個人情報漏洩の罰則は？　企業のリスクと対策を解説

企業イメージの低下

個人情報を漏洩すると、企業イメージの低下や、信用失墜のリスクがあります。インターネットが普及し、サイバー攻撃による被害が身近なものとなってきたこともあり、昨今は個人の情報セキュリティ意識が高まっており、個人情報漏洩に対する世間の目はより厳しくなっています。
個人情報漏洩によって社会的信用が低下した場合、顧客離れのリスクも高まった結果、業績が悪化し、最悪の場合は倒産してしまうおそれもあるのです。
また、上場企業の場合は、個人情報漏洩の公表後に株価が下落する可能性もあります。

損害賠償や慰謝料のコスト

個人情報漏洩を起こした企業は、刑事上の罰則だけでなく、民事上でも法的責任（損害賠償責任）を問われるため、賠償金や慰謝料の支払いが発生するリスクがあります。個人情報漏洩の規模によっては、経営への負担が膨らみ、倒産に追い込まれてしまうかもしれません。
ケースによって賠償金や慰謝料の金額は変わってきますが、被害者1人あたり数千円から数万円の事例があり、漏洩した数によっては合計で数千万円以上になる場合もあります。

問い合わせ対応などの業務負荷

個人情報漏洩を起こした企業は、被害者のほか、顧客や取引先などからの問い合わせにも対応しなければいけません。一般消費者向けの商品やサービスを提供する企業の場合は、被害者以外からの問い合わせも増える可能性があります。
問い合わせ対応を担当する従業員の業務負荷は大きく、ほかの業務に支障が出たり、業務効率の低下を招いたりするおそれがあります。

ウイルス感染・不正アクセス

企業の個人情報漏洩の原因として最も多いのは、サイバー攻撃によるウイルス感染や外部からの不正アクセスです。
例えば、クレジットカードの決済システムを取り扱う企業において、顧客のカード情報が不正アクセスによって流出した、という事例もあります。こうした不正アクセスによる個人情報漏洩は、システムに脆弱性があると判明していたにもかかわらず、適切な対策をせず放置していたという場合が少なくありません。

人為的ミス（誤表示・誤送信など）

メールの誤送信などの人為的ミスによって、個人情報が漏洩するケースも多くなっています。具体的には、次のような事例があります。

人為的ミスによる個人情報漏洩の主な事例

• メールやFAXの送り先を間違えて、顧客のメールアドレスや住所など個人情報を流出した（誤送信）
• BCCに記載すべきメールアドレスを誤ってCCに記載し、メールアドレスの情報を流出した（誤記載）
• 個人情報が記載された資料を画面に表示したまま、パソコンなどの端末を放置して、第三者に情報を見られてしまった（誤表示）

パソコンなどの端末の紛失・誤廃棄・盗難

パソコンやスマートフォンの端末や、USBメモリなど記録媒体の紛失、誤廃棄、盗難も、個人情報漏洩の原因となります。例としては、次のようなケースがあります。

紛失・誤廃棄・盗難による個人情報漏洩の主な事例

• 個人情報の入ったUSBメモリを社外へ持ち出し、紛失した
• 企業のパソコンを持ち出し、電車や店などに置き忘れたところ盗難された
• オフィス移転の作業時、個人情報の入った端末を誤廃棄した
• 車上荒らしに遭い、車内に置いていた端末を盗まれた

近年はテレワークが普及し、コワーキングスペースやカフェなどで、企業貸与のパソコンやスマートフォンを使用して仕事をすることが増え、その場に置き忘れてしまうなどして、端末を紛失するケースが増えています。

あわせて読みたい

• USBメモリ紛失時の対策とは？　紛失時の対策や対応方法、有効な防止策を解説

内部不正

内部不正も個人情報漏洩の原因となります。内部不正とは、組織の従業員や元従業員が個人情報を持ち出して悪用したり、第三者に売ったりする不正行為です。

内部不正による個人情報漏洩の主な事例

• 従業員であるエンジニアが企業の重要な情報を持ち出して第三者に売却した
• 顧客情報の管理者が個人情報を個人のUSBメモリにコピーして持ち出した
• 元従業員が企業のデータベースにログインして個人情報を不正に取得した

セキュリティソフトの導入と管理

個人情報漏洩の原因として最も多いウイルス感染や不正アクセスに対して、セキュリティソフトを導入することでリスクを軽減できます。セキュリティソフトはサイバー攻撃によるウイルスを検知し駆除することで感染を防ぐほか、インターネットを介した不正なアクセスや、情報を盗み出そうとする不正なアプリケーションをブロックする機能などを搭載しています。

なお、サイバー攻撃の手口は日々多様化・巧妙化しているため、セキュリティソフトの脆弱性を放置しないように管理することも大切です。導入後は常に最新バージョンに保てるよう、ソフトウェアの更新管理も行います。

不正なパソコンの接続遮断

不正アクセスによる個人情報漏洩を防ぐには、不正アクセス検知システムを導入し、不正なパソコンの接続を遮断する方法も効果的です。
不正アクセス検知システムは、登録のないパソコンなどの端末が社内ネットワークに接続した場合に接続を遮断し、システム管理者に通知することができます。

ファイルへのアクセス制御

社内の誰もが個人情報の保管場所にアクセスできる環境では、個人情報漏洩のリスクも高くなります。ファイルへのアクセス制御を設定し、特定の従業員しかアクセスできないようにすることも、個人情報漏洩の対策の1つです。社内にある各種ファイルへの操作（読み込み、書き込み、移動、コピー、削除など）を監視し、不正操作の実行を制限するように設定できるツールで、従業員のアクセスを制御することができます。

あわせて読みたい

• アクセス制御とは？　機能や方式、制御システム導入時の考え方を解説

外部デバイスの監視

USBメモリやCD／DVDドライブ、Blu-rayドライブ、スマートフォンなど、外部デバイスのパソコンへの接続を監視する機能を搭載したツールもあります。
セキュリティポリシーに則って読み込みだけを許可したり、外部デバイスへの情報のコピーなど、すべての操作を制限したりと、端末ごとの外部デバイス利用範囲を制御することが可能です。

メール誤送信への警告

誤送信による情報漏洩といった人為的ミスを防ぐために、メールの誤送信予防の警告を出すツールを活用するのも有効です。あらかじめ指定したドメインを除く宛先へのメール送信時や、あらかじめ指定した件数以上の宛先に対するメールの一斉送信時に、警告画面を表示して、本当に送信しても問題ないか、注意喚起します。