2021/11/12
非IT部門も知っておきたいサイバー攻撃の最新動向と企業の経営リスク
監督当局からの要求
最後に、GDPRに関連したデータ侵害通知が行われた後に、通知を行った企業がどのようなことを監督当局から要求されたのか、その実態を追ってみたい。
今年7月に英国のデータ保護監督当局ICOが公開した年次報告書 *5 によると、2020-2021年度でICOに報告された通知件数は9,532件とのことである。これはGDPRが施行された最初の年度である2018-2019年の13,840件より3割減っており、本報告書では新型コロナウイルスによる影響で報告が減少していると述べている。
新型コロナウイルスがどのように影響したのかその詳細については述べられていないが、業務の形態が変化したことによって報告が行われていなかったり、そもそも被害に気付けていないといったことがあるのではないかと推察される。実際この一年あまりの間に見てきたサイバー攻撃被害においても、自社の異変に在宅勤務で気付くことができず、外部からの指摘で自社の被害に気付いたという企業をいくつも見てきた。
では、通知を行なった9,532件は、その後どのような対応を監督当局から迫られているのだろうか？
意外と思われる方もおられるかもしれないが、なんと71.4%のケースでは追加のアクションを求められることも無く対応が終了している。
実際、サイバー攻撃を受けたものの被害が認められなかったケースや、深刻な影響が生じないと判断されたケースでは、監督当局への通知後に監督当局より通知を受理した旨を知らせる連絡があるものの、特段の追加報告が無いようであればこのケースは終了すると告げられる。もちろん、のちに何らかの事情により被害が確認された場合には、監督当局への通知があらためて必要であるためこの限りではない。
単に法律の話というわけではない
21.6%のケースでは、追加の調査実施を監督当局が要求している。つまり、5件に1件は通知の内容が不十分もしくは不明瞭、または何らかの理由で追加の調査が必要な状況であるということだ。GDPRは法律の話ではあるものの、技術的な状況についても逐一把握して通知していかなくてはならないため、双方への知見が対応には求められることは確かだ。
また、3.9%のケースでは、企業や組織などの通知を行なった主体が講じるべき追加措置について、監督当局からアドバイスを提供されている。
ここで意外だと思われる方もおられるかもしれない。監督当局は企業や組織に制裁を科すことが目的ではなく、被害最小化のために共に歩んでいく姿勢を示している。そのため、第一報の通知に対する返答では、アドバイスが必要であれば尋ねて欲しいといったことも告げられる。例えば英国であれば、ICOだけでなくNCSC（国家サイバーセキュリティセンター）などのサイバーセキュリティに関連した省庁でも窓口を設けて企業や組織の被害最小化を支援している。
そして、多くの方が最も関心をお持ちであること。実際、どれだけの割合で是正勧告や制裁が科されたのかということだろう。これは0.1%のケースで、是正勧告や制裁が科されている（ただし、ここまでで述べてきた以外にも少数のいくつかの対応事例があるため、ここまで出てきた数字を足しただけでは100%にならないことをお断りしておく）。
この数字を多いと思われるか、少ないと思われるかはそれぞれの環境や立場などにもよるだろう。英航空会社での個人データ侵害*3などのように、大規模な被害が生じたケースは報道で取り上げられることも多いため、さらに多くの企業が制裁を科されていると考えておられた方もおられるのではないかと思う。
サイバー攻撃の被害に遭った上に制裁まで科されてしまわぬよう、技術的対応および組織的対応の実施と、迅速かつ適切な対応が取れるよう平時からの備えが必要である。
出典
*1 https://www.willistowerswatson.com/ja-JP/Insights/2021/03/crb-nl-march-adachi
*2 https://ico.org.uk/media/action-weve-taken/decision-notices/2021/2620369/
ic-113334-v5p7.pdf
*3 https://www.willistowerswatson.com/ja-JP/Insights/2021/04/crb-nl-april-adachi
*4 https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controller
processor_final_en.pdf
本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉
非IT部門も知っておきたいサイバー攻撃の最新動向と企業の経営リスクの他の記事
直近のセミナー・イベント
おすすめ記事
-
-
備蓄燃料のシェアリングサービスを本格化
飲料水や食料は備蓄が進み、災害時に比較的早く支援の手が入るようになりました。しかし電気はどうでしょうか。特に中堅・中小企業はコストや場所の制約から、非常用電源・燃料の備蓄が難しい状況にあります。防災・BCPトータル支援のレジリエンスラボは2025年度、非常用発電機の燃料を企業間で補い合う備蓄シェアリングサービスを本格化します。
2025/04/27
-
自社の危機管理の進捗管理表を公開
食品スーパーの西友では、危機管理の進捗を独自に制作したテンプレートで管理している。人事総務本部 リスク・コンプライアンス部リスクマネジメントダイレクターの村上邦彦氏らが中心となってつくったもので、現状の危機管理上の課題に対して、いつまでに誰が何をするのか、どこまで進んだのかが一目で確認できる。
2025/04/24
-
-
常識をくつがえす山火事世界各地で増える森林火災
2025年、日本各地で発生した大規模な山火事は、これまでの常識をくつがえした。山火事に詳しい日本大学の串田圭司教授は「かつてないほどの面積が燃え、被害が拡大した」と語る。なぜ、山火事は広がったのだろうか。
2025/04/23
-
リスク対策.com編集長が斬る！今週のニュース解説
毎週火曜日（平日のみ）朝9時～、リスク対策.com編集長 中澤幸介と兵庫県立大学教授 木村玲欧氏（心理学・危機管理学）が今週注目のニュースを短く、わかりやすく解説します。
2025/04/22
-
帰宅困難者へ寄り添い安心を提供する
BCPを「非常時だけの取り組み」ととらえると、対策もコストも必要最小限になりがち。しかし「企業価値向上の取り組み」ととらえると、可能性は大きく広がります。西武鉄道は2025年度、災害直後に帰宅困難者・滞留者に駅のスペースを開放。立ち寄りサービスや一時待機場所を提供する「駅まちレジリエンス」プロジェクトを本格化します。
2025/04/21
-
-
大阪・関西万博 多難なスタート会場外のリスクにも注視
4月13日、大阪・関西万博が開幕した。約14万1000人が訪れた初日は、通信障害により入場チケットであるQRコード表示に手間取り、入場のために長蛇の列が続いた。インドなど5カ国のパビリオンは工事の遅れで未完成のまま。雨にも見舞われる、多難なスタートとなった。東京オリンピックに続くこの大規模イベントは、開催期間が半年間にもおよぶ。大阪・関西万博のリスクについて、テロ対策や危機管理が専門の板橋功氏に聞いた。
2025/04/15
-
BCMSで社会的供給責任を果たせる体制づくり能登半島地震を機に見直し図り新規訓練を導入
日本精工（東京都品川区、市井明俊代表執行役社長・CEO）は、2024年元日に発生した能登半島地震で、直接的な被害を受けたわけではない。しかし、増加した製品ニーズに応え、社会的供給責任を果たした。また、被害がなくとも明らかになった課題を直視し、対策を進めている。
2025/04/15
※スパム投稿防止のためコメントは編集部の承認制となっておりますが、いただいたコメントは原則、すべて掲載いたします。
※個人情報は入力しないようご注意ください。
» パスワードをお忘れの方