この調査のアンケート項目には、こんな費目が並んでいます。

興味深いことに、この記事のために国内の情報漏えい報道1,151件を検索したところ、お詫びの品に言及した記事はわずか3件でした。しかもそのどれも、金額には触れていません。お詫びの品を配ったかどうかは、そもそも報じられないのです。

近畿地方の食品製造業（従業員20〜999名）の事例です。従業員が取引先を装ったメールの添付ファイルを開き、マルウェアに感染。顧客のメールアドレス・住所・氏名・電話番号など約2万件が漏えいしたおそれがありました。

この会社が実際にコンピュータを直すために払ったのは100万円です。それに対してお詫びの品に1,200万円。12倍です。

そして、この1,200万円をもう一段割ってみると、もうひとつ発見があります。

1,200万円 ÷ 18,000人 ＝ 667円。券面500円に対して、実際の負担は667円です。差額の167円は、封筒を刷り、詰め、宛名を印字し、郵送する費用です。

1,200万円の支出を決めたのは、法律でも弁護士でもなく、社内の若手の一言でした。

この会社は、ほかの対応も異例に速く進めています。

調査WGの所感は、この速さを高く評価しています。理由は危機管理コンサルに相談した結果ではなく、「食品を扱う会社として、出荷した商品に問題があった際に速やかに対処してきた経験」から来たものだ、という点です。

そしてこの会社は、最後にこう言っています。

同じ調査には、1億2,400万円のランサムウェア被害事例も載っています。BtoBに加えてBtoC事業も展開する企業で、個人情報漏えいのおそれがありました。その内訳がこちらです。

お詫び関連（詫び状・見舞品4,500万円＋コールセンター600万円＝5,100万円）が、システム復旧費4,000万円を上回りました。全体の41.1%です。

4つの事例で、お詫び関連費用が総額に占める割合を並べてみます。

4.1%から76.2%まで、大きく開いています。低いNO.7は海外現地法人から侵入された製造業で、個人顧客が少ない。高いNO.1とNO.12は個人顧客を多数抱える会社です。

近畿地方の小売業（従業員1,000名以上）。自社は攻撃を受けていません。業務を委託していた先がランサムウェアに感染し、そこが管理していた自社の顧客情報について、漏えいのおそれが出ました。対象は20,000件以上です。

もう1件、同じ構図の事例があります。別の小売業（従業員1,000名以上）で、委託先がランサムウェアに感染。こちらも最終的に「個人情報漏えいの事実は確認されていない」という結論でした。それでも79万円かかっています。報告書はこう書いています。

この会社の担当者のコメントも印象的です。

この表でいちばん大事なのは、いちばん上の行です。

ほとんどの情報漏えいでは、お詫びの品は大きな金額になりません。中央値154人なら10万円です。問題は、金額が人数にそのまま比例することにあります。システム復旧費は漏えい人数が10倍になっても10倍にはなりませんが、お詫び代は正確に10倍になります。

ここまで見てきたことを、もう一度まとめます。

セキュリティの投資対効果を考えるとき、多くの人が思い浮かべるのは「システムを直す費用」です。ところが実際の請求書を開けると、そこに載っているのは封筒代、印刷代、郵送代、コールセンターの委託費、そしてQUOカードの代金でした。

技術で減らせるのは、事故が起きる確率です。事故が起きたあとの「謝る費用」は、技術では1円も減りません。減らせるのは、持っている個人情報の件数だけです。