ほとんどの被害者がサードパーティ経由のデータ侵害に直面

次にあなたの机に届く可能性が高いデータ侵害は、あなたが所有していない企業の内部から始まります。通知書にはあなたのロゴが入り、規制当局の受信箱にはあなたの名前が並び、取締役会はなぜベンダーのミスが自社のインシデントになったのかを問いただします。Krollの「Data Breach Outlook 2026」は、このパターンに具体的な数字を示しています。Krollが2025年6月から2026年6月に対応したデータ侵害で影響を受けた個人のうち、69%がサードパーティ経由で被害を受けていました。

この数字は、よくあるベンダーリスクの注意喚起以上に注目すべきです。これは「インシデント」ではなく「人」に着目しており、実際に深刻な被害が集中する場所を示しています。たった1社の技術プロバイダーが侵害されるだけで、数百社の顧客を通じて何百万人もの個人に影響が及ぶ可能性があります。どの顧客のセキュリティチームもその事態を予測できず、失敗したシステムを管理していたわけでもありません。

本記事では、Krollが測定した内容、その数値がVerizonのData Breach Investigations Reportとどう異なるのか、ベンダーが侵害された場合のHIPAA通知ルール、CISOやコンプライアンス責任者が電話が鳴る前に持っておくべき証拠について解説します。要点は、ベンダーアンケートは証拠ではなく、「何が動いたか、誰が触ったか、どのポリシー下で行われたか」の記録こそが証拠になる、ということです。

主なポイント

1. Krollは、影響を受けた個人の69%がサードパーティ経由で被害を受け、そのうち79%が技術ベンダーに起因していることを発見しました。

2. Krollは「人」を、Verizonは「侵害件数」をカウントしているため、両者の数値は異なるものを測定しており、統合して1つの統計値にすべきではありません。

3. HIPAAの下では、ビジネスアソシエイトの侵害があっても、カバードエンティティの個人への通知義務は消えず、ベンダーが代理人扱いとなる場合は通知のタイミングが早まることもあります。

4. リーダー間の認識ギャップが隠れたリスクであり、Krollの調査ではITリーダーの方がC-suiteやリスク・コンプライアンスリーダーよりも自信を持っていることが示されています。

5. 最強の防御策は自社で生成する証拠であり、機密コンテンツのやり取りを1つのポリシーエンジンと1つの監査ログで統制することが重要です。

Krollが測定したもの

まず定義から確認しましょう。見出しは細かな注釈よりも早く広まります。Krollは2026年10月22日にData Breach Outlook 2026を発表しました。その調査対象期間は2025年6月から2026年6月です。Krollのプレスリリースによれば、データ侵害で被害を受けた個人の10人中7人がサードパーティ経由であり、正確には69%となっています。

ここで注目すべきは「何をカウントしているか」です。Krollは「影響を受けた個人」、つまりデータが漏洩した人を数えています。侵害を受けた組織数ではありません。この違いは重要です。なぜなら、ベンダー侵害は被害を拡大させるからです。給与計算プロセッサや請求プラットフォーム、ファイル転送プロバイダーで1件のインシデントが発生すれば、そのサービスを利用していたすべての顧客の顧客情報が漏洩します。

Krollはまた、ケースワークと並行して250人のリーダーに調査を実施しました。そのうち69%が「自社が侵害を受けた」と回答し、34%は「複数回侵害された」と答えています。ここでも69%という数字が登場しますが、最初の数字と混同しやすいので注意が必要です。1つは「ベンダー経由で被害を受けた個人」、もう1つは「侵害を経験した組織」を指します。必ず区別して引用しましょう。

Krollのサマリーは国別の結果を分けていません。これらの数字はグローバルな傾向として扱い、特定の市場に対する判断とは考えないでください。ロンドン、リヤド、シカゴなどで取締役会に説明する場合は、冒頭でその旨を伝え、地域ごとの規制セクションでローカルな重み付けを行いましょう。

技術ベンダーと被害範囲の拡大

サードパーティ経由で影響を受けた個人のうち、Krollは79%を技術ベンダー、9%を金融、6%を保険、5%をヘルスケアに起因するとしています。Krollのデータセット全体で見ると、技術分野だけで影響を受けた個人の60%が関連しています。

さらに詳しく見ると、ランキングはより鮮明なストーリーを語ります。技術分野は侵害を受けた組織数では7位ですが、影響を受けた個人の数では1位です。保険分野は組織数で9位、個人数で2位です。これらの業界が他より多く侵害されているわけではありません。他社のデータを多く保有しているため、1件の侵害でより多くの個人に影響が及ぶのです。

