Loading article…
データ侵害はデータ漏洩とも呼ばれ、「個人情報の不正な露出、開示、または紛失」を指します。[1]
攻撃者の動機は、金銭的利益から政治活動、政治弾圧、スパイ活動まで多岐にわたります。データ侵害の技術的な根本原因には、内部者による偶発的または意図的な情報開示、暗号化されていないデバイスの紛失や盗難、ソフトウェアの脆弱性を悪用したシステムへのハッキング、内部者が騙されて情報を開示するフィッシングなどのソーシャルエンジニアリング攻撃など、いくつかあります。データを保有する企業による予防努力によってデータ侵害のリスクを軽減することはできますが、リスクをゼロにすることはできません。
最初に報告されたデータ侵害は 2002 年で、それ以来毎年発生件数が増加しています。データ侵害の多くは検出されません。データを保持している会社に侵害が通知された場合、侵害後の取り組みとして、多くの管轄区域で法律で義務付けられているように、侵害の封じ込め、範囲と原因の調査、および記録が侵害された人々への通知が一般的に行われます。法執行機関が侵害を調査することはありますが、責任のあるハッカーが捕まることはめったにありません。
多くの犯罪者は、侵害で得たデータをダークウェブで販売しています。そのため、個人データが漏洩した人は、その後何年も個人情報盗難のリスクが高まり、かなりの数の人がこの犯罪の被害者になります。米国のすべての州と欧州連合加盟国を含む多くの管轄区域のデータ侵害通知法では、データが侵害された人への通知を義務付けています。侵害された企業に対する訴訟は一般的ですが、金銭を受け取る被害者はほとんどいません。直接的なコストを除いて、侵害による企業の経済的損害に関する実証的証拠はほとんどありませんが、株価の一時的かつ短期的な下落を示唆する証拠はいくつかあります。
意味
データ侵害とは、「組織、規制、立法、または契約」の法律またはポリシー[2]に違反し、「個人情報の不正な露出、開示、または紛失」を引き起こすことです。[1]法律上および契約上の定義はさまざまです。[3] [2]研究者の中には、知的財産や機密情報など、他の種類の情報を含める人もいます。[4]しかし、企業が侵害を開示するのは主に法律で義務付けられているためであり、[5]データ侵害通知法の対象となるのは個人情報のみです。[6] [7]
有病率
最初に報告されたデータ侵害は、2002年4月5日[8]にカリフォルニア州が収集した25万件の社会保障番号がデータセンターから盗まれたときでした。[9] 2005年頃にデータ侵害通知法が広く採用される前は、データ侵害の蔓延を判断することは困難でした。その後も、データ侵害は発生から何年も経ってから報告される場合や[10]、まったく報告されない場合があるため、年間の統計は信頼できません。 [11]ただし、統計によると、データ侵害の数と深刻度は継続的に増加しており、2022年現在も増加し続けています。[12] 2016年、研究者のサーシャ・ロマノスキーは、データ侵害（フィッシングを除く）が他のセキュリティ侵害の4倍であると推定しました。 [13][アップデート]
加害者
2020年の推計によると、データ侵害の55％は組織犯罪、10％はシステム管理者、10％は顧客や従業員などのエンドユーザー、10％は国家または国家と関係のある主体によって引き起こされています。 [14]日和見的な犯罪者は、マルウェアやソーシャルエンジニアリング攻撃を使用してデータ侵害を引き起こすことがありますが、セキュリティが平均を上回っている場合は通常、別の犯罪者に移ります。組織化された犯罪者ほどリソースが多く、特定のデータを狙うことに集中しています。[15]どちらも、入手した情報を金銭的利益のために販売しています。[16]データ侵害のもう1つの発生源は、特定の目的を狙うアノニマスなどの政治的動機を持つハッカーです。 [17]国家が支援するハッカーは、政治的弾圧やスパイ活動などの目的で、自国の国民または外国の団体をターゲットにしています。多くの場合、彼らは未公開のゼロデイ脆弱性を利用してハッカーに多額の報酬を支払います。[18]イスラエルのNSOグループが開発したクリック不要のマルウェア「ペガサス」スパイウェアは、ほとんどの携帯電話にインストールでき、ユーザーの活動をスパイする。麻薬王エル・チャポなどの犯罪者や反体制派への使用が注目を集め、ジャマル・カショギの殺害に利用された。[19]
