何が問題になるか
場面
サイバー攻撃を受け、社内のシステムや保管していた情報に影響が出たとします。取引先からは状況の説明を求められ、個人の顧客からはお問い合わせが届きます。何をどこまで説明するか、損害賠償をどこまで負うかが問題になります。報告・通知・公表の順番は、顧客情報が漏えいしたと外部から指摘されたときの進め方で扱っています。
法律の整理
説明では、判明した事実、影響の範囲、取った対策、今後の見通し、相談窓口を伝えます。契約に「事故時の通知」の定めがあれば、その期限と方法に従います。
損害賠償を負うかは、自社に安全管理上の過失があったか、つまり必要な対策を講じていたかで決まります。民法は、契約の相手方への責任を「債務不履行の責任等」として、契約関係にない人への責任を「不法行為」として定めています。不法行為の規定は第709条から置かれています。
必要な対策の目安として、経済産業省はIPAとともに「サイバーセキュリティ経営ガイドライン」を策定しています。経営者が認識する「3原則」と、担当幹部に指示すべき「重要10項目」をまとめたものです。IPAの中小企業向けガイドラインは、「経営者が認識し実施すべき指針」と「社内において対策を実践する際の手順や手法」をまとめています。これらに沿った対策の記録は、過失がないことの説明材料になります。
個人の顧客に対しては、漏えいの内容に応じて慰謝料の請求があり得ます。取引先との間では、契約の賠償上限・免責条項とサイバー保険の補償範囲を確認してから協議します。
会社が備えること
確認すること
- 取引先との契約に「事故時の通知」の定めがあるか、その期限と方法
- 契約の賠償上限・免責条項の内容
- サイバー保険の補償範囲
- ガイドラインに沿って講じていた対策と、その記録の有無
- 影響を受けた情報の種類と、個人の顧客が含まれるか
対応
取引先と顧客への説明は、判明した事実と未確認の事項を分けて書きます。相談窓口を設け、受け付けたお問い合わせを記録します。
判明した事実と未確認の事項を分けて説明
個人の顧客への問い合わせ対応の方法と、見舞いの要否は、事実が固まってから判断します。取引先との賠償の協議は、契約条項と保険の補償範囲を確認した後に始めます。
平時から、ガイドラインに沿った対策を記録に残しておきます。経済産業省は、付録として「サイバーセキュリティインシデントに備えるための参考情報」も公開しています。
契約条項と保険の補償範囲を確認してから協議
ご相談で伺うこと
- 攻撃が判明した経緯と、現時点で判明している事実
- 影響を受けた情報の種類と件数の見込み
- 取引先との契約書（通知・賠償上限・免責の条項）
- サイバー保険の契約内容
- 攻撃の前に講じていた対策と、その記録