これは「集中」の問題であり、「不注意」の問題ではありません。あなたのサプライヤーが必ずしもあなたよりセキュリティが劣っているわけではなく、単に「集約ポイント」なのです。1社のプロバイダーが何百社もの顧客のデータを保管・処理・転送していれば、攻撃者は一度侵入するだけで、本来なら何百回も侵入しなければ得られない成果を一気に手に入れられます。

Krollはまた、金融とプロフェッショナルサービスがそれぞれ全体の20%の侵害を占めており、プロフェッショナルサービスは45%増加したと指摘しています。法律事務所、コンサルティング会社、会計事務所、外部専門家などは機密性の高いやり取りの中間地点に位置しています。契約書や財務記録、個人データを受け取り、それを次に渡します。そのすべての受け渡しが、あなたのポリシーが終わり、他者のポリシーが始まるポイントです。

もしあなたのサプライチェーンリスク管理プログラムが主にベンダーにコントロール内容を説明させるだけなら、それは「意図」を測っているに過ぎません。Krollの数字は「結果」を測っており、その結果はプログラムが最優先すべきごく一部のプロバイダーカテゴリーに集中しています。

Verizonは侵害件数、Krollは被害者数をカウント

セキュリティリーダーは、Krollのデータを検証するためにVerizon 2026 Data Breach Investigations Reportを参照するでしょう。Verizonのレポートでは、侵害の48%にサードパーティが関与しており、前年の30%から増加しています。調査期間は2024年10月から2025年11月までで、145カ国をカバーしています。

一見すると「48%」と「69%」は矛盾しているように見えますが、そうではありません。Verizonは「何件の侵害にサードパーティが関与したか」を、Krollは「何人がサードパーティ経由で被害を受けたか」を尋ねています。サードパーティ関連のインシデントは規模が大きくなりがちなので、被害者の割合が侵害件数の割合を上回ります。両方の数字は同時に成立し、両者を合わせて読むことでより多くのことが分かります。

両者を合わせて読むと、2つのトレンドが見えてきます。サードパーティが関与する侵害は急増しており、サードパーティが関与する侵害は規模も大きいということです。インシデント件数だけを追っているCISOはリスクの大きさを過小評価し、被害者数だけを追っているCISOはこのパターンがいかに日常化しているかを見落とします。

Black Kiteの2026年サードパーティ侵害レポートは、ベンダーが通常提供する証拠に関する警告も加えています。同レポートは136件のイベント、719の被害者名、約26,000人の匿名被害者を記録し、開示までの中央値は73日でした。平均ベンダースコアは90.27でしたが、そのうち53.77%のベンダーが重大な脆弱性を抱えていました。高スコアと深刻な弱点が同じ集団に共存していたのです。だからこそ、評価スコアだけではデータの取り扱い証拠にはなりません。

誰も所有しないリーダーギャップ

Krollの調査で最も示唆的なのは、攻撃者についてではなく「自信」についてです。Krollがリーダーに「どれだけ備えができていると感じるか」を尋ねたところ、ITリーダーの54%が「自信がある」と回答しました。C-suiteでは40%、リスク・コンプライアンスリーダーではわずか30%です。

この差は「誰が証拠を持っているか」を示すシグナルと捉えるべきです。技術に最も近い人ほど安心感があり、規制当局や保険会社、取締役会に説明しなければならない人ほど不安を感じています。コンプライアンスリーダーが悲観的なわけではありません。監査人が何を求めるかを知っており、その答えがたいてい自社ではなくベンダーのシステムにあることも知っています。

Kiteworks独自の年次調査も同じ傾向を示しています。459人の回答者のうち、約半数がEU・英国在住で全員が自己申告ですが、サードパーティ侵害を最大のリスクと挙げたのはわずか14%でした。一方で、54%が機密コンテンツのやり取りに4つ以上のプラットフォームを利用し、73%はそれらのチャネルに技術的な強制力を持たせていません。統合プラットフォームを運用しているのはわずか4%、サードパーティのアクセスが実際に取り消せるかどうかを一度もテストしたことがないのは19%でした。

この最後の数字に注目してください。5社に1社は、ベンダーのアクセスを遮断できるかどうか一度も確認したことがありません。もし火曜日にベンダーが侵害されたら、CEOが最初に尋ねるのは「接続を切れるか」です。「できるはずです」という回答は取締役会も調査官も納得しません。

これを「証拠ギャップ」と呼びます。技術チームが報告する自信と、コンプライアンスチームが即座に提出できる証拠との間の距離です。Krollの「54・40・30」という数字は、その距離を示す地図です。

通知義務は移動しない

ヘルスケア分野では、HIPAAが「誰が誰に通知するか」を明確に定めているため、責任が具体的です。45 CFR 164.410によれば、ビジネスアソシエイトは侵害を発見後、合理的な遅延なく、かつ60暦日以内にカバードエンティティへ通知しなければなりません。また、ビジネスアソシエイト自身やその従業員・代理人が侵害を知った時点で「発見」と見なされます。