原因
技術的な原因
開発者は完全に意図したとおりに動作する製品を提供することを目標としているが、事実上すべてのソフトウェアとハードウェアにはバグが含まれている。[20]バグがセキュリティリスクを引き起こす場合、それは脆弱性と呼ばれる。[21] [22] [23] 特定された脆弱性を修正するためにパッチがリリースされることが多いが、未知のままの脆弱性（ゼロデイ）やパッチが適用されていない脆弱性は依然として悪用される可能性がある。[24]侵害の標的となった企業が作成したソフトウェアと、その企業が使用するサードパーティのソフトウェアはどちらも攻撃に対して脆弱である。[22]ソフトウェアベンダーが侵害のコストに対して法的責任を負うことはめったにないため、安価だが安全性の低いソフトウェアを作成するインセンティブが生まれている。[25]
脆弱性は、悪意のある行為者が悪用できる可能性が異なります。最も価値の高い脆弱性では、攻撃者はユーザーに気付かれずに独自のコード（マルウェアと呼ばれる）を挿入して実行できます。 [21]マルウェアの中には、ユーザーが悪意のあるリンクをクリックしてダウンロードされるものもありますが、悪意のあるWebアプリケーションがWebサイトにアクセスするだけでマルウェアをダウンロードする可能性もあります（ドライブバイダウンロード）。キーロガーは、ユーザーのキーストロークを記録するマルウェアの一種で、データ侵害によく使用されます。[26] データ侵害の大部分は、すべての機密情報を暗号化形式で保存することで回避できたはずです。そうすれば、攻撃者が暗号化キーを持っていない限り、ストレージデバイスを物理的に所有したり、暗号化された情報にアクセスしたりしても無駄になります。[27]ハッシュ化も、ブルートフォース攻撃からパスワードを保護するための優れたソリューションですが、アルゴリズムが十分に安全である場合に限ります。[28]
多くのデータ侵害は、標的となった組織のパートナーが運用するハードウェア上で発生しており、これには2013年のターゲットのデータ侵害や2014年のJPモルガン・チェースのデータ侵害が含まれます。[29] 第三者に業務をアウトソーシングすると、その会社のセキュリティ基準が低い場合はデータ侵害のリスクにつながります。特に、中小企業には多くのセキュリティ対策を講じるリソースが不足していることがよくあります。 [30] [29] その結果、アウトソーシング契約には、セキュリティ保証やデータ侵害が発生した場合の対応に関する規定が含まれることがよくあります。[30]
人為的原因
侵害の人為的原因は、多くの場合、悪意のある別の行為者への信頼に基づいています。ソーシャルエンジニアリング攻撃は、内部者を騙して、パスワードを明らかにしたり、マルウェアをダウンロードするためのリンクをクリックしたりするなど、システムのセキュリティを侵害する行為をさせることに依存しています。 [31]データ侵害は、内部者によって意図的に引き起こされることもあります。[32]ソーシャルエンジニアリングの一種であるフィッシング[31]は、銀行などの正当な組織になりすました悪意のあるメッセージを送信し、サイバー犯罪者が管理する悪意のあるWebサイトでユーザーに資格情報を入力させることで、ユーザーの資格情報を取得します。2要素認証により、悪意のある行為者が資格情報を使用することを防ぐことができます。[33]ソーシャルエンジニアリングを認識できるように従業員をトレーニングすることも、一般的な戦略です。[34]
情報漏洩のもう一つの原因は、例えば秘密にすべき情報を公開するなど、情報の偶発的な漏洩である。 [35] [36]リモートワークやBYODポリシー の増加に伴い、大量の企業データが従業員の個人用デバイスに保存されるようになっている。不注意や会社のセキュリティポリシーの無視により、これらのデバイスは紛失または盗難される可能性がある。[37]技術的な解決策により、すべての機密データを暗号化する、従業員が安全でないパスワードを使用しないようにする、マルウェアを防ぐためにウイルス対策ソフトウェアをインストールする、すべてのデバイスが最新の状態に保たれるように堅牢なパッチ適用システムを実装するなど、人為的エラーの多くの原因を防ぐことができる。[38]
