まず前編の結論をおさらいします。原因ごとに「発生から公表までの日数」を数えると、はっきり順番がつきました。

前編ではここから「公表の速さは、被害の重さではなく隠せなさで決まる」と読みました。ランサムウェアは業務が止まるので隠しようがない。だから最速で出てくる。この読み方自体は、今回の分析でも覆りませんでした。

ただ「隠せなさ」という言葉は、実は2つの意味を混ぜています。

対策はまったく変わります。前者なら監視やログに投資すべきですし、後者なら報告体制や意思決定の問題です。どちらなのかは、公表までの日数だけを見ていても分かりません。

そこで、発覚した日が分かっている75件について、時間を2つの区間に分けました。

全体では「気づくまで」が48日、「気づいてから公表まで」が28日でした。合計すると、この75件の発生から公表までは中央値93日になります。

この時点で、すでに片方に傾いています。遅れの大半は、気づく前の時間です。

原因ごとに分けると、傾きはもっとはっきりします。

不正アクセスは、気づくまでに中央値442日かかっています。1年2か月です。 そして気づいてから公表するまでは114日。合計するとかなりの長さですが、その大部分は「まだ知らなかった時間」でした。

前編で「不正アクセスの公表は遅い」と書いたとき、隠蔽を疑った方もいたと思います。データはそう言っていません。多くの場合、組織は黙っていたのではなく、起きていること自体を知らなかったのです。

誤操作・設定ミスも同じ向きですが、差は小さくなります（43日と26日）。設定ミスは外部から指摘されて気づくことが多く、その指摘が来るまでの時間が「気づくまで」に現れていると考えられます。

3つの原因のうち、ひとつだけ向きが違います。紛失・誤廃棄です。

書類がない、パソコンがない。物理的になくなったものは、すぐ分かります。 中央値11日というのはそういう意味です。ところがそこから公表までは32日かかっています。

これは考えてみれば自然です。紛失に気づいたあと、組織は「本当に無いのか」を捜します。保管場所を全部見て、持ち出し記録を確認して、それでも出てこないと確定させる。さらに、何人分の情報が入っていたのかを特定する必要があります。その調査と確定の時間が、そのまま公表までの32日になっていると考えるのが素直です。

「気づくまで」が長かった上位12件を並べます。数字だけでは伝わらないものが、ここに出ています。

太字にしたところを見てください。12件のうち6件が通販サイトで、そのすべてが不正アクセスです。

手口も共通しています。決済ページのプログラムを書き換えて、入力されたカード番号をそのまま外へ送る——いわゆるWebスキミングです。この攻撃には、サイト運営者から見て決定的にやっかいな性質があります。

売上は立ちます。注文は届きます。顧客からの苦情も来ません。運営側から見て、異常が一切ないのです。 だから何年も続きます。「約3年間にわたり」という記事タイトルは、誇張ではなく実測です。

阿波銀行の事案にも注目してください。「外部からの指摘で発覚」とあります。1,819日、自分では気づけませんでした。そして指摘を受けてからの公表は13日と非常に速い。この組織は隠していません。知らなかっただけです。

調べたものの、差が出なかったものも書いておきます。出なかったこと自体が情報だからです。

委託先が絡んでいても、遅くならない

漏えいの約2割は委託先で起きています。関係者が増えるぶん、公表までの調整に時間がかかりそうに思えます。数えてみました。

まったく同じ27日でした。 「委託先が絡むと公表が遅れる」という直感は、少なくともこのデータでは支持されません。

自治体は民間より遅くない

もうひとつ、意外な結果です。

地方自治体は25日、民間企業は33日。 「お役所仕事だから遅い」という想像とは逆です。

ただしこれは、自治体が優秀だという話ではないかもしれません。前編で見たとおり自治体の漏えいは誤操作・紛失といった人的ミスが中心で、こうしたミスはそもそも早く気づけます。一方、民間企業には不正アクセスが多く含まれます。速さの差は組織の姿勢ではなく、起きている事故の種類の差である可能性が高いという読み方をしておきます。

先に限界を書きます

とくに2つ目は重要です。この数字は「日本の平均」ではなく「記事で発覚日まで書かれた事案の傾向」だと理解してください。それでも、442日と11日という桁の違いは、偏りだけでは説明しきれない差だと考えています。

立場別にやること