多くなっているためである。本連載における 2017 年 2 月 27 日付け、および同年 5 月 2 日付けの記事でご紹介したとおり、BCM 関係者の間で情報セキュリティに関する懸念が高まっている影響であると思われる。

注 2） 本報告書の原文では「Extensive use of DLP」と記述されており、「DLP」という用語に関する説明がないが、情報セキュリティ分野で「Data Loss Prevention」と総称されているシステムを指すと思われる。これは機密情報が含まれているデータが外部に流出しないよう、事前に定義された条件に則ってファイルの利用状況やコピー、送信などの状況を監視し、必要に応じて制限を行うようなシステムである。

（了）