ベンダーで発生するサイバーセキュリティインシデントは、下流にいる多数の顧客、場合によってはすべての顧客のデータへの不正アクセスにつながりやすく、極めて大きな影響を及ぼします。サイバー犯罪者も、ベンダーへの攻撃が成功すれば膨大な量のデータにアクセスできると十分に承知しており、そのためにベンダーを標的にすることが少なくありません。グローバルな財務・リスク助言ソリューションを提供するKrollの新しいレポートが、こうしたインシデントの影響を明らかにしました。
レポートKroll Data Breach Outlook 2026 は、同社が2025年6月から2026年6月にかけて対応したインシデントに基づくもので、リスク/コンプライアンス責任者と経営幹部（C-suite）・取締役会メンバー250人を対象にした調査も含まれています。それによると、過去1年間にデータ侵害を経験した組織は69%に上り、3分の1以上（34%）は複数回の侵害を経験しています。
データ侵害の件数が最も多かった業種は金融で、専門サービスが続き、医療は3位でした。医療は2025年の1位から順位を下げています。医療はKrollが対応したデータ侵害の15%を占めており、医療が侵害件数で1位または2位に入らなかったのは2022年以来、今年が初めてです。また、技術（テクノロジー）分野は、データ侵害を経験した組織数では7位でしたが、影響を受けた個人の60%を占めました。次いで保険が10%、金融が8%、医療が8%でした。
データを掘り下げると、サードパーティ経由の侵害が及ぼす影響の大きさが浮かび上がります。データ侵害の影響を受けた個人全体のうち、69%はサードパーティ/ベンダーのデータ侵害による被害者でした。こうしたサードパーティ侵害の被害者のうち、79%は技術分野のデータインシデントで影響を受けており、金融（9%）、保険（6%）、医療（5%）が続きます。金融や技術分野はデータ侵害を受けやすい傾向があるかもしれませんが、この数字は、技術分野での侵害がドミノ倒しのように波及することを示しています。技術企業は大量のデータを保管しているため、はるかに多くの個人に影響が及ぶ可能性があるのです。
Krollの侵害通知部門グローバル責任者であるDenyl Green氏は、次のように述べています。「過去1年に当社が対応した主要インシデントのほとんどで、最初の侵害と被害を受けた組織とをつないでいたのは、ベンダー、ソフトウェア供給元、サービスプロバイダーのいずれかでした。一つのインシデントが、侵害の起点となった企業と直接取引したことのない企業や個人にまで及ぶことがあります」
レポートには含まれていませんが、2026年（1月1日から9月30日）の医療分野におけるデータ侵害の現状を見ると、今年これまでに米保健福祉省（HHS）公民権局（OCR）へ報告された大規模なデータ侵害593件のうち、79%はHIPAA対象事業体（covered entities）で発生し、21%はビジネスアソシエイトで発生しました。ただし、影響を受けた個人全体では、ビジネスアソシエイトでの侵害が41%を占めています。
Krollが実施した外部調査では、ITおよびテクノロジー部門のリーダーの54%が、ベンダー/サードパーティを最大のコンプライアンスリスクに挙げていました。この割合は、経営幹部（39.7%）や専任のリスク・コンプライアンス責任者（30.4%）を大きく上回ります。Krollは、ベンダーとの関係に最も近い立場の人々が、リスクを最もよく理解しているためだと分析しています。
翻訳元: https://www.hipaajournal.com/vendor-data-breaches-69-breach-victims/
