データ侵害によって起きる経済的な損失は、直接的なものと間接的なものに大別できる。

直接的な損失

　通常、損益計算書において「特別損失」の欄に計上される。以下のようなものだ。

• インシデント対応と調査の費用
  • インシデント対応と、被害状況の調査や原因究明の取り組みに費用が掛かる
  • セキュリティベンダーやデジタルフォレンジック（インシデント発生時の痕跡調査や被害解明の取り組み）事業者、法律の専門家への依頼費用などが含まれる
• 情報通知の費用
  • 影響を受けた顧客、パートナー企業、規制当局、従業員への情報の通知にも費用が必須となる
  • メールの送信、コールセンターの増員や社外委託サービスの利用、場合によってはクレジットカードの不正利用を検知するモニタリングサービスの利用などが必要になる
• コンプライアンス（法令順守）違反による罰金や訴訟費用
  • データ保護に関する法令に違反したと裁定された場合、罰金を支払わなければならない。訴訟を受けた場合、関連費用が発生する
  • 関連する法令には、EU（欧州連合）の「GDPR」（一般データ保護規則）、「CCPA」（米国カリフォルニア州消費者プライバシー法）、「HIPAA」（米国医療保険の相互運用性と説明責任に関する法令）などがある
• 身代金の支払い費用
  • ランサムウェア（身代金要求型マルウェア）攻撃によるデータ侵害の場合、身代金を払うという決定をする可能性がある。基本的には推奨されない
• システムの復旧と修復のための費用
  • システムを回復し、サービスを復旧するための費用が求められる
• セキュリティの強化に充てる費用
  • システムの刷新や、監視強化のために新しいセキュリティツールの導入が必要になる

間接的な損失

　可視化の難しいコストだ。以下のようなものが含まれる。

• ビジネス機会の損失と顧客の減少
  • データ漏えいが起きた企業は信頼を失い、ブランド価値と評判が低下する
• 知的財産の損失
  • 知的財産が漏えいした場合、競争上の優位性を失う
• サイバーセキュリティ保険料の値上がり
  • データ侵害が発生すると、サイバーセキュリティ保険を提供する事業者は保険料を値上げしたり、補償範囲を縮小したりする
• ダウンタイム発生と生産性の低下
  • データ侵害発生後、本来の業務ではなくインシデント対応に時間を割かざるを得ない
  • 従業員の離職につながる可能性もある
• 監査
  • 監査やコンプライアンスレビューが長期的に実施される場合がある
  • 膨大な社内リソースが必要になる

　データ侵害のコストについて、従業員の人数や被害を受けたデータベースのレコード（行）数、データの種類などを入力することで見積もりをしてくれるWebサイトも存在する。だが、これらのWebサイトは基本的に危機意識を高めるための教育用で、正確な算定が目的ではないことに注意が必要だ。

データ侵害リスクの管理方法

　絶対に安全と言えるデータ保護対策は存在しないが、何もしなければ侵害を受ける可能性は高まる一方だ。コストを抑えつつ実行できる効率的なセキュリティ対策は次の通りだ。

セキュリティ戦略目標の設定

　セキュリティ戦略には、運用、コンプライアンス、レポーティングの目標を含める。明確かつ簡潔な目標を設定すべきだ。セキュリティ戦略の策定に役立つ、利用可能なセキュリティフレームワークを採用してもよい。

ビジネスインパクト（影響度）分析

　保有するIT資産をリスト化し、セキュリティ戦略目標と関連付けて分析する。シンプルなスプレッドシートでも可能だが、規模の大きい組織なら、自動化ツールが必要だ。

　まず、自社のIT資産が業務に不可欠なのかどうかを確認する。次に、セキュリティの脅威によって各資産に生じるリスクを分析する。想定すべきシナリオの例は以下のようなものだ。

• 決済システムのデータがランサムウェア攻撃によって暗号化された
• DDoS（分散型サービス拒否）攻撃によって顧客向けWebサービスが停止した

　シナリオごとに業務にどのような影響が及ぶかを分析する。資産ごとのリスクを正確に評価し、定量化することで、どのリスクに優先的に対処すべきかが分かる。

ガイドラインの作成

　IT資産ごとのリスクを明確化した上で、どう対処すべきかについて明確なガイドラインを作成する。データ漏えいのリスクをどの程度許容できるかを明示する。一般的に、「リスクアペタイト」（リスク選好）と「リスクトレランス」（リスク許容度）という2つの指標を使用する。両者の違いを具体例と共に挙げる。

• リスクアペタイト
  • 組織の目標達成のために、どのような種類のリスクをどの程度まで許容するかを明示したもの
  • 例えば、Webサービスの中断は顧客の信頼に直結するため最小限に抑える
• リスクトレランス
  • 許容するリスクの数値指標
  • 例えば、顧客の5％未満に対してなら、最長2時間のWebサービスの中断を許容する

　こうしたタイプの指標を使って、ビジネス目標とリスクを明確に結び付ける。米国立標準技術研究所（NIST）の「Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight」を活用してもいいだろう。企業の各階層でセキュリティ戦略を効果的に伝達し、浸透させる方法が載せられている。

行動計画を作成し実施を監督する

　行動計画を作成し、管理者が実施を監督する。行動計画は定期的に報告する。以下のようなガイドラインを利用できる。

• ISO/IEC 27001
  • 情報セキュリティマネジメントシステム（ISMS）の国際規格
• NIST SP 800-53 Rev. 5
  • NISTが制定した、連邦政府機関のシステムのセキュリティ対策の基準を示すガイドライン
• CIS Benchmarks
  • 非営利団体のCIS（Center for Internet Security）が提供するガイドライン

　損失リスクを定量化し、リスク管理策を講じるのが鍵だ。実施した管理策の有効性を定期的に測定し、経営陣が理解できる仕方で報告する。

（翻訳・編集協力：編集プロダクション雨輝）