侵害ライフサイクル
防止
セキュリティに注意を払えばデータ侵害のリスクは軽減できるが、リスクをゼロにできるわけではない。セキュリティは組織の唯一の優先事項ではなく、完璧なセキュリティを実現しようとするとテクノロジーが使えなくなってしまう。[39] 多くの企業は、会社の情報セキュリティ戦略を監督するために最高情報セキュリティ責任者（CISO）を雇用している。 [40]潜在的な脅威に関する情報を得るために、セキュリティ専門家は互いにネットワークを構築し、同様の脅威に直面している他の組織と情報を共有する。[41]防御策には、最新のインシデント対応戦略、侵害を調査できるデジタルフォレンジック会社との契約、 [42] サイバー保険、[43] [7]従業員の盗まれた資格情報のダークウェブ の監視などが含まれる。 [44] 2024年、米国国立標準技術研究所（NIST）は「データの機密性：データ侵害に対する資産の特定と保護」という特別出版物を発行した。[45] NISTサイバーセキュリティフレームワークには、データ保護に関する情報も含まれている。[46]他の組織もデータ保護に関するさまざまな標準を発表している。[47]
企業のシステムのアーキテクチャは、攻撃者を阻止する上で重要な役割を果たします。DaswaniとElbayadiは、認証手段を1つだけにすること、[48]冗長なシステムを避け、最も安全な設定をデフォルトにすることを推奨しています。[49] 多層防御と権限の分散（操作を実行するために複数の認証を必要とする）によっても、システムのハッキングが困難になります。[50]従業員とソフトウェアに、機能を遂行するために必要な最小限のアクセス権を与えると（最小権限の原則）、侵害の可能性と損害が制限されます。[48] [51]いくつかのデータ侵害は、セキュリティの隠蔽への依存によって可能になりました。被害者は、アクセス資格情報を公開されているファイルに保存していました。[52]ただし、使いやすさを優先することも重要です。そうしないと、ユーザーがセキュリティシステムを回避してしまう可能性があるためです。[53]侵入テストを含む厳格なソフトウェアテストはソフトウェアの脆弱性を減らすことができ、たとえ企業が継続的インテグレーション/継続的デプロイメントモデルを使用して新しいバージョンが継続的にロールアウトされている場合でも、各リリースの前に実行する必要があります。[54]
最小持続性の原則[55]（不要なデータの収集と不要になったデータの破壊を避ける）は、侵害による被害を軽減することができます。[56] [57] [58]課題は、現代のデータベースシステムではデータの破壊がより複雑になる可能性があることです。[59]
応答
データ侵害の多くは検出されない。[60]検出されたもののうち、ほとんどの侵害は第三者によって検出される。[61] [62]その他は従業員または自動システムによって検出される。[63]侵害への対応は、多くの場合、専門のコンピュータセキュリティインシデント対応チームの責任であり、技術専門家、広報、法律顧問が含まれることが多い。[64] [65] 多くの企業は社内に十分な専門知識がなく、これらの役割の一部を下請けに出す。[66]多くの場合、これらの外部リソースはサイバー保険によって提供される。[67]データ侵害が会社に知られると、通常、次のステップは、侵害が発生したことを確認し、対応チームに通知し、被害を封じ込めることである。[68]
データの流出を阻止するための一般的な戦略には、影響を受けたサーバーをシャットダウンし、オフラインにし、脆弱性を修正し、再構築することが含まれる。[69]データが侵害された正確な方法が特定されると、侵害を封じ込めて再発を防ぐために対処する必要がある技術的な脆弱性は通常1つか2つだけである。[70]次に、侵入テストで修正が期待どおりに機能していることを確認できます。[71]マルウェアが関与している場合、組織は侵入と流出のすべてのベクトルを調査して閉じるとともに、システムからすべてのマルウェアを見つけて削除する必要があります。[72]データがダークウェブに投稿された場合、企業はそれを削除しようとする可能性があります。[73]侵害を封じ込めると調査が損なわれる可能性があり、一部の戦術（サーバーのシャットダウンなど）は会社の契約上の義務に違反する可能性があります。[74]
