データ漏洩コスト

計算式と考え方

想定コストは「見舞金 ＋ 直接的な対応費用 ＋ 売上減少による損失」で構成されます。見舞金は1件500円を基準に、決済情報を含む場合は1.8倍、要配慮個人情報を含む場合は2.2倍として計算します。5万件・基本情報なら2,500万円です。直接費用は原因調査800万円、コールセンター500万円、通知費用（1件150円）750万円で計2,050万円になります。売上50億円の3%が失われるとすれば1.5億円で、総コストは約1.95億円、1件あたり約3,900円という計算です。

漏えい事故のコスト構造

データ漏洩コストの詳しい解説

情報漏えい事故のコストは、直接的な対応費用より間接的な損失のほうが大きくなるのが一般的です。原因調査、通知、コールセンター設置といった直接費用は数千万円規模ですが、顧客離れによる売上減少、取引先からの取引停止、株価の下落、採用への影響といった間接的な損失は、事業規模によっては数十億円に達します。この構造を理解しておくことが、予防投資の判断につながります。ただし見舞金の水準も売上への影響も事案ごとの幅が大きく、試算はあくまで規模感をつかむための目安です。漏えいした情報の種類、対応の速さ、報道の量によって、同じ件数でも結果は大きく変わります。制度面では、個人情報保護法により、一定の要件に該当する漏えいが発生した場合、個人情報保護委員会への報告と本人への通知が義務づけられています。要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正目的による漏えい、1,000人を超える漏えいが該当します。報告は速報（3〜5日以内）と確報（30日以内、不正アクセスの場合は60日以内）の2段階で行う必要があり、この期限内に事実関係を把握する体制が求められます。本人への通知は、対象者が多いと膨大な作業になります。郵送であれば1件あたり150円前後の費用と、宛名データの整備、印刷、封入作業が発生します。連絡先が古い場合は到達せず、公表による代替措置が必要になることもあります。実務で判断が難しいのは公表のタイミングで、早期の公表は二次被害を抑えられる一方、事実が固まらないうちに出すと訂正が続き、かえって不信を招くという見方もあります。委託先で起きた漏えいについても、個人情報の管理責任は委託元に残るため、委託先の選定と監督の記録が問われます。費用の備えとしてはサイバー保険があり、調査費用や見舞金が補償の対象となる場合がありますが、補償範囲と免責は契約ごとに異なります。予防の観点では、そもそも保有する個人情報を最小限にすることが最も効果的です。不要になったデータの削除、必要な項目だけの取得、保存期間の設定により、漏えい時の影響範囲を小さくできます。なお、総額の多くは事故後の初動の速さで変わります。検知から封じ込めまでの期間が長いほど被害範囲も対応費用も膨らむため、平時の訓練と連絡体制の整備が、結果として金額に直接効いてきます。

業界・現場での使い方

よくある間違い・注意点

• 直接費用だけで見積もる — 信用の毀損による売上減少のほうが大きくなります。間接的な損失を含めてください。
• 報告期限を把握していない — 速報は3〜5日以内です。事実関係を早期に把握する体制が必要になります。
• 不要なデータを保持し続ける — 漏えい時の影響が拡大します。保存期間の設定と定期的な削除が最も効果的な予防策です。

関連する規格・法規

• NIST
• IPA

※本ツールは公的基準に基づく参考計算です。実際の設計・施工・法令適用は最新の告示・規格および所轄官庁の判断に従ってください。

よくある質問（FAQ）

関連計算ツール