情報漏えいでまず思い浮かぶのは4,800万人分もの顧客データを漏えいしてしまったベネッセコーポレーションのケースだ。情報漏えいが企業に与えるネガティブインパクトの大きさは誰しもが感じているものだが、それが株価に与える具体的な数値を目の当たりにすると、その毀損額の大きさに改めて驚かされる。
時価総額を1,000億円以上失ったベネッセ
ベネッセホールディングス <9783> の株価はこの情報漏えい問題が発覚する直前の2014年6月30日にはザラ場で4,475円の高値をつけている。それが7月9日の事件公表直後から4,000円を割るようになり、同年の10月14日には終値で3,240円まで値を下げた。実に3ヶ月で26.7％もの下落を演じたわけだ。
もちろんこの情報漏えい問題だけがそのすべての構成要素ではないが、主たる原因であることには間違いない。実にこの件で時価総額を1,260億円も下げる結果となっている。発表当初は被害者的立場で報道されたため、いきなり株価への影響は免れたものの、全容が報道されるにつれてその下落幅は大きくなっていった。
同社は2014年4～6月期にこの問題の対応として260億円の特別損失を計上しているが、最終的な損益がどのレベルになるかは年度末の決算を待つこととなる。しかし損失はこれで終わったわけではない。今後も慰謝料を求める賠償訴訟などが控えているのだ。
また、この時漏えいした顧客情報を購入したジャストシステムは、ベネッセ株を超える勢いで急落し、一時ストップ安とまでなった。それほど企業の不祥事やイメージは、ダイレクトに株価に影響を与えるのである。
情報漏えいの主な被害タイプは9パターン
ベライゾンジャパンによるデータ漏洩／侵害調査報告書によると、データ漏えいにおける攻撃者の目的は金銭的利益が主で、2位がスパイ目的ある。近年の被害件数急増の実態をこの報告書は指摘している。対策を行う企業は、単なるセキュリティシステムの導入やフレームワーク偏重型の対策から、攻撃者のプロファイリングに基づくセキュリティ対策への拡張を迫られており、その費用負担も年々大きくなる傾向にある。
レポートによると、2013年の漏えい被害はWEBアプリケーションへの攻撃が35％、国際スパイ活動が22％、POSへの侵入が14％、カードスキミングが9％、内部者による不正使用が8％、クライムウェアによる犯行が4％、人的ミスは2％、物理的搾取や紛失、DoS攻撃が1％未満と、内部犯行より外部からの攻撃が多い。ベネッセのケースは内部者による不正使用であったが、情報漏えいには、社内外に多くのリスクが潜んでいることが理解できる。
先進企業ではリスクオフィサーの導入も
上述の情報セキュリティの脅威の9パターンは、箇条書きにすれば実にあっけないものだが、ひとつ一つの奥は深く、防衛の難度も高い。企業としては大きな闇と対峙することになる。先進的な企業ではすでに社内にリスクオフィサーを設置し、IT部門とは別に、情報漏えい専門に対応するエキスパートを設置しはじめている。
最近は「チーフリスクオフィサー」（CRO）という、経営トップを補佐して、企業をとりまくリスク全般を一元的に管理する責任職を導入する企業も出てきた。9つのパターンの中でも内部者の犯行、POSへの侵入、カードスキミングはあらゆる業界で被害の上位を占めており、情報リスクマネジメントは、ある程度のエクスパティーズにより未然に防げるものであるのだ。
企業価値を守るためにもセキュリティ対策は最優先
一度の顧客データ漏えいで時価総額1,000億円以上を減らしてしまうベネッセのケースを考えれば、社内に専門のチームを構築し、プロアクティブに漏えいリスクに対応することが、決してコストとして高くない時代となってきた。専門的知見をもって対処すれば、パターン化しつつある犯行やリスクに対して対抗していくことが可能だ。
これは単なるIT設備の問題ではなく、全社的なオペレーション、アウトソーシング、ITシステムを包括的に絡めたリスクヘッジマネージメントとなる。エンドユーザーが一般顧客であればあるほど費用をかけてでも、こうしたリスク対応をすることが求められる時代になってきている。（ZUU online 編集部）
【関連記事】
日本人大富豪ランキング トップ20の顔ぶれはこれだ！
