breach-risk-assessment

データ侵害リスク評価の実施

概要

個人データ侵害が発生した場合、管理者は、監督機関への通知が必要かどうかを判断するため、侵害が「自然人の権利および自由に対するリスクをもたらす可能性が高い」（第33条第1項）かどうかを評価し、データ主体への通知が必要かどうかを判断するため、侵害が「高いリスクをもたらす可能性が高い」（第34条第1項）かどうかを評価する必要があります。このスキルでは、EDPB ガイドライン 9/2022 およびガイドライン 01/2021 に基づく、体系的で再現可能な方法を提供します。

侵害の種類の分類（CIA トライアド）

すべての侵害は、まずセキュリティ侵害の種類に応じて分類する必要があります。

機密性の侵害

個人データの不正または偶発的な開示、あるいはアクセス。

シナリオ	重大度の指標
顧客記録50件を含むメールが、誤って社内の別部門に送信される	低 — 露出範囲が限られ、同一組織内
20万件の記録を含むデータベースのエクスポートが、公開ファイル共有サービスに投稿される	深刻 — 大量のデータが露出し、一般公開されている
従業員が、権限なく同僚の医療記録にアクセスする	中 — 範囲は限定的だが、機微なデータ
暗号化されていない給与データを含むバックアップテープが、輸送中に紛失する	高 — 財務データであり、アクセスした者は不明

完全性の侵害

個人データの不正または偶発的な改ざん。

シナリオ	重大度の指標
マルウェアが、臨床データベース内の患者の投薬量を変更する	深刻 — 身体的危害をもたらす可能性
ソフトウェアのバグにより、顧客記録5,000件の郵便番号が上書きされる	低 — 機微ではない項目で、バックアップから復元可能
権限のない者が、従業員の業績評価スコアを変更する	中 — 雇用への影響が生じる可能性
SQL インジェクションにより、金融取引記録が改ざんされる	高 — 財務データの完全性が損なわれる

可用性の侵害

個人データへのアクセスの偶発的または不正な喪失、あるいは個人データの破壊。

シナリオ	重大度の指標
ランサムウェアにより人事システムが48時間暗号化される。クリーンなバックアップから復元済み	中 — 一時的に利用できなくなったが、データは復旧
火災により、患者記録のアーカイブの唯一のコピーが焼失する	深刻 — 永久的な喪失で、医療に影響
DDoS 攻撃により、顧客ポータルが6時間利用できなくなる	低 — 一時的で、データの喪失や侵害はない
暗号鍵の破壊により、暗号化されたデータセットが永久に読み取り不能になる	深刻 — データが不可逆的に失われる

リスク評価の方法

要因1：データの機微性（重み：高）

スコア	基準	例
1 — 低	すでに公開されている、または容易に入手できる機微でないデータ	業務上の連絡先情報、公開されている住所
2 — 中	開示されても軽微な不便が生じる可能性のある個人データ	メールアドレス、電話番号、購入履歴
3 — 高	機微な個人データ、または重大な影響をもたらす可能性のあるデータ	金融口座の詳細、政府発行の身分証明書番号、雇用記録
4 — 深刻	特別カテゴリのデータ（第9条）、有罪判決に関するデータ（第10条）、または重大な危害をもたらす可能性のあるデータ	健康記録、生体データ、遺伝データ、性的指向、政治的意見

要因2：影響を受けるデータ主体の数

スコア	データ主体の数	根拠
1	100人未満	限定的な規模 — 個別評価が可能
2	100人から1,000人	中規模 — 体系的な対応が必要
3	1,000人から100,000人	大規模 — 組織に重大な影響
4	100,000人超	大量 — 社会全体に広範な影響を及ぼす可能性

要素 3：識別の容易さ

スコア	基準
1	データは仮名化または暗号化されており、再識別には別個に安全に保管された追加データが必要
2	データには間接識別子のみが含まれており、中程度の労力で再識別が可能
3	データには直接識別子（氏名とその他1つの要素）が含まれており、個人を容易に識別できる
4	データには複数の直接識別子、写真、または生体データが含まれており、即座に識別が可能