侵害に関するデータを収集することで、後の訴訟や刑事訴追が容易になる可能性があるが、[75]データが法的基準に従って収集され、保管の連鎖が維持されている場合に限る。[76]データベースフォレンジックにより、関連する記録を絞り込み、インシデントの範囲を限定することができる。[77]広範な調査が行われる可能性があり、訴訟よりもさらに費用がかかる可能性がある。[62]米国では、侵害は公民権局、米国保健福祉省、連邦取引委員会（FTC）などの政府機関によって調査される可能性がある。[78]法執行機関が侵害を調査することがあるが[79]、責任のあるハッカーが捕まることはめったにない。[80]
通知は通常、法律で義務付けられている通りに送信されます。[81]多くの企業は、データ侵害の影響を受けた人々に無料の信用監視サービスを提供していますが、対象者のうちサービスを利用しているのはわずか5％程度です。[82]消費者に新しいクレジットカードを発行することは、費用はかかりますが、クレジットカード詐欺のリスクを減らす効果的な戦略です。[82]企業は、事業運営に対する信頼を回復し、侵害の再発を防ぐための措置を講じようとしています。[83]
結果
消費者向け
データ侵害が発生すると、犯罪者はユーザー名、パスワード、ソーシャルメディアや顧客ロイヤルティアカウント情報、デビットカードやクレジットカードの番号、[16]、個人の健康情報（医療データ侵害を参照）などのデータを販売して金儲けをする。 [84]犯罪者は多くの場合、 .onionやI2Pなどのプラットフォームを使用して、ダークウェブ（ユーザーを追跡するのが難しく、違法行為が蔓延しているインターネットの一部）でこのデータを販売する。[85] 2000年代に始まったダークウェブは、 2010年代にビットコインなどの追跡不可能な暗号通貨に続き、犯罪者が侵害で得たデータを捕まるリスクを最小限に抑えて販売できるようにし、ハッキングの増加を助長した。[86] [87]人気のあるダークネットマーケットプレイスの1つであるSilk Roadは2013年に閉鎖され、運営者は逮捕されたが、その代わりにいくつかの他のマーケットプレイスが出現した。[88] Telegramも違法なデータ販売の人気フォーラムである。[89]
この情報は、スパム、被害者のロイヤルティ情報や支払い情報を利用した商品の入手、個人情報の盗難、処方薬詐欺、保険金詐欺など、さまざまな目的で使用される可能性があります。[90]データ漏洩の脅迫やデータ漏洩で得られた情報の開示は、恐喝に使用される可能性があります。[16]
消費者は、個人データの盗難により、さまざまな形の有形または無形の損害を被る場合もあれば、損害に気付かない場合もあります。[91] データ侵害の影響を受けた人のかなりの割合が、個人情報盗難の被害者になります。[82]個人の識別情報はダークウェブ上で何年も流通することが多く、修復努力にかかわらず、個人情報盗難のリスクが高まります。[80] [92]顧客がクレジットカード詐欺や個人情報盗難 の代金を支払わなくても、状況を解決するために時間を費やす必要があります。[93] [94] 無形の損害には、ドクシング（誰かの個人情報を公開すること）、たとえば薬の使用や個人の写真が含まれます。[95]
組織向け
侵害による経済的損害については、直接的なコスト以外に実証的な証拠はほとんどないが、株価の一時的かつ短期的な下落を示唆する証拠はいくつかある。[96]企業へのその他の影響としては、ビジネスの喪失、システムがオフラインになったり侵害への対応に人員が振り向けられたりすることによる従業員の生産性の低下、[97]上級管理職の辞職または解雇、[78] 評判の失墜、[78] [98]および将来の監査またはセキュリティのコスト増加などがある。[78] 侵害による消費者の損失は通常、企業にとってマイナスの外部性である。 [99]一部の専門家は、データ侵害による直接的なコストや評判の失墜は、その防止に十分なインセンティブを与えるほどではないことを示唆する証拠があると主張している。[100] [101]