次のリンクに目を向けましょう。45 CFR 164.404の下では、カバードエンティティが影響を受けた個人に通知します。ベンダーの不備があっても、その義務は移りません。患者が連絡を受けるのはあなたの組織であり、規制当局が読む通知書もあなたが発行するものです。

HHSは2013年のFederal Registerで微妙な論点に言及しています。ビジネスアソシエイトがカバードエンティティの代理人として行動する場合、ビジネスアソシエイトが侵害を知った時点で、その知識はカバードエンティティにも帰属します。この場合、通知のカウントダウンはベンダーが侵害を発見した時点で始まる可能性があり、ベンダーが連絡してくるタイミングではありません。ベンダーが代理人かどうかは、あなたがどれだけコントロールしているかによるため、インシデント発生前に法務と協議しておくべき法的論点です。

ここでHIPAAセキュリティ規則の改正案も話題に上がります。まだ最終決定されておらず、HIPAA Journalの報道によれば、最終決定は2027年7月に延期されています。しかし、それを待つ必要はありません。上記の通知ルールはすでに適用されており、ベンダー証拠も今すぐ用意しておくべきです。詳細な基礎知識については、KiteworksのHIPAAコンプライアンスの概要も参照してください。

同じ論理は米国以外にも当てはまります。英国GDPR第33条の下では、管理者は侵害を認識してから72時間以内に規制当局へ通知しなければなりません（可能な限り）。サウジアラビアのPDPLも72時間以内の規制当局通知を義務付けており、2026年10月6日開始のパブリックコメントではさらに厳格化が提案されています。Pinsent Masonsの報道によれば、現行の損害基準の撤廃、国内保管義務、20営業日以内の対応義務追加が盛り込まれています。パブリックコメントは2026年11月5日に締め切られますが、これらは二次情報なので、実際に行動する前に必ず一次資料を確認してください。どの法域でもパターンは同じです。ベンダーが侵害を引き起こしても、通知のカウントダウンは管理者側に課されます。

保険の計算式

保険会社も同じパターンに気づいています。Insurance Businessの報道によれば、6月の大規模なヘルスデータ侵害の多くはベンダーが原因でした。業界最大規模のインシデントがサプライヤー発で常態化すれば、保険引受人はあなたに対してサプライヤー関連の質問をしてくるようになります。

いくつかの変化が予想されます。申請時には、データを保有するベンダーの棚卸し方法を問われます。契約更新時には、ポリシーの有無だけでなく「誰が何にアクセスしたか」を証明できるかを聞かれます。保険金請求時には、迅速に事実を再現できるかが問われます。記録がなければ、請求が通らない可能性もあります。

また、保険分野はKrollのデータでも独特の位置にあります。侵害を受けた組織数では9位、影響を受けた個人では2位です。保険会社や管理会社も「集約ポイント」であり、リスクを価格付けする側も同じ集中リスクにさらされています。

実務的な教訓は、ベンダー侵害のコストはベンダーが決めるのではなく、「4つの質問にどれだけ早く答えられるか」で決まるということです。ベンダーがどんなデータを保有していたか、誰がアクセスを許可したか、直近90日間で何が共有されたか、それを証明できるか。これらの答えは自社の記録、もしくはベンダーの善意からしか得られません。

ベンダーから連絡が来る前に用意すべき証拠

多くの組織はサードパーティリスクを調達部門の業務と捉えています。アンケートを送り、SOC2報告書を集め、結果をファイリングして終わりです。このプロセスにも価値はありますが、得られるのは「ベンダー環境に関する主張」であり、「自社データの動きに関する証拠」ではありません。

この違いが、最悪の日にできることを左右します。ベンダー提供の証明書は「ベンダーが何をしていると言っているか」を示しますが、自社の監査ログは「自社のコンテンツに何が起きたか」を示します。インシデント時に頼りになるのは前者よりも後者であり、規制当局も同様です。

ここで重要なのが、機密コンテンツ交換のアーキテクチャです。メール、ファイル共有、SFTP、マネージドファイル転送、ウェブフォーム、APIは、規制対象データが社外に出る経路です。それぞれの経路に異なるツール・ポリシー・ログがあると、インシデントのタイムラインを組み立てるのはフォレンジック作業になります。Kiteworksの調査でも、54%が4つ以上のプラットフォームを運用しているという分断の実態が示されています。

コントロールプレーン型のアプローチでこれらの経路を統合できます。Kiteworksは、セキュアメール、セキュアなファイル共有、SFTP、マネージドファイル転送、フォーム、APIを1つのデータポリシーエンジンで統制し、RBACやABACコントロール、単一の監査ログ、防御可能な証拠保管の連鎖を実現します。シングルテナントの強化された仮想アプライアンスとして稼働するため、あなたのデータや鍵が他の顧客と混在することはありません。AIエージェントも人間ユーザーと同じポリシーで統制され、今後ベンダーワークフローの自動化が進む中で重要性が増しています。

