企業のランサムウェア被害とガバナンス・法的責任～アサヒGHD事例から考えるサイバーセキュリティ対策～

近年、大手企業や社会インフラ事業者を狙ったランサムウェア（身代金要求型ウイルス）攻撃が深刻化しています。報道等でも大きく取り上げられたアサヒグループホールディングス（アサヒGHD）における大規模なサイバー攻撃被害は、企業のデータセンターやネットワーク機器（VPN等）を標的とした現代型ランサムウェア攻撃の脅威を改めて浮き彫りにしました。

本事件では、システムの暗号化による出荷・業務の停止だけでなく、取引先情報等を含む大量の個人情報・重要データの漏洩、さらにはシステム復旧費用や売上減少に伴う大幅な業績下方修正（数十億円規模の影響）など、多大な損害が発生しています。

サイバー攻撃被害は、単なる「ITトラブル」にとどまらず、「企業の法的責任」「役員の善管注意義務」「取引先に対する損害賠償責任」に直結する重大な経営・法務リスクです。本稿では、同事例から企業が学ぶべき法務上のポイントについて解説いたします。

1. 事例に見るサイバー攻撃の主な被害と法的な影響

アサヒGHDの会見発表等によると、今回の事件では以下のようなプロセスで被害が拡大したとされています。

• 侵入経路：拠点にあるネットワーク機器（VPN等）を通過して侵入
• 被害拡大：パスワードの脆弱性等を利用して管理者権限（Active Directory等）を奪取し、データセンター内の基幹サーバおよび端末を暗号化・情報窃取
• ビジネスへの影響：受注・出荷システム等の停止による業務混乱、11万件以上の情報漏洩の確認、巨額の障害対応費用および決算発表の延期・業績下方修正

サイバー攻撃を受けた企業は、単に「攻撃の被害者」となるだけでなく、「情報漏洩やサービス停止によって第三者に損害を与えた責任主体」として法的・社会的責任を追及される可能性があります。

2. サイバーインシデントにおいて企業が問われる3つの法的責任

もし貴社が同様のランサムウェア被害に遭遇した場合、どのような法律上のリスクが生じるでしょうか。主に以下の3点が挙げられます。

① 取引先・顧客に対する損害賠償責任（債務不履行責任・不法行為責任）

システム障害によって商品の納期遅延やサービス停止が生じ、取引先に直接的な損害を与えた場合、契約上の債務不履行（民法415条）に基づく損害賠償請求を受ける可能性があります。また、漏洩した取引先情報や機密情報が悪用された場合にも不法行為責任（民法709条）が問われかねません。

② 個人情報保護法に基づく法的義務違反

大量の個人データが漏洩（または漏洩の発生の恐れ）した場合、個人情報保護委員会への迅速な報告および本人に対する通知義務（個人情報保護法26条）が発生します。事後対応を怠ったり報告が遅れたりした場合には、行政指導やペナルティの対象となります。

③ 取締役（役員）の善管注意義務違反責任（会社法423条1項）

サイバーセキュリティ対策は、現代の会社経営において重要な「内部統制システム（リスク管理体制）」の一部とみなされています。 適切なセキュリティ投資や脆弱性対策、BCP（事業継続計画）の策定を怠っていたと判断された場合、株主等から「取締役が適切なセキュリティ体制を構築・運用する義務（善管注意義務）を怠った」として、役員個人の損害賠償責任が追及されるリスクがあります。

3. 企業が今すぐ取り組むべき法務・ガバナンス対応

高度化するランサムウェア攻撃から会社を守り、有事の際の法的リスクを最小限に抑えるためには、IT部門だけでなく経営陣および法務部門が連携して以下の対策を進めることが不可欠です。

1. サイバーガバナンス体制の強化
   • セキュリティ対策をIT部門任せにせず、取締役会が主導するガバナンス体制（NIST CSF等のフレームワークに基づく識別・防御・検知・対応体制の評価）を整備する。
2. IT-BCP（事業継続計画）と契約条項の見直し
   • システム停止時でも手作業や代替手段でコア業務を継続できる体制を検討しておく。
   • 取引先との基本合意書や規約において、不可抗力条項やシステム障害時の免責・責任制限条項、損害賠償額の上限設定などが適切になされているかを事前に弁護士とともに検証する。
3. インシデント発生時の初動マニュアルの策定
   • 万が一侵害された場合、フォレンジック調査、警察・個人情報保護委員会への報告、ステークホルダーへの広報開示などを迅速に行える法務対応フロー（有事のプレスリリース確認体制等を含む）を準備しておく。

4. Sfil法律事務所からのサポートのご案内

Sfil法律事務所では、IT・サイバーセキュリティ領域における事前の法務リスク診断から、万が一のインシデント発生時の有事対応まで、企業様のリーガルリスク管理を幅広くサポートしております。

• サイバーインシデント発生時の初動対応・法的助言（個人情報保護委員会への報告、二次被害防止の法的アドバイス等）
• IT関連契約書・各種規約の法的レビュー（損害賠償責任の範囲、免責条項の適切な設定など）
• 社内ガバナンス・規程（情報セキュリティ基本方針・個人情報管理規程など）の策定・改定支援
• 役員・企業向けサイバーリスク・コンプライアンス研修の実施

「自社のセキュリティポリシーや契約書が現在のリスクに対応できているか不安」「万が一の際の法的対応フローを整えておきたい」という企業様は、ぜひお気軽にSfil法律事務所までご相談ください。

お問い合わせ

ご相談予約・法律相談に関するお問い合わせは、[お問い合わせフォーム] またはお電話にて承っております。