サイバー攻撃 被害額シミュレーター
8つの質問に答えるだけで、サイバー攻撃による想定被害額を概算します。精密な損害額ではなく、公開事例をもとにした経営判断向けの参考値です。
重大なサイバー攻撃が発生した場合
公開事例・調査をもとにした参考推定です。実際の被害額を保証するものではありません。
今回の診断で分かったこと
8つの回答から、被害額に影響した主な要素を整理しています。
想定される被害の流れ
今回の診断で想定した代表的な流れです。
まず検討したい対策
無料版では、今回の回答から優先度の高い対策を簡易表示しています。
公開情報との比較
公開事例・調査を背景データとして利用しています。
| 比較の観点 | 今回の診断 | 参考情報 |
|---|---|---|
| 被害規模 | 数千万円規模の被害事例・調査結果 | |
| 被害要因 | 業務停止・復旧・情報漏えい等 | 公開事例で確認される主要な費用要因 |
※個別事例の金額をそのまま適用するのではなく、今回の回答条件に応じて算定しています。
根拠
公開事例・対策情報を参考にしています。正式版では採用した個別資料とURLを明示します。
ランサムウェア被害額の分布等を背景データとして参照しています。
情報漏えい・復旧等の費用構成の参考資料です。
推定の信頼度
「わからない」の回答が多いほど、金額の不確実性が高くなる設計です。
AIによる簡易解説
※AIは被害額そのものを決定せず、算定エンジンが確定した結果と登録済み根拠資料をもとに説明します。
さらに詳しく知りたい場合
無料版では「どのくらいの被害が想定されるか」と「主なリスク・対策」まで確認できます。
有料版では、追加質問をもとに、被害額の根拠をより詳しく整理し、公開事例との比較、優先対策、投資判断、実行ロードマップまでまとめます。
被害タイプについて
本シミュレーターでは、サイバー攻撃によって想定される主な被害の特徴を、以下の5つのタイプに分類しています。被害タイプは「攻撃手法」そのものを示すものではなく、発生し得る被害の中心的な特徴を示しています。
軽度・限定的な影響型
一部の業務への影響など、被害が比較的限定されているケースです。
システム停止・復旧型
システムや業務が停止し、サービスの復旧や業務再開に大きな負担が生じるケースです。
情報漏えい・信用影響型
個人情報や機密情報などの情報資産が漏えいし、調査・通知・取引先対応・信用への影響などが発生するケースです。
複合型
システム停止・復旧、情報漏えい、調査・対応など、複数の被害が同時に発生するケースです。
直接金銭被害型
不正送金など、攻撃そのものによって直接的な金銭被害が発生するケースです。なお、現在の無料版では金銭取引に関する質問を設けていないため、このタイプを独立して判定することはありません。
算定ロジックについて
本シミュレーターの想定被害額は、AIが金額を判断しているものではありません。公開されているサイバー事故の事例・調査資料を参考に設定した被害タイプ別の基準レンジを出発点として、シミュレーターへの回答内容に応じて、そのレンジ内で金額を調整しています。
具体的には、まず「システム停止・復旧型」「情報漏えい・信用影響型」「複合型」などの被害タイプを判定し、それぞれに設定された基準レンジを適用します。
その後、以下の要素を順番に評価します。
1．業務への影響
「一部の業務に影響する」「多くの業務に影響する」「主要業務・住民サービスが停止する」の順に、被害規模が大きい方向へ調整します。
2．情報資産
個人情報や機密・重要情報を取り扱っている場合、情報漏えい型・複合型では上側へ調整する要因として扱います。ただし、情報を取り扱っているというだけで自動的に最大額になるわけではありません。
3．組織規模
小規模・中規模・大規模の違いを考慮し、公開事例との規模の違いを補正します。
4．復旧体制
バックアップの有無、バックアップが攻撃・改ざんから保護されているか、実際に復元テストを行っているかを評価します。復旧体制が良好な場合は基準レンジ内で下方向へ、弱い場合は上方向へ調整します。
5．「わからない」の扱い
「わからない」と回答した項目について、金額を直接上乗せすることはありません。情報が不足していることによる不確実性として、推定レンジを広げたり、推定の信頼度を下げたりします。
また、業務停止・情報漏えい・復旧費などをそれぞれ別々の金額として単純に足し合わせることはしていません。複数の被害が想定される場合は、複合型の基準レンジの中でまとめて評価することで、同じ被害を二重に計上することを防いでいます。
算定の根拠
基準レンジの設定には、IPA、JNSA、JIPDECなどが公開しているサイバーセキュリティ関連の事例・調査資料を参考にしています。公開事例の金額をそのまま平均したものではなく、事故の種類や被害範囲などを考慮して、シミュレーション用の基準レンジとして整理しています。