データ侵害のコストを見積もることは難しい。それは、すべての侵害が報告されるわけではないことと、侵害の影響を金銭的に計算することが簡単ではないからだ。企業にかかるコストを計算する方法は複数あり、特に侵害への対応に費やす人員の時間についてはそうである。[102]作家のケヴィー・ファウラーは、企業が被る直接コストの半分以上が訴訟費用と影響を受けた個人に提供されるサービスという形で発生し、残りのコストはフォレンジックと調査を含む通知と検出に分かれていると推定している。彼は、組織が侵害前にセキュリティに投資していたり、以前に侵害の経験があれば、これらのコストは削減されると主張している。関係するデータレコードが多いほど、侵害のコストは高くなるのが一般的だ。[103] 2016年、研究者のサーシャ・ロマノスキーは、標的となった企業の平均侵害コストは約500万ドルだが、この数字はいくつかの非常に高額な侵害によって膨らんでおり、典型的なデータ侵害のコストははるかに低く、約20万ドルであると推定した。ロマノスキーは、米国の企業が負担する年間総コストは約100億ドルと推定した。[104]
法律
通知
データ侵害に関する法律は、プライバシー保護全般に関する法律によく見られ、侵害発生時の通知を義務付ける規定が中心となっている。[105]侵害の定義方法、[3]保護される情報の種類、通知期限、[6]法律違反があった場合に訴訟を起こす権利を有する者など、法律によって大きく異なる。 [106]通知法は透明性を高め、企業に侵害を減らすための評判上のインセンティブを与える。[107]侵害を通知するコストは、多くの人が影響を受けた場合に高額になる可能性があり、企業の責任に関係なく発生するため、厳格責任罰金のように機能する可能性がある。[108]
2024年現在[アップデート]、トーマス・オン・データ侵害は、データ侵害通知法の対象となる62の国連加盟国をリストアップしている。他のいくつかの国では、より一般的なデータ保護法で侵害通知を義務付けている。[109] 2002年4月に最初のデータ侵害が報告されてから間もなく、カリフォルニア州は、個人情報が侵害された場合に通知を義務付ける法律を可決した。 [9]米国では、2005年2月のチョイスポイントのデータ侵害の後、通知法が急増した。これは、影響を受けた人の数が多いこと（14万人以上）と、同社が当初カリフォルニア州の影響を受けていた人々にのみ通知したことに対する憤慨のため、広く報道された。[110] [111] 2018年、欧州連合の一般データ保護規則（GDPR）が発効した。GDPRでは72時間以内の通知が義務付けられており、遵守しない大企業には非常に高い罰金が科される可能性がある。この規則は、他の地域でもデータプライバシー法の厳格化を促した。[112] [113] 2022年現在[アップデート]、データ侵害の通知を義務付けている唯一の米国連邦法は、 HIPAAで規制されている医療データに限定されていますが、50州すべて（アラバマ州が2018年に法律を可決して以来）が独自の一般的なデータ侵害通知法を制定しています。[113]
セキュリティ対策
データを侵害から保護するための対策は、通常、法律に存在しないか、あいまいです。[105]このギャップを埋めるのは、ほとんどの大企業が保有し、事実上の規制として機能しているサイバー保険で要求される基準です。[114] [115]存在する法律には、従うべき特定の基準を規定するアプローチと合理性アプローチの2つの主要なアプローチがあります。[116]前者は柔軟性に欠け、立法者が技術的な問題を仲裁することに消極的であるため、めったに使用されません。後者のアプローチでは、法律はあいまいですが、判例から特定の基準が生まれます。[117]企業は、法的確実性を高めるために基準アプローチを好むことが多いですが、安全な製品を提供せずにすべてのボックスをチェックする可能性があります。[118]追加の欠陥は、法律の執行が不十分で、罰則が侵害のコストよりもはるかに少ないことが多く、多くの企業が法律に従っていないことです。[119]
訴訟
