なぜ、その情報を持っているのですか。相次ぐ情報流出と中小企業がまずやること
松本 孝行9月後半から10月にかけて、大規模な個人情報流出の公表が相次いでいます。自社は大丈夫かと心配されている方も多いのではないでしょうか。
今回は個人としての対策ではなく、企業として情報流出にどう向き合うかをお話しします。ポイントになるのは、そもそもなぜその情報を持っているのか、という問いです。
情報流出はこの3週間で相次いでいる
主なものだけでも、次のような公表がありました。
- Gyazo：約2,362万件（9月16日・25日公表）
- タイムズカー：約660万アカウント（9月25日〜29日公表）
- ミスターマックス：最大約173万件（10月6日公表）
NHKの報道によると、セキュリティ会社は7月以降に被害が増えていることから、サイバー攻撃にAIが悪用されている可能性が高いとみています。（参照：個人情報流出なぜ相次ぐ？"異様な状況"AI悪用可能性の指摘も｜NHK）
どれだけ防犯に気をつけても、強盗や窃盗、すりがなくならないのと同じで、侵入をゼロにすることはできません。考えるべきなのは、入られたときの被害をどう小さくするかです。
タイムズカーの被害を重くしたのは使い終わった免許証の画像
被害を小さくするという点で一番わかりやすいのが、タイムズカーの事例です。実は弊社も対象になっていました。
不正アクセスを受けたのは約660万アカウントで、そのうち約160万件では運転免許証などの本人確認書類の画像まで取得されました。（参照：【2026年9月〜10月】情報漏洩まとめ）
免許証の画像は、本人確認のために使ったものだと思います。しかし、確認が一度済めば、あとは更新のときに確かめる程度で、画像そのものは必要ないはずです。
しかも対象には、現会員だけでなく、退会した人や入会手続きを途中でやめた人も含まれていました。使い終わった情報を持ち続けていたことが、被害を大きくしたのです。
これはタイムズカーだけの話ではないと思います。ECサイトでも、なぜかクレジットカード情報を保有したままにしていたという例があります。退会者や手続き途中の人のデータが残っているのは、よくあることなのです。
漏れたときのお詫びだけで顧客1万人なら500万円かかる
持っていなければ漏れることもありません。持っていれば、漏れたときに金銭的な補償が必要になります。
最も有名な事例は、2014年のベネッセの流出です。推計2,895万件が流出し、1人500円分の金券を配るなどして、特別損失は260億円にのぼりました。そのうち顧客への補償が200億円です。（参照：ベネッセ､垣間見えた顧客流出の代償 第1四半期は最終赤字に転落。通期予想も｢未定｣に | キャリア・教育 | 東洋経済オンライン）
1人あたりの金額で見ると、次のようになっています。
- お詫びの金券の相場：1人500円
- ベネッセの裁判で認められた賠償：1人1,000〜3,300円（参照：ベネッセ情報流出、1人3300円賠償命令｜日本経済新聞）
- JNSAの調査による1人あたりの想定損害賠償額：29,768円（2018年）（参照：ScanNetSecurity）
1人あたりで見ると、個人情報は思っているほど高くはありません。しかし、人数を掛けると話が変わります。
一番安い1人500円で計算しても、顧客が1万人いれば500万円です。ECサイトであれば、中小企業でも1万人程度の顧客はいるのではないでしょうか。ここに調査費用や問い合わせ対応、システム改修、失注が積み上がっていきます。
BtoBの弊社には個人のお客様の情報はありませんが、取引先の担当者などのリード情報が約1,000件あります。これでも1人500円なら50万円です。
その情報を何のために持っているのか
ここで、そもそもの話に戻ります。その情報は、何のために持っているのでしょうか。
マーケティングや配送に使う情報は、持っておく必要があります。
- メールアドレス・住所・電話番号：商品の配送、メルマガ、連絡に使う
- 購買履歴：リマーケティングや、おすすめ商品の出し分けに使う
では、本人確認書類はどうでしょうか。対面で本人確認をするときを思い出してください。免許証やマイナンバーカードを見せたら、その場で返してもらいますよね。コピーを取って置いておく必要が本当にあるのか、考えてみてもよいのではないでしょうか。
数年前に退会した人のデータも同じです。税法で帳簿や請求書などを7年間保存する決まりがあり、それに合わせて顧客データも7年残す慣例になっている会社もあるようです。ただ、国が保存を求めているのは帳簿や請求書などで、退会した会員のデータ全般ではありません。
個人情報保護法の第22条でも、利用する必要がなくなった個人データは「遅滞なく消去するよう努めなければならない」と定められています。罰則のない努力義務ではありますが、いらないものは消すというのが法律の考え方です。（参照：個人情報の保護に関する法律｜e-Gov法令検索）
企業が持つ情報は3つに分けられる
いらないものは消す、と考えると、企業が持つ情報は3つに分けられます。
- 使っている情報
- メルマガ、電話連絡、商品の発送などに使う氏名・住所・電話番号・メールアドレスは持ち続ける必要があるので、セキュリティをかけて守る
- 使っていない情報
- 退会した人のデータや、1年持っているのに一度も使ったことがない情報です。国や自治体から求められているわけでもないなら、捨てましょう
