個人情報を漏えいしたときに、会社がどれくらいコストがかかるのか、という分析は、個人情報を扱う会社はどこもやっていると思います。
これって、各社どうしているのだろう？というのに興味があります。
最悪の事態を想定して最大のコストを出すというストレステストをやろうとしたとき、扱う個人情報が多いと、その時点で会社の試算を超えるコストになります。
例えば、１００万件の個人情報を持っていて、クレジットカードの情報も含めて漏えいして悪用されたとき、その平均金額が１万円だとすると、１００億円になります。
資産が数十億という企業だと、まともにこれを払うと破たんします。
まず仮定が妥当であるかどうかは検討する必要があります。
たとえば、
・一度に１００万件流出する可能性があるのか？
・クレジットカード情報が暗号化されていたとき、それを解読されるまでに時間がかかると考えられるなら、その間にクレジットカード会社と連携して、不正利用されない方策がとれるかもしれない
などです。
そのうえで、リスクを軽減する方法を考えます。
個人情報漏えいリスクは、移転できないので、考えるのはどう軽減するか。
たとえば、
・保険を掛ける
・個人情報を暗号化する
・データへのアクセス権限を設定する
・一度にアクセスできるデータの量に制限をつける
・データを外部に持っていく際に、いくつかのプロセスを設ける
・ＵＳＢメモリなどの外部媒体の使用ができないようにする
・外部からの不正アクセスに対して、セキュリティを強化し、常に最新の状態にする
などがあるでしょう。
もっと突っ込むと
・従業員の教育を徹底する（特に倫理教育に重点を置く）
というのがあると思います。
軽減策によっては、その効果を計測できるけど、できないものもある（例えば、教育の効果とか）。
計測できるものは計測して、分析するのが一つの大事な方法だと思います。
そして、その効果を定期的に計測しなおして、情報をアップデートしていく。
計測できないものはどうする？というと、計測はできなくても、リスク管理としては重要なことなので、リスク管理のプロセスに組み込んでいき、その状況を定期的にモニターする。
この辺をうまく組み合わせていくと、個人情報漏えいの際の影響の分析がそれっぽくできるかなって思います。
ちなみに、個人情報漏えいしたら、評判が落ちますが、そのリスクやコストについては、今回は対象外にしています。
（評判が落ちる→売り上げが落ちる→利益が落ちる、という感じですかね）