データ侵害の後には、多くの集団訴訟、派生訴訟、その他の訴訟が起こされている。[120]訴訟費用が高額なため、訴訟の真偽にかかわらず和解することが多い。 [121] [122]和解金が支払われたとしても、被害者 1 人あたり数セントから数ドル程度であるため、被害を受けた消費者が金銭を受け取ることはほとんどない。[78] [122]法学者のダニエル・J・ソロヴとウッドロー・ハーツォグは、「訴訟はデータ侵害の費用を増大させたが、それ以外にはほとんど何も達成していない」と主張している。 [123]原告は、データ侵害によって損害を受けたことを証明するのに苦労することが多い。 [123]企業の行動がデータ侵害にどの程度寄与したかはさまざまであり、[119] [124]同様に、データ侵害によって生じた損害に対する責任も争点となっている。厳格責任、過失、またはその他の基準を適用すべきかどうかは議論の余地がある。 [124]
参照
参考文献
- ^ Solove & Hartzog 2022、5ページより。
- ^ ab Fowler 2016、p. 2を参照。
- ^ Solove & Hartzog 2022、p. 41より。
- ^ シュクラら2022年、47-48頁。
- ^ 米国科学・工学・医学アカデミー 2016年、18ページ。
- ^ Solove & Hartzog 2022、p. 42より。
- ^ ab Fowler 2016、p. 45より。
- ^ Joerling 2010、p.468脚注7。
- ^ ab Lesemann 2010、p. 206を参照。
- ^ ソロベ＆ハルツォグ 2022年、18頁。
- ^ ソロベ＆ハルツォグ 2022年、29頁。
- ^ ソロベ＆ハルツォグ 2022年、17～18頁。
- ^ 米国科学・工学・医学アカデミー 2016年、9ページ。
- ^ クローリー2021、46頁。
- ^ ファウラー2016、7-8頁。
- ^ abc ファウラー2016、13ページ。
- ^ ファウラー2016、9-10頁。
- ^ ファウラー2016、10-11頁。
- ^ カスター＆エンサイン 2023、p. 355.
- ^ アブロン＆ボガート 2017、p.1。
- ^ Ablon & Bogart 2017、p. 2。
- ^ ab ダスワニ & エルバヤディ 2021、p. 25.
- ^ シーマン2020、47-48頁。
- ^ ダスワニ & エルバヤディ 2021、26–27 ページ。
- ^ スローン＆ワーナー 2019、104〜105頁。
- ^ ダスワニとエルバヤディ 2021、p. 19〜22。
- ^ ダスワニとエルバヤディ 2021、p. 15.
- ^ ンタントジャン、マリアロス、クセナキス 2019.
- ^ ab Daswani & Elbayadi 2021、22–23 ページ。
- ^ ab Fowler 2016、pp.19-20を参照。
- ^ スローン＆ワーナー 2019、94ページ。
- ^ マクリディス 2021、3頁。
- ^ ダスワニ & エルバヤディ 2021、16–19 ページ。
- ^ スローン＆ワーナー 2019、106-107頁。
- ^ ダスワニとエルバヤディ 2021、p. 28.
- ^ ファウラー2016、19ページ。
- ^ ファウラー2016、18-19頁。
- ^ ダスワニ & エルバヤディ 2021、31–32 ページ。
- ^ ソロベ＆ハルツォグ 2022年、69～70頁。
- ^ ダスワニ & エルバヤディ 2021、7、9–10 ページ。
- ^ ダスワニ & エルバヤディ 2021、200–201 ページ。
- ^ ダスワニ & エルバヤディ 2021、203–204 ページ。
- ^ ダスワニとエルバヤディ 2021、p. 205.
- ^ ダスワニ & エルバヤディ 2021、206–207 ページ。
- ^ Fisher et al. 2024、表紙。
- ^ フィッシャーら2024年、2頁。
- ^ ファウラー2016、210頁。
- ^ ab ダスワニ & エルバヤディ 2021、p. 217.
- ^ ダスワニ & エルバヤディ 2021、215–216 ページ。
- ^ Tjoa et al. 2024、14頁。
- ^ レンハード2022、53頁。
- ^ ダスワニとエルバヤディ 2021、p. 218.
