全2516文字

 米メリーランド大学や国際通貨基金などで先行研究はある。しかし、これらのリスクモデルは保有する情報資産を棚卸しし、それぞれの価値を事前に評価しておく必要があるなど、サイバー対策で後れを取る日本企業が利用するにはややハードルが高い。そこで、日本の中小でもすぐリスク評価に取り組めるよう、5分でできる簡易なモデルを考案した。下の表がその概要だ。

5分程度で簡易な試算が可能
●サイバーリスクの数値化モデル
項目計算方法年商50億円規模の小売企業の場合……
直接被害個人情報漏洩による
金銭被害
500円×機微情報度×
本人特定容易度×社会的責任度×事後対応評価×顧客数
6億円
ビジネス停止による
機会損失
5営業日あたりECサイト売上高0.5億円
法令違反による
制裁金
全世界売上高×4%
または2000万ユーロ(約26億円)
26億円
事故対応費用6000万円程度が基準0.6億円
間接被害純利益への影響前期純利益×21%0.6億円
時価総額への影響時価総額×10%20億円

 まず「個人情報漏洩による金銭被害」。個人情報1件あたりの賠償額は500円が国内の相場だ。これを個人情報の基本価値とする。パスポート番号や口座番号など機微な情報が含まれる場合、氏名や住所など本人特定が容易な情報が含まれる場合は価値が上がる。企業の社会的地位(社会的責任度)や事後対応の巧拙(事後対応評価)により被害の大きさも変わり得るが、この評価が難しい企業は筆者が提唱する一般的な定数を利用すれば事足りる。

身代金要求型ウイルスで業務が停止する ケースも頻出している(写真=picture alliance/アフロ)

 次に「ビジネス停止による機会損失」。昨年はファイルを暗号化して身代金を要求する「ランサムウエア」が流行し、長期間事業が停止することも頻繁にあった。世界の事例を検証した結果、筆者は停止期間を5日間としてリスクを算出することを提唱する。

 「法令違反による制裁金」については今年5月、個人情報保護体制の不備に制裁金を科す一般データ保護規則(GDPR)が欧州で施行。最高で全世界売上高の4%の制裁金か2000万ユーロ(約26億円)の高い方を請求される。

 「事故対応費用」は原因調査やデータの復旧などにかかる金額。自社での評価が難しければ、平均的な6000万円という金額で計算すればよい。

純利益は21%減少

 以上の4項目が攻撃による直接被害だ。これらを包含し、さらに信用の損失など無形の被害まで定量化するため考案したのが間接被害の2項目だ。

 セキュリティー事件の開示をした上場企業の純利益、株価の動向を調べたところ、発生年度にそれぞれ平均で21%、10%、前年度より減少したことが分かった。この数値を用いて、純利益と時価総額への影響を評価する。

 このモデルで年商50億円、顧客数10万人、時価総額200億円の小売企業をリスク評価すると、直接被害が約33億円、間接被害が約21億円となる。精緻なリスクモデルに比べると被害額は大きめに算出されるが、自社が被り得る最大のリスクを即座に把握できることは意義がある。

 こうした被害がどの程度の確率で起きるのか。厳密な算出は難しいが、情報処理推進機構の16年の調査が参考になる。日本では1年間で、26%の企業にサイバー攻撃の被害が発生している。ざっと年間4分の1の確率で自社が被害に遭うと考えると分かりやすい。

 平均的な企業は年間2億円程度のサイバー投資を実施していることも、投資決定の参考にしてほしい。単純な対策以外にも、近年相次いで販売されているサイバー保険を利用する選択肢もある。こうした投資をしない判断もまた一つの選択肢ではあるが、いずれにしても、きっちりと自社のリスクが可視化されていることが大前提だ。