- 自社で持たなくていい情報
- クレジットカード情報や本人確認書類の画像等です。セキュリティの強固な業者に任せるのも一つです。
中小企業がセキュリティを自社だけで高めようとすると、費用がかかり、現実的ではありません。それならプロに任せたほうが、安全面でも高くなると考えています。
この3つに分けることが、今回一番お伝えしたいことです。
マーケティングに使う4つの情報は減らせない
氏名・住所・電話番号・メールアドレスの4つは、多くの会社で減らせないと思います。宛名に使い、商品の発送に使い、メルマガや電話連絡に使っているからです。持っておかないと、商売にもマーケティングにもなりません。一切使っていないのであれば、名刺情報だけを残しておく形でもよいかもしれません。
ただ、個人の側から見ると、この4つはすでにどこかで漏れていると思ったほうがいいと考えています。生活していれば、さまざまな場所でこの情報を渡しています。自社が漏らしていなくても、どこかで流れているはずです。
だからといって、どうせ漏れているのだから自社のセキュリティを下げてよい、という話ではありません。個人としては、おかしな請求や連絡にいち早く気づき、すぐに連絡して止めてもらうことが大切になります。
連絡手段を宣言しておけばなりすましを見分けてもらえる
漏れている前提で考えるなら、企業側にできることがあります。どの連絡手段を使い、どの手段は使わないのかを、あらかじめお客様に伝えておくことです。
- メール：「当社からのメールにURLは記載しません」と書いておけば、URLが入っているメールはなりすましだとわかる
- 郵送DM：「年賀状とお盆の年2回だけお送りします」と決めておけば、それ以外の時期に届いたものはなりすましだとわかる
- 電話：「当社から営業の電話はしません。電話は緊急の連絡だけです」としておけば、売り込みの電話はなりすましだとわかる
利用目的だけでなく、連絡手段まで企業側で決めて伝えておきます。中小企業でもすぐにできることではないでしょうか。
ちなみに、なりすましメールを実際に止める設定（DMARCのreject・quarantine）をしている日経225企業は43%にとどまっています。大企業でも半分以上ができていない部分です。（参照：日経225企業のDMARC導入実態調査｜ScanNetSecurity）
カード情報はすでに加盟店が持たない流れになっている
自社で持たなくていい情報については、法律の後押しもあります。
2018年6月に施行された改正割賦販売法により、ECサイトなどの加盟店は、カード情報を自社で保持しない「非保持化」か、国際基準であるPCI DSSへの準拠が求められるようになりました。実際には、決済代行業者がカード情報を持つ形が一般的になっています。（参照：「クレジットカード情報の非保持化は、脆弱性があれば意味がない」――徳丸浩氏が指摘：基本的なセキュリティ施策が重要（1/2 ページ） - ＠IT）
もしECサイトを運営していて、自社のデータベースにクレジットカード情報が残っているようなら、早めに見直すことをおすすめします。
免許証の情報や履歴書、問い合わせフォームの添付ファイルも同じです。履歴書を会社が使うのは、社会保険などの役所の手続きや従業員名簿の作成くらいです。紙で保管するのはよいとしても、データにしてオンラインに置いておく必要はないはずです。
なお、代行業者に預けても、委託先を監督する責任は自社に残ります。それでも、費用と安全面は自社で持つより改善できます。
まず情報を棚卸しして残ったものを守る
では、中小企業はこの状況をどう捉え、何から始めればよいのでしょうか。
- 顧客情報、取引先情報、仕入れ情報など、どんな情報を持っているかを一覧にする
- 各項目に、何に使っているかを割り振る
- 使っていないもの、一度使って終わったものを消す
- 残った情報を守るためのセキュリティを構築する
割り振っていくと、使っていない項目が必ず出てきます。それを消せば、漏れたときの被害の大きさはかなり小さくなります。データベースも軽くなり、守る対象が減った分、セキュリティにかかる費用も下がるはずです。
これまで過剰な情報を持っていて、その情報のためにかけていたセキュリティの費用は、無駄だった可能性があります。多くの会社はいきなり4番目のセキュリティ投資から考えますが、先に行うべきなのは1〜3の方ではないでしょうか。
まとめ
- 使い終わった情報を持ち続けない
- 持っている情報を「使っている」「使っていない」「自社で持たなくていい」の3つに分ける
- いらない情報を消し、残った情報だけを守る
BtoBの弊社でも、リード情報は約1,000件あります。顧客の多い会社ほど、守る技術を買う前に、まずは何を持っているかを一覧にするところから始めてみてはいかがでしょうか。
投稿者プロフィール
- 代表取締役
-
兵庫県伊丹市出身
2006年、立命館大学経営学部卒業後、パソコンソフトの卸売会社、総合商社子会社に就職し、2008年に独立。
2011年頃からSEO対策・アフィリエイト用の文章制作から、独学でリスティング広告やアクセス解析、SNS広告などを学び、サービスを展開。
短期大学の情報処理講師や職業訓練校のWebサイト制作クラス・ECマーケティングクラスなどで講師を担当。
現在は株式会社キヨスル代表取締役として、Webマーケティングをデザインすることでクライアントのビジネスに貢献する。
その他の記事