要素 4：影響の深刻度

スコア	想定される影響
1	軽微な不便 — 例：望まないマーケティングを受け取る、パスワードの変更が必要になる
2	中程度の影響 — 例：標的型フィッシングのリスク、軽微な金銭的損失、評判に関する不便
3	重大な影響 — 例：個人情報盗難のリスク、多額の金銭的損失、雇用への影響、差別のリスク
4	深刻な影響 — 例：身体の安全への脅威、重大な金融詐欺、必須サービスの拒否、生命への脅威

要素 5：個人の特性

スコア	基準
1	特別な脆弱性のない一般成人集団
2	扶養関係にある人（従業員、賃借人）が一部含まれる集団
3	高齢者、経済的に脆弱な人、または力関係が不均衡な状況にある人が含まれる集団
4	未成年者、患者、庇護希望者、またはデータの機密性によって安全が左右される人が含まれる集団

要素 6：管理者固有の要因

スコア	基準
1	管理者は付随的な業務（例：オフィス管理）として個人データを処理する
2	管理者はサービス提供の中核業務として個人データを処理する
3	管理者は信頼を担う立場にある（金融機関、医療提供者、教育機関）
4	管理者は中核事業として大規模にデータを処理する（データブローカー、決済処理業者、ソーシャルメディアプラットフォーム）

スコアリングマトリックスとしきい値

合計スコア	リスクレベル	第33条 SA への通知	第34条 DS への通知	必要な対応
6-8	リスクが生じる可能性は低い	不要	不要	第33条(5)の侵害記録簿にのみ記録する
9-12	リスクはあるが、高リスクのしきい値未満	72時間以内に必要	不要	監督機関に通知し、詳細に記録する
13-18	リスクが生じる可能性が高く、高リスクに近い	72時間以内に必要	推奨	SA に通知し、DS への通知を強く検討する
19-24	高リスクが生じる可能性が高い	72時間以内に必要	不当な遅延なく必要	SA とデータ主体の両方に通知する

EDPB による侵害シナリオ分析（ガイドライン 01/2021）

シナリオ 1：バックアップが利用可能なランサムウェア攻撃

• 事実：病院がランサムウェア攻撃を受けました。患者データが暗号化されました。クリーンなバックアップが24時間以内に復元されました。データの持ち出しを示す証拠はありません。
• 分類：可用性の侵害。
• リスク評価：データの機微性 = 4（健康データ）、量 = 3（患者2,500人）、識別可能性 = 4、影響 = 3（治療の遅延）、脆弱性 = 4（患者）、管理者 = 3（医療）。合計 = 21。
• EDPB の結論：SA とデータ主体に通知します。バックアップが利用可能だったとしても、24時間の復旧期間中に健康データが一時的に利用できなかったことは、患者の安全に対する高いリスクをもたらしました。

シナリオ 2：バックアップのないランサムウェア被害

• 事実：小規模な製造会社がランサムウェアの被害を受けました。従業員の給与データが永久に失われました。バックアップはありません。
• 分類：可用性侵害（永久的）。
• リスク評価：データの機微性 = 3、量 = 1（従業員 45 人）、識別可能性 = 4、結果 = 3、脆弱性 = 2、管理者 = 2。合計 = 15。
• EDPB の結論：SA およびデータ主体に通知します。給与データの永久的な消失は、従業員の経済的利益に直接影響します。

シナリオ 3：ウェブサイトからのデータ持ち出し

• 事実：SQL インジェクション攻撃により、EC プラットフォームに登録された 120 万人のユーザーのユーザー名、ハッシュ化されたパスワード、メールアドレスが窃取されました。
• 分類：機密性侵害。
• リスク評価：データの機微性 = 2、量 = 4、識別可能性 = 3、結果 = 2、脆弱性 = 1、管理者 = 3。合計 = 15。
• EDPB の結論：SA およびデータ主体に通知します。メールアドレスとハッシュ化されたパスワードの組み合わせにより、他のサービスを標的としたクレデンシャルスタッフィング攻撃が可能になります。