その背後にある原則はシンプルです。ベンダーで何か問題が起きたとき、問われるのは「ベンダーが何を知っていたか」ではなく、「あなたがベンダーに送ったコンテンツと、そのルールを証明できるか」です。統制された経路があれば、数週間かかる作業も数分で答えられます。

この議論にはHIPAAの最小限必要原則も関係します。ベンダーに送るデータを減らせば、そのベンダーが倒れたときに影響を受ける個人も減ります。Krollの集中リスクの発見と最小限原則は同じ方向を示しています。外部に出すデータは最小限にし、ポリシー管理とログ記録を徹底しましょう。

今後90日間でできる5つのアクション

Krollの発見は大きすぎて対処できないと感じるかもしれませんが、実際には四半期で実行でき、監査人に提示できる成果を生む5つのアクションがあります。

アクション1. ベンダーを契約金額ではなくデータ量で順位付けする。 規制対象または機密コンテンツを保有するすべてのサードパーティをリストアップし、保有する個人やレコード数で並べ替えましょう。Krollのデータによれば、技術・保険カテゴリが最優先です。支出額が最も多いベンダーと、リスクが最も高いベンダーは別の会社であることがほとんどです。

アクション2. ポリシーだけでなく「アクセス取り消し」もテストする。 最もリスクの高い5社のベンダーを選び、アクセスを遮断する訓練を実施しましょう。所要時間、関与者、何が壊れたかを記録します。調査対象組織の19%はこれを一度も実施しておらず、最も安価にそのグループから脱却できます。

アクション3. 法務と「代理人」問題を整理する。 ベンダーごとに、関係が代理関係と見なされる可能性があるかを判断しましょう。該当する場合、HHSのコメント通りベンダーの知識が自社のものと見なされる可能性があります。インシデント対応計画には、どの解釈で通知カウントダウンが始まるかを明記し、インシデント対応計画に組み込みましょう。

アクション4. ITとコンプライアンスのギャップを1つの資料で可視化する。 IT部門の視点とコンプライアンス部門の視点を1ページにまとめましょう。どのサードパーティ連携が技術的コントロールで強制されているか、ポリシーのみか、ログがないかを示します。「54・40・30」のギャップが実名リストになれば、認識の差が具体的なアクションプランに変わります。

アクション5. 規制データを運ぶチャネルを統合する。 サードパーティとの機密コンテンツのやり取り経路をすべて洗い出し、管理されていないものは廃止しましょう。残りは1つのポリシーエンジンと1つのログで統制し、次回のインシデントタイムラインを「調査」ではなく「レポート」に変えましょう。関連プログラムについては、Kiteworksのベンダーリスク管理やTPRMのガイダンスも参照してください。

この5つを実行すれば、次回の取締役会での説明が変わります。ベンダーの失敗を説明するのではなく、「自社が何を知っていたか、何をコントロールしていたか、どれだけ早く対応できたか」を示せるようになります。

取締役会への説明ポイント

取締役からKrollの見出しについて質問されたら、3つの文で答えましょう。データ侵害で被害を受ける多くの人は、通知書に名前が載っている会社ではなく、そのサプライヤー経由で被害を受けています。ベンダーに過失があっても、通知義務は自社に残ります。防御策は自社が保有する証拠であり、計画的に測定・改善しています。

その上で資料を提示しましょう。被害リスク順に並べたベンダーリスト、アクセス取り消しテストの結果、機密やり取り1件のタイムラインがあれば、成熟度スコアよりも取締役の信頼を得られます。

最後に範囲について注意です。Krollのケースワークはグローバルサンプルであり、Kiteworksの調査回答者は自己申告かつEU・英国寄りです。どちらのデータも自社に何が起きるかを予測するものではありません。ただし、リスクの構造が変化しており、「自社のデータ取り扱いを記録できる組織」が有利になる構造であることは示しています。

自社データで実感する

Kiteworksは、セキュリティ・コンプライアンス部門に対し、メール、ファイル共有、SFTP、マネージドファイル転送、フォーム、APIを横断して1つのポリシーエンジンと1つの監査ログで統制された経路を提供します。ベンダー侵害時のタイムラインが、すでに証拠が揃った状態でどう見えるかを確認したい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 ゼロトラストアーキテクチャ：信頼せず、常に検証
• 動画 Microsoft GCC High：防衛請負業者がよりスマートな優位性を求める理由
• ブログ記事 DSPMで分類された機密データを安全に管理する方法
• ブログ記事 ゼロトラストアプローチで生成AIへの信頼を築く
• 動画 ITリーダーのための機密データ安全保管ガイド