- ^ ダスワニ & エルバヤディ 2021、218–219 ページ。
- ^ ダスワニ & エルバヤディ 2021、314–315 ページ。
- ^ Tjoa et al. 2024、68頁。
- ^ レンハード2022、60頁。
- ^ ファウラー2016、184頁。
- ^ ソロベ＆ハルツォグ2022、146頁。
- ^ Tjoa et al. 2024、69頁。
- ^ クローリー2021、39頁。
- ^ ファウラー2016、64ページ。
- ^ 米国科学・工学・医学アカデミー 2016年、25ページ。
- ^ ファウラー2016、4ページ。
- ^ クローリー2021、97頁。
- ^ ファウラー2016、5、32頁。
- ^ ファウラー2016、86頁。
- ^ ファウラー2016、94頁。
- ^ ファウラー2016、4-5頁。
- ^ ファウラー2016、120-122頁。
- ^ ファウラー2016、115頁。
- ^ ファウラー2016、116頁。
- ^ ファウラー2016、117-118頁。
- ^ ファウラー2016、119頁。
- ^ ファウラー2016、124ページ。
- ^ ファウラー2016、81-82頁。
- ^ ファウラー2016、83頁。
- ^ ファウラー2016、128頁。
- ^ abcde 米国科学・工学・医学アカデミー 2016年、22ページ。
- ^ ファウラー2016、44頁。
- ^ Solove & Hartzog 2022、58ページより。
- ^ ファウラー2016、5、44頁。
- ^ abc 米国科学・工学・医学アカデミー 2016年、13ページ。
- ^ ファウラー2016、5-6頁。
- ^ ファウラー2016、14ページ。
- ^ ファウラー2016、12-13頁。
- ^ Davidoff 2019、「現代のダークデータブローカー」。
- ^ ソロベ＆ハルツォグ 2022年、21頁。
- ^ クリスチャン・ジョーダン・ハウエル、デイビッド・マイモン（2022年12月2日）。「サプライチェーンの調査で、ダークネット市場は盗まれた個人データを販売して数百万ドルの収益を生み出していることが判明」。ザ・カンバセーション。 2024年4月22日閲覧。
- ^ Garkava, Taisiia; Moneva, Asier; Leukfeldt, E. Rutger (2024). 「 Telegramの盗難データ市場: 犯罪スクリプトの分析と状況犯罪防止対策」。Trends in Organized Crime。doi : 10.1007/s12117-024-09532-6。
- ^ ファウラー2016、13-14頁。
- ^ 米国科学・工学・医学アカデミー 2016年、27ページ。
- ^ 米国科学・工学・医学アカデミー 2016年、30～31頁。
- ^ 米国科学・工学・医学アカデミー 2016年、29ページ。
- ^ ソロベ＆ハルツォグ 2022年、56頁。
- ^ 米国科学・工学・医学アカデミー 2016年、27～29頁。
- ^ マクリディス 2021、1頁。
- ^ ファウラー2016、22ページ。
- ^ ファウラー2016、41頁。
- ^ スローン＆ワーナー 2019、104ページ。
- ^ マクリディス 2021、1、7頁。
- ^ スローン＆ワーナー 2019、64ページ。
- ^ 米国科学・工学・医学アカデミー 2016年、8～10頁。
- ^ ファウラー2016、21ページ。
- ^ 米国科学・工学・医学アカデミー 2016年、10ページ。
- ^ Solove & Hartzog 2022、p. 10より。
- ^ ソロベ＆ハルツォグ 2022年、43頁。
- ^ ソロベ＆ハルツォグ 2022年、44頁。
- ^ ソロベ＆ハルツォグ 2022年、45頁。
- ^ Thomas 2023、pp. xxvii、xxix、xxxii–xxxiii、xxxiv。
- ^ Lesemann 2010、206–207 ページ。
- ^ ジョーリング2010、468-469頁。
- ^ シーマン2020、6-7頁。
- ^ Solove & Hartzog 2022、p. 40より。
- ^ 米国科学・工学・医学アカデミー 2016年、24ページ。
- ^ タレシュ2018、237頁。
- ^ ソロベ＆ハルツォグ 2022年、48頁。
- ^ ソロベ＆ハルツォグ 2022年、48～49頁。
- ^ ソロベ＆ハルツォグ 2022年、52頁。
- ^ Solove & Hartzog 2022、53ページより。
- ^ ファウラー2016、5ページ。
- ^ ファウラー2016、222頁。
- ^ ソロベ＆ハルツォグ2022、55、59頁。
- ^ ソロベ＆ハルツォグ2022年、55頁より。
- ^ 米国科学・工学・医学アカデミー 2016年、23ページ。
出典
- アブロン、リリアン、ボガート、アンディ (2017)。ゼロデイ、千の夜: ゼロデイ脆弱性とそのエクスプロイトの生涯と時代(PDF)。ランドコーポレーション。ISBN 978-0-8330-9761-3。
- クローリー、キム（2021）。『セキュリティ強化のための8つのステップ：企業向けシンプルなサイバーレジリエンスガイド』。ジョン・ワイリー・アンド・サンズ。ISBN 978-1-119-81124-4。
