帝国データバンク調査、大企業の28.9％が情報漏えい経験と回答

帝国データバンクは10月19日、大企業を対象とした調査で、情報漏えいまたは侵害の疑いを経験した企業が28.9％に達したと発表した。クラウド契約と在宅勤務ツールへの投資が増える一方で、リスク委員会がサイバー事故を「例外」ではなく日常コストとして扱い始めている。

調査の対象

調査は資本金1億円以上、従業員100人超の企業を対象にした。顧客データ、給与ファイル、取引先ポータルが相互接続された環境で、漏えいの確認、疑い、不正アクセスの発見があったかを問う形式だった。

業種別の詳細は初期公表では限定的だが、全体として4社に1社超の水準は、経営陣がサイバーリスクを平常事として組み込む材料になっている。第三者ソフトの設定ミスやアクセス権の放置が繰り返し挙げられた。

調達部門にとっては、大規模な一撃より小さな失敗の積み重ねが問題だ。共有パスワード、休眠API、未更新端末が典型例で、自社データセンターが無事でも取引先の事故が生産を止める事例が製造業から報告されている。

東京の保険仲介各社は、事業中断補償を厚くしたサイバー保険の需要増を伝える一方、多要素認証やログ要件を厳しくしている。基礎的な統制を示せない企業は保険料の上昇が速いという。

人事・法務は疑わしいメールの報告速度も見直している。年1回の動画研修から四半期ごとのフィッシング訓練へ移し、結果をITチケットに埋めず部門長へ渡す動きが広がる。

上場企業は金融庁ガイドラインの下、重要な事故の開示圧力も受ける。帝国データバンクの数字は、自社のログが同業と比べて不自然に静かかどうかを問う材料になる。

定義の違いで水増し・過小評価もあり得るが、4分の1超という率は、日銀が今月利上げを見送ってもサイバー予算が高止まりするシグナルだ。

小売・物流の回答者はPOS端末でフランチャイズが支援用ログインを共有しがちだと述べ、ベンダー終了後に権限を失効させる仕組みを導入している。輸出メーカーは通関プラットフォームの弱点も指摘し、高額出荷承認者にハードトークンを配布する動きがある。

系列の地方子会社は親会社並みの投資を求められると訴え、帝国データバンクは規模に応じた基準の必要性を示唆した。

上場企業の取締役は四半期ごとのサイバーダッシュボードを決算前に受け取るようになり、年次報告のみだった時代から変わった。