メッセサンオー個人情報流出事件の損害賠償額を計算したらエラいことになった - カオスな情報置場
ヤマガタさんの処経由、まぁ考え方としては悪くはないんですが、ちょいと評価を厳し目にしてません?
という事で、改めて自分の方でも評価してみました。なおこの評価結果等については、個人的に評価・試算したものであり、必ずしもこの通りになる訳ではない事を予めお断りしておきます。
-----
まず、今回概算評価に用いたのはJNSA セキュリティ被害調査WGが毎年出している「情報セキュリティインシデントに関する調査報告書」の「個人情報漏えいにおける想定損害賠償額の算出モデル」になります。
公開されている最新版は、現時点では2007年度版(Ver1.6)になりますので、それに基づいて評価してみます(報告書はリンク先のページにあるPDFファイルをダウンロードして下さい)。
【Step.1 : 漏えいした個人情報の価値を算出する】
漏れた項目(判明している分)に対して、「図36：Simple-EP図」の項目に当てはめ、経済的損失レベル(x)と精神的苦痛レベル(y)を算出します。
各項目に対する経済的損失レベルと精神的苦痛レベル(x,y)はこんな感じかと思われます。
名前→(1,1)
メールアドレス→(1,1)
パスワード→(2,1)
性別→(1,1)
住所→(1,1)
年齢→(1,1)
生年月日→(1,1)
携帯電話番号→(1,1)
一般加入電話番号→(1,1)
注文商品の一部（購入履歴）→(2,2)
元記事では「注文商品の一部（購入履歴）」を「性癖(1,3)」としていますが……これは過大評価でしょう。ここで言う性癖とは「これがバレたら身の破滅を招く(命が無くなる or 社会的に抹殺される)」位のヤバい情報の事を想定しており、たかがエロゲを買っていた事がバレたとしても、精々「周囲から生暖かい or 白い目で見られる」くらいでしょうから、性癖には該当しないものと想定。よって文字通り「購入履歴(2,2)」で評価しています。
そして実際に漏洩した個人情報の価値(単位はpt)を求める訳ですが、その公式は次の通りです。
漏えい個人情報価値 = 基礎情報価値 * 機微情報度 * 本人特定容易度
まず基礎情報価値ですが、これは「500pt」固定になります。
次に機微情報度ですが、この公式は次の通り。
機微情報度 = 10^(x-1) + 5^(y-1)
x,yは各評価で最大の値を用いる
今回はx(max)が2、y(max)が2なので……
10^(2-1) + 5^(2-1)
= 10^1 + 5^1
= 15
……で、「15pt」となります。
最後に本人特定容易度ですが、これは「表10：本人特定容易度 判定基準」を元に当てはめると、今回は「住所、氏名が含まれており、容易に特定可能」という事で「6pt」となります。
で、漏えい個人情報価値ですが……
500pt * 15pt * 6pt = 45,000pt
……という事で「45,000pt」となります。
【Step.2 : 情報漏えい元組織の社会的責任度を求める】
これは「表 11：情報漏えい元組織の社会的責任度 判定基準」に当てはめれば良いだけなので簡単。
今回は超有名企業という訳ではないので「一般的(1)」と評価しましょう。
【Step.3 : 事後対応評価を行う】
これは「表 12：事後対応評価 判定基準」および「表 13：事後対応 行動例」に当てはめて評価する事になるんですが、何せ現在進行中のインシデントであり、これについては「評価不能(不明、その他)(1)」としておきます。
(ある程度時間が経たないと評価できない項目なので……。)
【Step.4 : 損害賠償額の概算見積を行う】
損害賠償額の概算見積の公式は次のとおり。
損害賠償額 = 漏えい個人情報価値 * 情報漏えい元組織の社会的責任度 * 事後対応評価
で、Step.1～3で求めた値をそれぞれ当てはめると……
45,000pt * 1 * 1
= 45,000円/名
……となります。
もし仮に該当者全員(1,405名)が民事訴訟を起こし、完全に訴えが認められた場合……
45,000円/名 * 1,405名 = 63,225,000円
……6,300万強という値になります。
が、実際にはお詫び品(500円の商品券など)で満足してしまう人や、そもそも気にしていない人などが存在する事から、この額より遥かに小さい値になるものではないかと思われます。
ヤマガタさんの処経由、まぁ考え方としては悪くはないんですが、ちょいと評価を厳し目にしてません?
