相次ぐ1.6億件漏洩の根本原因は、ハッカーではなく「経営」だった日本のサイバーセキュリティパラドックスを読み解く

元ネタは経済評論家・加谷珪一氏の「Economics Explainer #333 相次ぐ企業情報漏洩の根本的な要因」です。
7月以降だけで累計1億6000万件超の個人情報が漏洩。ローソン、損保ジャパン、大和証券、Timesカーシェアまで。もはや全国民が丸裸という記事でした。

この記事をきっかけに、なぜ日本企業ばかり漏らすのかを米国の標準企業と比較検証してみました。

第1章：漏洩の深刻さは「何が漏れたか」で決まる
メールアドレスだけなら迷惑メールで済みます。
でも今回は違いました。

住所・氏名・電話番号、さらに免許証やクレジットカード情報まで流出している。

記事にもある通り、漏洩したデータは犯罪集団が整理・統合して転売し、数ヶ月〜数年後に広範囲で悪用されます。 だから企業の決まり文句である

「現時点で悪用の事実は確認されておりません」

という説明は、全く無意味なのです。

第2章：なぜ日本は漏れるのか？2つの原因
原因1：純粋に技術力が低く、世界で最もセキュリティが甘い国の一つだから

ここにAIを使った高度な攻撃が加わり、漏洩が激増している図式です。

原因2：それ以上に深刻なのが「デジタルに無知・無関心な経営」

これが本質です。セキュリティは、技術があっても**「何を、どこまで、誰が責任を持って守るのか」という経営ポリシー**がなければ機能しません。

日本企業ではこうなっています。

経営会議でセキュリティ投資を「コスト」扱いし、ROIが分からないから予算を削る
社長が「DXやれ」と言うだけで、CISOも置かず、ITを子会社やSIerに丸投げ
顧客データの断捨離ができない。「不安だから免許証画像もクレカも永久保存」
第3章：米国標準企業ならこう宣言する
私が整理した3原則です。

What: 何を守るのか?→ 「持たない」が原則
Apple Pay、Google Payは端末にカード番号自体を保存せず、デバイス固有のトークン(DPAN)に置き換えて決済します。

仕組みは図の通りです。

FPAN(本物のカード番号)は一度だけVisa/Mastercardの超厳重な金庫「Token Vault」に送られる
金庫が本物をダミーのDPAN(デバイス専用トークン)**に置き換える
普段の支払いはダミーのDPANだけで行う。お店は本物を一生知ることができない
お店がハッキングされても盗まれるのはダミーだけ。だから使えない。トークン化によりPCI DSSの遵守範囲を大幅に縮小し、リスクを下げるのが世界標準です。

Whatlong: いつまで持つのか?→ 90日で自動削除
米国SaaSの標準は90日です。

Salesforceは解約後90日で削除、HubSpotも契約終了後90日で完全削除がデフォルト
メッセージ内容は90日で自動削除、サーバーログも30日で削除という設計が増えています
背景にはFTCの厳しい制裁があります。Uberは個人情報保護を怠ったとして20年間のプライバシー監査を課される和解をしています。日本のように「とりあえず永久保存」は許されません。

誰が責任を持つのか?→ CEO直属のCISOが予算を持つ
CISOはCEOまたは取締役会に直接報告するのが最も推奨されるモデルとされ、CIO配下だと単なるIT機能とみなされてしまうため格上げされています
2023年7月、SECが新ルールを採択。上場企業は重大なサイバーセキュリティインシデントを4営業日以内に開示することを義務化。取締役会が予算を承認する責任があると明記されています
第4章：日本企業でもできているところはあるのか？
あります。ただし業種で温度差が激しいです。

できている側:EC業界
2018年から「クレジットカード・セキュリティガイドライン」で非保持化が義務化されました。定義は「自社で保有する機器・ネットワークにおいてカード情報を保存・処理・通過させないこと」。

そのため、ShopifyはPCI DSSレベル1に準拠、BASEやSTORESもカード情報の非保持化を実施し、多くのEC事業者はPCI DSS準拠の負担を避けるために非通過型を採用しています。カード番号はブラウザ上でトークン化され、事業者はトークンのみを受け取ります。

今年やっと追いついた側:決済業界
2025年5月、AdyenとJCBがCard-on-Fileのトークン化サービスを開始。Adyenが国内外で初めてJCBのトークン化を実装しました。

全くできていない側:顧客DBを持つ大企業
今回漏洩した小売・金融・シェアリング企業です。ECのような縛りがない自社会員DBに、免許証画像や住所を「なんとなく」永久保存し続けている。ここが1.6億件の主犯です。

第5章：なぜ日本の経営陣は謝罪しても変わらないのか
表面的には謝罪会見をします。でも中身は儀式です。

「ご迷惑をおかけし、深くお詫び申し上げます。従業員教育を徹底し、再発防止に努めます」

本当に自覚がある会社の謝罪はこうなるはずです。

「明日から免許証画像の保持をやめます。すでに持っているものは全削除します。90日で自動削除するシステムに切り替えます。本件の責任者として私が報酬を50%返上し、CISOをCEO直属で新設します」

自覚が芽生えないのは制度の問題です。

「文系だからITは分からない」が許される
稟議でハンコが10個回り、誰も「私が決めました」と言えない
罰則が指導で終わり、損益に響かない
だから漏洩は「情報システム部のミス」という他人事で処理されてしまう。

結論：技術の問題ではなく、経営の問題だ
米国:what(持たない) × How long(90日で消す) × Who(CEO/CISOが責任)
日本:What(何でも集める) × Whatlong(永久保存) × Who(誰も責任を取らない)

加谷氏が言う通り、これは技術の問題ではなく、デジタルに無知・無関心な日本的経営と、組織の無責任体質・意思決定の曖昧さそのものです。

経営を改革しない限り、私たちの個人情報は盗まれ続けます。

タグ
#サイバーセキュリティ #個人情報漏洩 #情報漏洩 #経営改革 #CISO #ApplePay #トークン化 #PCI_DSS #データ保持 #SEC #加谷珪一 #EconomicsExplainer

参考文献

加谷珪一「JAPAN'S CYBERSECURITY PARADOX 相次ぐ企業情報漏洩の根本的な要因」Economics Explainer #333
PCI DSSトークン化の定義とスコープ縮小について
トークン化によるPCI DSSスコープ削減と再課金での利用
Apple Pay/Google Payのトークン化:実カード番号の代わりにデバイス固有のトークンを使用
Salesforce 90日削除、HubSpot 90日削除の標準ポリシー
CISOはCEOまたは取締役会に直接報告するのが推奨モデル
CISOの報告先がCIOからCEO/取締役会へシフトしている潮流
SECの4営業日以内の重大インシデント開示義務(2023年7月採択)
UberへのFTCによる20年間のプライバシー監査和解
日本の非保持化の定義：カード情報を保存・処理・通過させないこと
EC事業者の非通過型（トークン方式）による非保持化の選択
AdyenとJCBによるCard-on-Fileトークン化サービスの開始(2025年5月)
ShopifyのPCI DSSレベル1準拠