日本ネットワークセキュリティ協会（JNSA）は1日、「2008年度情報セキュリティインシデントに関する調査報告書」を公表した。
この調査は、同協会のセキュリティ被害調査ワーキンググループが毎年行っているもので、新聞やネットニュースなどで報道された記事、組織からのリリースなどをもとに、そその年1年間に起きた個人情報漏えい関係の事件や事故をまとめたもの。
報告書によると、2008年の個人情報漏えい件数は1373件で、前年の864件から大幅に増加し過去7年間で最大となった。一方の漏えい人数は、3000万人を超えた前年から723万2763人へと一気に減少。個人情報保護法施行後では最も少なく、初めて減少に転じたという。
件数の大幅な増加は、「教育・学習支援業」「金融・保険業」「サービス業」「運輸業」など、多くの業種で全体的に漏えい件数が増加したことに加え、ある自治体が、積極的に情報漏えい事件を公表したことが影響していると同協会は分析。漏えい人数の減少は、100万人を大きく超える大規模な漏えいが発生しなかったことが大きな要因だとしている。はたしてその通りなのだろうか。
■編集部の集計と比べてみると
同様な情報収集は当編集部でも行っており、ネット上にリリースが掲載されている直近のものに関しては、一覧にまとめて毎週お届けしている。掲載分は年間800件前後だが、収集分全てを集計してみたところ、2008年の個人情報漏えい件数は前年から110件減少の1806件。漏えい人数は5000万人を超えた前年から722万7810人へと減少した。
＜個人情報漏えい件数の比較＞
2006年 993件（JNSA） 1687件（当編集部）
2007年 864件（JNSA） 1916件（当編集部）
2008年 1373件（JNSA） 1806件（編当集部）
＜個人情報漏えい人数の比較＞
2006年 2223万6576人（JNSA） 2284万5455人（当編集部）
2007年 3053万1004人（JNSA） 5007万3319人（当編集部）
2008年 723万2763人（JNSA） 722万7810人（当編集部）
2007年の漏えい人数が大きく異なるのは収集方針の違いで、当編集部の集計にはヤフーのメール消失（1300万件と449万件）や東京国税局が未消去の磁気テープを貸し出した問題（177万件）といったものも算入している。これらを除外すると、漏えい人数は同程度となる。この漏えい人数が減少した理由は、編集部も報告書と同じ見解だ。
なお、2008年の漏えい人数が、漏えい件数に反して報告書の方が上回っているが、これは集計方針の違い等が原因と思われる。報告書の「インシデント・トップ10」だけ比較してみると、5位の29万1338人は、10月に公表された国土交通省四国運輸局の自動車重量税納付書の誤廃棄と思われるが、正しくは20万1338人。9位の23万2970人は、10月に公表されたエンターモーションの不正アクセス事件と思われるが、報告書は公表当時に予想された最大数を計上しているのに対し、当編集部では裁判で争われた約18万人を採用している。
さて、報告書では激増しているはずの件数が、編集部の集計ではやや減少という全く違った結果となった。調査する者が異なれば結果が違うのは当然だが、同じような調査をして全く違う傾向を示してしまうのは、どこかに問題がある。そこで、編集部なりの分析を行ってみた。
■漏えい件数の増減に大きな違いが生じた原因は？
報告書では、件数が増加した理由の1つとして、ある自治体の積極的な公表を挙げている。これは集計結果にも如実に表れており、自治体業務の多くを占める「公務」が前年の181件から469件に跳ね上がっており、比率も前年の20.9％から34.2％へと拡大。報告書では、「この自治体は、先進的な取り組みを行ったことで、これまで報告されなかったような小規模なインシデントまで、報告が徹底されるようになったと思われる」と解説されている。どの自治体なのか明記されていないが、2008年に大量の報告を始めた自治体とはどこだろう。
2008年にこだわらず、小規模なものまで徹底して公表している自治体を考えると、静岡市や横浜市などが思い浮かぶ。静岡市は、2007年の新年度に入って個人情報の漏えいが急増。それまで年間数件程度だった事故が数倍の勢いで相次ぎ、ホームページにも多くのリリースが掲載されるようになった。編集部の集計では、同市の2007年は前年比8倍の40件、2008年は46件。一方の横浜市は、以前から積極的に情報を掲載しており、編集部の集計では2007年が前年の2倍近い240件、2008年は239件と、同市は自治体の中でも突出した件数を示している。これらのうち、新聞などで報道されるのはごく一部にすぎず、たとえば横浜市の場合には、9割がたはサイトに掲載されたリリースのみとなる。これを収集するかどうかが、集計結果に大きく影響する。
報告書にある「ある自治体」は横浜市のことで、協会が積極的にリリースを集めた結果が、今回の集計に表れてしまった可能性も考えられる。あるいは、当編集部が把握していない「2008年に大量の報告を始めた自治体」が他にあるのかもしれない。
上掲の過去3年分の漏えい件数の集計結果が示すのは、当編集部の情報収集力の低下を示すのか、同協会の向上を示すのか。報告書には一覧表が収録されているので、時間が許せば全件を比較して、違いが生じた原因を解明してみたい。
（2009/07/06 ネットセキュリティニュース）
■「2008年度情報セキュリティインシデントに関する調査報告書」（日本ネットワークセキュリティ協会）
http://www.jnsa.org/result/2008/surv/incident/index.html