シナリオ 4：メールの誤送信（受信者 1 人）

• 事実：人事部門が、従業員 1 人分の給与明細を誤って社内の別の同僚にメールで送信しました。10 分以内に誤送信が判明しました。受信者は削除したことを確認しています。
• 分類：機密性侵害。
• リスク評価：データの機微性 = 3、量 = 1、識別可能性 = 4、結果 = 1、脆弱性 = 2、管理者 = 1。合計 = 12。
• EDPB の結論：SA に通知します（該当するかどうかは微妙です）。データ主体への通知は不要です。侵害は封じ込められており、受信者が判明していて協力的であり、財務データの露出も限定的です。

シナリオ 5：暗号化されていない USB ドライブの紛失

• 事実：従業員が、年金制度の加入者 3,500 人の氏名、住所、国民保険番号を含む暗号化されていない USB ドライブを紛失しました。
• 分類：機密性侵害。
• リスク評価：データの機微性 = 3、量 = 3、識別可能性 = 4、結果 = 3、脆弱性 = 3（高齢者／退職者）、管理者 = 3。合計 = 19。
• EDPB の結論：SA およびデータ主体に通知します。政府発行の識別番号と脆弱性の高い集団（退職者）の組み合わせにより、個人情報の盗難リスクが高まります。

シナリオ 6：学生の成績の誤公開

• 事実：大学が誤って学生の氏名とともに試験結果をウェブページに公開し、削除までの 36 時間、誰でもアクセスできる状態になっていました。
• 分類：機密性侵害。
• リスク評価：データの機微性 = 2、量 = 2（学生 800 人）、識別可能性 = 4、結果 = 2、脆弱性 = 2、管理者 = 3（教育）。合計 = 15。
• EDPB の結論：SA およびデータ主体に通知します。氏名と結び付いた学業成績データが 36 時間公開されており、学生の学業や職業上の将来に影響を及ぼす可能性があります。

評価の記録要件

すべての侵害リスク評価は、以下の項目を記録する必要があります。

1. 評価メタデータ：日付、評価者名、侵害参照番号、バージョン
2. 侵害の説明：発生した事象の事実に基づく概要
3. CIA 分類：該当する侵害の種類
4. 要素ごとのスコアリング：各要素のスコアと、その根拠の記述
5. 合計スコアとしきい値の判定：適用される通知義務
6. DPO の推奨事項：評価に対する DPO の同意または異議
7. 経営陣の決定：最終的な通知判断と承認
8. 再評価のトリガー：スコアの再評価が必要となる条件（例：後日、データの持ち出しが確認された場合）

評価でよくある誤り

1. データ流出が「未確認」であることを理由に影響を過小評価する：データ流出の証拠がないことは、データ流出がなかった証拠にはなりません。データが権限のない者の手に渡った場合に起こり得ることに基づいて、影響を評価してください。
2. 暗号化されたデータは自動的にリスクが低いと見なす：暗号化キーも侵害されておらず、暗号化標準が堅牢（AES-256 または同等）である場合に限り、暗号化はリスクを軽減します。
3. 複数の小規模な侵害を個別に評価する：同様の侵害が繰り返し発生している場合（例：宛先を間違えたメールの繰り返し送信）、各インシデントから想定されるリスクを合算した以上のリスクにつながる、組織的な問題を示している可能性があります。
4. 可用性に関する侵害を無視する：健康記録、金融データ、または安全上重要な情報に一時的にアクセスできなくなると、機密性が侵害されていなくても被害が生じる可能性があります。
5. 通知に従業員250人以下の免除を適用する：Art. 30(5) は小規模な組織に対して限定的な RoPA の免除を定めていますが、Art. 33/34 の侵害通知義務にはそのような免除はありません。