日本企業で相次ぐ情報漏洩──技術力の低さよりも深刻な根本的要因とは

このところ情報システムの不正アクセスによって、個人情報が大量流出する事案が相次いでいる。コンビニ大手のローソンやカラオケを展開する第一興商、損保ジャパンや大和証券といった金融機関、カーシェアリングのタイムズカーなど業種も多岐にわたる。7月以降だけでも、既に累積で1億6000万人分を超える件数が漏れているとの試算もあり、事実上、全国民の個人情報が丸裸になってしまった状態と考えざるを得ない。 ひとくちに情報漏洩と言っても複数の段階があり、メールアドレスが流出している程度であれば、迷惑メールを受信するくらいの被害で済む。だが住所・氏名・電話番号など、より重要な個人情報の流出を伴っていたり、免許証の情報やクレジットカード情報など、極めて重要な個人情報が漏れるということになると話は変わってくる。 今回の情報漏洩は規模が大きく、100万件、1000万件単位の流出が目立つ。ここまで規模が大きくなると、国民のほぼ全員が何らかの形で情報漏洩の被害を受けていると考えるのが妥当だろう。 ちなみにこうした事案が発生すると、企業は決まって「現時点で情報を悪用された事実は確認されていない」などと述べるが、この説明は全く無意味である。漏洩したデータは犯罪集団が整理・統合した上で転売され、しばらく時間がたってから広範囲に不正利用されるので、漏洩した情報がどう悪用されているのか企業側が確認すること自体、そもそも困難である。つまり流出があった時点で被害を受ける蓋然性が高くなったというのが妥当な解釈であり、一連の説明は責任逃れ以外の何物でもない。

このところ情報システムの不正アクセスによって、個人情報が大量流出する事案が相次いでいる。コンビニ大手のローソンやカラオケを展開する第一興商、損保ジャパンや大和証券といった金融機関、カーシェアリングのタイムズカーなど業種も多岐にわたる。7月以降だけでも、既に累積で1億6000万人分を超える件数が漏れているとの試算もあり、事実上、全国民の個人情報が丸裸になってしまった状態と考えざるを得ない。 ひとくちに情報漏洩と言っても複数の段階があり、メールアドレスが流出している程度であれば、迷惑メールを受信するくらいの被害で済む。だが住所・氏名・電話番号など、より重要な個人情報の流出を伴っていたり、免許証の情報やクレジットカード情報など、極めて重要な個人情報が漏れるということになると話は変わってくる。 今回の情報漏洩は規模が大きく、100万件、1000万件単位の流出が目立つ。ここまで規模が大きくなると、国民のほぼ全員が何らかの形で情報漏洩の被害を受けていると考えるのが妥当だろう。 ちなみにこうした事案が発生すると、企業は決まって「現時点で情報を悪用された事実は確認されていない」などと述べるが、この説明は全く無意味である。漏洩したデータは犯罪集団が整理・統合した上で転売され、しばらく時間がたってから広範囲に不正利用されるので、漏洩した情報がどう悪用されているのか企業側が確認すること自体、そもそも困難である。つまり流出があった時点で被害を受ける蓋然性が高くなったというのが妥当な解釈であり、一連の説明は責任逃れ以外の何物でもない。

日本はデジタル関連の技術力が低く、世界でも最もセキュリティーが甘い国の1つとして知られてきた。ここにAIを使った高度な攻撃手法が加わったことで、日本企業からの情報漏洩が激しくなっている図式である。 しかしながら、日本においてとりわけ情報漏洩が多いことについて、単純に技術力の低さだけでは説明できない要因がある。なぜならセキュリティー関係の技術というのは、情報を守るための明確な経営ポリシーがあって初めて機能するものだからである。 いくら技術力の高い人材を集めてきても、経営陣が情報管理の基本ポリシーをしっかり設計できなければ、セキュリティーは機能しないと考えるべきだ。 今回、漏洩した情報の中には、免許証やクレジットカードなど極めて重要なものも含まれている。顧客の個人情報はどこまで収集すべきなのか、いつまでその情報を保持するのか、情報収集のリスクについてどこまでを想定するのかなど、経営の根幹に関わる基本方針が策定されていなければ、技術者はどの技術をどこまでコストをかけて実装してよいのか判断できない。 極めて重要なポリシー策定までも、現場の技術者や業者に丸投げしている経営陣は多く、これでは個人情報を守れないのは当然の結果と言えるだろう。 結局のところ、一連の問題は技術的な要因ではなく、デジタルに無知・無関心な経営の問題であり、日本社会においてよく指摘される、組織の無責任体質や意思決定の曖昧さと根っこは同じである。日本企業の経営を改革しない限り、私たちの個人情報は盗まれ続けることになる。