個人情報漏洩増加の陰に「誠実さ」を垣間見る

●次々に報道される個人情報漏洩

今年に入り、個人情報漏洩事件の報道件数が大幅に増えている。マスメディアの過熱も原因のひとつだが、一方でこの数字には、企業の「誠実さ」が反映されているのをご存じだろうか。

個人情報保護法の本格施行を控え、マスコミも報道が加速する中、個人情報漏洩事件は日々増加している。IT保険ドットコムでも事件をウォッチングしているが、その数は相当のものだ。毎日数件の個人情報漏洩事件を目にしている。

●増加の陰に「誠実さ」

ここ数カ月の個人情報漏洩の増加は、「誠実さ」の現れでもあると私は考えている。「漏洩の増加」と「誠実」は一見かけ離れているように見える。なぜ、「誠実さ」なのか？

従来は、個人情報の漏洩が発生しても、見て見ぬふりをしたり、ごまかしたり、もみ消すと言ったケースも多かった。それこそ以前なら「鞄を忘れる」「パソコンを盗まれる」など、担当者レベルの漏洩は、問題にすらならなかった。個人情報への配慮自体が稀薄で、「表に出てくる数」と「漏洩の実態」に大きなズレが存在していたのである。

しかし、個人情報保護法の成立や、リスクマネジメントが浸透する中、企業の「個人情報漏洩」に対する姿勢に大きな変化が現れはじめている。もちろん、従来のような誤った対応をしてしまい、さらなる非難を浴びる企業も一部あるが、むしろ、数件の情報が漏洩してもホームページなどで内容を明らかにする企業が増えてきている。つまり、報道される件数と漏洩の実態がより近づいてきているのだ。

●進むディスクロージャー、重要なのは具体的内容

ディスクロージャーは大事なことだ。漏洩の事実を明らかにしない場合、「オレオレ詐欺」や「架空請求」など2次被害が発生する可能性も高い。気がついた時点で悪用の事実がなくとも、「漏洩の恐れ」があるとわかった時点で顧客に伝えなければ、手遅れとなってしまうことも多いのだ。

情報漏洩に関するお詫び文やプレスリリースを見ていると、漏洩の恐れがあるだけでも、しっかり対応する企業が確実に増えている。企業は苦境に立たされようとも事実を隠蔽せず、顧客の安全を大切にする「誠実さ」こそ、いずれのブランドイメージ構築に繋がることに気づき始めている。

もちろん、ただ謝罪するだけではダメだ。「いつ」「誰の」「どのような情報が」「どこから」「どこへ」流出したか明らかにする必要がある。また、漏洩した情報が回収できるのか、2次被害は発生していないのか、今後どのような対策を実施するのか、といった具体的な情報があってこそ、意味があることを忘れてはいけない。そして、新たな情報がわかった時点で、追加情報を配信することも忘れてはいけない。

●事前対策や危機コンサルティングの功績も

こういった動きの背景には、事前のマニュアル作りや、危機管理コンサルティングによる功績もある。また、ブランディングを構築する（防御する？）上での「戦略」かもしれない。いずれにしても、顧客の危険を取り除くことが第一の目的であることには変わらず、とても大切な取り組みだと言える。

たしかに、個人情報漏洩は大きな問題であり、社会的な責任も大きい。漏れた情報によっては、大きな被害が発生する。さらには、損害賠償の支払いやブランドイメージへのダメージなど、実質的な損害も必至だ。いくら「誠実に」対応したところで、情報を漏洩させない方が良いに決まっている。ひとたび情報漏洩が発生した以上、あたりまえといえばあたりまえの対応かもしれない。

しかし、この「誠実な対応」は思った以上に難しい。実際に経営者のプライドや企業の保身のために情報を隠蔽し、さらなる非難を浴びて消えていった企業もある。ミスを認めるということは難しいことだ。罪は消えないかもしれないが、その中で苦渋の選択を選び、改善に努力することを決意した企業に対し、エールを送りたいと思ってしまうのは私だけだろうか。

●形だけでは逆効果。今から事故を想定した対策を

ただ、覚えておいて欲しいのは「形だけの謝罪」では何の意味もないことだ。ディスクロージャーを行い、しっかりとした対策を立て、実行しないと、顧客は納得しない。情報が漏洩した顧客の不安を理解し、専門家や外部の意見を採り入れながら、企業ごとに最前を尽くすこと。そしてそのことを正しく顧客に伝え、理解を得ることが重要となる。消費者はそのあたり、非常に敏感だ。誠実な対応がなければ、会員をやめたり、以後商品を拒絶するといった消費者も多いようだ。

個人情報漏洩は身近な問題であり、決して他人事ではない。現時点で問題が発生していない企業でも、事前のセキュリティ強化だけでなく、事故発生時にしっかりとした対策が行えるよう、周到な準備を行うようお勧めしたい。

記事の感想はこちらまで。

（Security NEXT - 2004/06/24 ） ツイート

PR

関連記事

主要上場企業の「DMARC」 - 約半数企業で「隔離」「拒否」の取組
国内行の8割超が「DMARC」導入 - 6割超は「none」運用
利用者間で個人情報が流出、同一アカウント発行で - Schoo
市教委サーバでランサム被害、校務に支障も - 赤穂市
Palo Alto製ファイアウォールにDoS脆弱性 - すでに悪用も
開発サーバから情報流出か、DB破壊され脅迫文 - マイナビ子会社
ランサム感染でデータ暗号化、個人情報流出の可能性 - 家具メーカー
高校で生徒氏名含む動画、公開範囲を誤り投稿 - 埼玉県
同僚にストーカー、システムで個人情報閲覧した職員を処分 - 塩尻市
「Deep Security」のWindows向けエージェントに権限昇格の脆弱性