という事で、改めて自分の方でも評価してみました。なおこの評価結果等については、個人的に評価・試算したものであり、必ずしもこの通りになる訳ではない事を予めお断りしておきます。
-----
まず、今回概算評価に用いたのはJNSA セキュリティ被害調査WGが毎年出している「情報セキュリティインシデントに関する調査報告書」の「個人情報漏えいにおける想定損害賠償額の算出モデル」になります。
公開されている最新版は、現時点では2007年度版(Ver1.6)になりますので、それに基づいて評価してみます(報告書はリンク先のページにあるPDFファイルをダウンロードして下さい)。
【Step.1 : 漏えいした個人情報の価値を算出する】
漏れた項目(判明している分)に対して、「図36：Simple-EP図」の項目に当てはめ、経済的損失レベル(x)と精神的苦痛レベル(y)を算出します。
各項目に対する経済的損失レベルと精神的苦痛レベル(x,y)はこんな感じかと思われます。
元記事では「注文商品の一部（購入履歴）」を「性癖(1,3)」としていますが……これは過大評価でしょう。ここで言う性癖とは「これがバレたら身の破滅を招く(命が無くなる or 社会的に抹殺される)」位のヤバい情報の事を想定しており、たかがエロゲを買っていた事がバレたとしても、精々「周囲から生暖かい or 白い目で見られる」くらいでしょうから、性癖には該当しないものと想定。よって文字通り「購入履歴(2,2)」で評価しています。
そして実際に漏洩した個人情報の価値(単位はpt)を求める訳ですが、その公式は次の通りです。
漏えい個人情報価値 = 基礎情報価値 * 機微情報度 * 本人特定容易度
まず基礎情報価値ですが、これは「500pt」固定になります。
次に機微情報度ですが、この公式は次の通り。
機微情報度 = 10^(x-1) + 5^(y-1)
x,yは各評価で最大の値を用いる
今回はx(max)が2、y(max)が2なので……
10^(2-1) + 5^(2-1)
= 10^1 + 5^1
= 15
……で、「15pt」となります。
最後に本人特定容易度ですが、これは「表10：本人特定容易度 判定基準」を元に当てはめると、今回は「住所、氏名が含まれており、容易に特定可能」という事で「6pt」となります。
で、漏えい個人情報価値ですが……
500pt * 15pt * 6pt = 45,000pt
……という事で「45,000pt」となります。
【Step.2 : 情報漏えい元組織の社会的責任度を求める】
これは「表 11：情報漏えい元組織の社会的責任度 判定基準」に当てはめれば良いだけなので簡単。
今回は超有名企業という訳ではないので「一般的(1)」と評価しましょう。
【Step.3 : 事後対応評価を行う】
これは「表 12：事後対応評価 判定基準」および「表 13：事後対応 行動例」に当てはめて評価する事になるんですが、何せ現在進行中のインシデントであり、これについては「評価不能(不明、その他)(1)」としておきます。
(ある程度時間が経たないと評価できない項目なので……。)
【Step.4 : 損害賠償額の概算見積を行う】
損害賠償額の概算見積の公式は次のとおり。
損害賠償額 = 漏えい個人情報価値 * 情報漏えい元組織の社会的責任度 * 事後対応評価
で、Step.1～3で求めた値をそれぞれ当てはめると……
45,000pt * 1 * 1
= 45,000円/名
……となります。
もし仮に該当者全員(1,405名)が民事訴訟を起こし、完全に訴えが認められた場合……
45,000円/名 * 1,405名 = 63,225,000円
……6,300万強という値になります。
が、実際にはお詫び品(500円の商品券など)で満足してしまう人や、そもそも気にしていない人などが存在する事から、この額より遥かに小さい値になるものではないかと思われます。