今日もどこかで情報漏えい 第1回「セキュリティインシデントは株価を下げるのか」

　今日もどこかで情報漏えいは起きている。

　大きいところでは誰もが社名を耳にしたことがある東証一部の上場企業や政府機関、小さなところでは従業員数名規模の企業や市町村役場に至るまで、毎日、あなたの知らないところで漏えい事件は起き続けている。

　2020 年、ScanNetSecurity は 514 件のインシデントニュースを平日に配信した。年間の営業日は約 260 日だから、単純計算で 1 日約 2 件のペースになるが、実際にはニュースにならないインシデントがその 5 倍から 10 倍存在する。

　筆者は業務として日々インシデント情報を収集している。多いときは 1 日 10 件以上、少ないときでも毎日数件はインシデントの一次情報に接し、プレスリリースや報告の末尾に電話番号がもしあれば、キャッチャーから返球を受ける投手のごとき自然な動作でスマホに手を伸ばし、医療機関などを除いては、ほぼ必ず電話をかけて、詳細のヒアリングを行っている。こうして詳しい発生経緯や、被害規模、影響や原因、そして対策など、セキュリティ管理者のヒントになる情報をまとめていく。

　さて、頻発する情報漏えい事故だが、インシデント発生時の経営面への影響についてはあまり語られていない。「信頼の低下」「顧客離れ」などという具体性のない文句を見かけるにとどまっている。

　実際のところ、どうなんだろうか？

　本稿では、2021 年に本誌が取り上げた上場企業の情報漏えい事案 2 件を対象に、事件公表前後の特に株価の動きについて調べた。

●四半期報告書を提出延期したニップン

　まず 1 件目は、2020 年 7 月 9 日に業務システムへのサイバー攻撃によるシステム障害を発表した株式会社ニップンだ。ニップンは複数のサーバーを暗号化するサイバー攻撃で、グループ会社を含め被害に遭い、被害対象は同社単体の財務管理、販売管理といった主要な基幹システムサーバや、データを保存しているファイルサーバを含め広範囲に及んだ。