- ダスワニ、ニール、エルバヤディ、ムーディ（2021）。大規模侵害：すべての人のためのサイバーセキュリティの教訓。Apress。ISBN 978-1-4842-6654-0。
- Davidoff, Sherri (2019)。データ侵害：危機と機会。Addison -Wesley Professional。ISBN 978-0-13-450772-9。
- フィッシャー、ウィリアム; クラフト、R. ユージン; エクストロム、マイケル; セクストン、ジュリアン; スウィートナム、ジョン (2024)。データの機密性: データ侵害に対する資産の識別と保護(PDF) (レポート)。NIST 特別出版。米国国立標準技術研究所。
- ファウラー、ケヴィー（2016）。データ侵害への備えと対応：侵害は確実に起こるが、影響はそうではない。エルゼビアサイエンス。ISBN 978-0-12-803451-4。
- Joerling, Jill (2010)。「データ侵害通知法: 消費者データを保護するための包括的な連邦法の議論」ワシントン大学法政策ジャーナル。32 : 467。
- Kaster, Sean D.; Ensign, Prescott C. (2023). 「民営化されたスパイ活動: NSO Group Technologies とその Pegasus スパイウェア」Thunderbird International Business Review . 65 (3): 355–364. doi : 10.1002/tie.22321 .
- レンハード、トーマス H. (2022)。データセキュリティ：データ損失とコンピュータ犯罪に対する技術的および組織的保護対策。シュプリンガーネイチャー。ISBN 978-3-658-35494-7。
- Lesemann, Dana J. ( 2010)。「One More unto the Breach: データ侵害通知法に関する法的、技術的、および政策的問題の分析」。Akron Intellectual Property Journal。4 : 203。
- Makridis, Christos A (2021). 「データ侵害は評判を損なうか? 2002年から2018年までの45社の証拠」。Journal of Cybersecurity。7 ( 1). doi : 10.1093/cybsec/tyab021。
- 全米科学・工学・医学アカデミー(2016)。「サイバーレジリエンスに関するフォーラム ワークショップ シリーズ」。個人および機関のデータ侵害の余波と回復: ワークショップの議事録。全米アカデミー プレス。ISBN 978-0-309-44505-4。
{{cite book}}: CS1 maint: 複数の名前: 著者リスト (リンク) - Ntantogian, Christoforos; Malliaros, Stefanos; Xenakis, Christos (2019). 「オープンソース Web プラットフォームにおけるパスワード ハッシュ スキームの評価」。Computers & Security。84 : 206–224。doi : 10.1016/j.cose.2019.03.011。
- シーマン、ジム（2020）。PCI DSS ：統合データセキュリティ標準ガイド。Apress。ISBN 978-1-4842-5808-8。
- シュクラ、サミクシャ。ジョージ、ジョシー P.ティワリ、カピル。クレタラ、ジョセフ・ヴァルギース（2022）。データ倫理と課題。スプリンガーの自然。ISBN 978-981-19-0752-4。
- スローン、ロバート H.、ワーナー、リチャード (2019)。なぜ私たちはもっとうまく防御しないのか?: データ侵害、リスク管理、公共政策。CRC プレス。ISBN 978-1-351-12729-5。
- ソロヴ、ダニエル・J. ; ハーツォグ、ウッドロー (2022)。『Breached!: Why Data Security Law Fails and How to Improve it』オックスフォード大学出版局。ISBN 978-0-19-094057-7。
- Talesh , Shauhin A. (2018)。「データ侵害、プライバシー、サイバー保険：保険会社が企業の「コンプライアンス管理者」としてどのように機能するか」。法律と社会調査。43 (2): 417–440。doi :10.1111/ lsi.12303。
- Thomas, Liisa M. (2023). Thomas on Data Breach: A Practical Guide to Handling Data Breach Notifications Worldwide (PDF) . Thomson Reuters . ISBN 978-1-7319-5405-3。
- Tjoa, Simon; Gafić, Melisa; Kieseberg, Peter (2024).サイバーレジリエンスの基礎. Springer Nature. ISBN 978-3-031-52064-8。