6月4日のBCNセッションでは、TMI総合法律事務所のパートナー弁護士である大井哲也氏が登壇。「サイバー攻撃対応における企業の各部門の役割と企業の法的責任」をテーマに、インシデント事例を交え、企業や役員が直面する法的リスクと、平時・有事における全社的な対応実務を解説した。


　大井氏はまず、サイバー攻撃におけるステークホルダーを整理し、情報を漏えいされた企業は攻撃の被害者であると同時に、顧客や取引先に対する加害者になり得る二面性を指摘した。その例として、システム運用委託先であるグループ会社の社員が数千万件の顧客情報を持ち出した大手の教育事業会社の事例を挙げた。役員は会社法上の内部統制構築義務があり、セキュリティー体制の不備は善管注意義務違反になる。そのため同社は被害企業ではあるが、サイバーセキュリティー体制構築の不備について役員責任を追及され、株主代表訴訟へと発展。顧客への補償などで数百億円もの特別損失を計上しただけでなく、代表取締役が引責辞任している。さらに、システム停止がもたらす逸失利益の甚大さにも触れ、サイバー攻撃の被害は、企業存続を揺るがす重大な経営リスクになると指摘する。大井氏は最近のインシデント事例を念頭に「業務システムが止まり商品供給が止まると、ビジネスが止まる」と述べ、数カ月におよぶ業務停止が企業経営に致命的な経済的損害を与える実態を示した。

　では、企業はどのように善管注意義務違反を回避すべきなのか。大井氏は法人としてだけでなく、役員は「その地位、状況にある者に通常期待される程度」、つまり金融や医療など各業界水準をベースにしたセキュリティーレベルを実装する必要性を説いた。まず、自社の脆弱性を客観的に把握する「身体検査（自己・他者監査）」を実施し、システム停止時の経済的損害をシミュレーションする。その上で予算を確保し、技術的措置を導入するリスクコントロールを行う。それでも残るリスクについては、サイバー保険などでリスク転嫁を図ることで対応する。現状を把握せず見て見ぬふりをすることや、予算不足を理由に対策を後回しにすることが最も危険と指摘した。

　最後に、有事のインシデント対応体制に言及した。サイバー攻撃では、犯人の特定や損害回収など事後的なリカバリーが極めて困難になるため、平時からの体制構築が成否を分ける。大井氏は「平時からアクションプランを立案しておき、有事の対応にあたることが大切」と強調する。まず、社長をトップとして、情報システム、法務、人事、広報、顧客対応部門が一体となり、弁護士やフォレンジック調査機関などの外部専門家と連携する全社横断的なチームを構築する。そして、リスク把握ためののデータ・マッピング、リスクシナリオの洗い出し、具体的なセキュリティー施策の計画立案と実装することで、組織全体で有事に備える姿勢が整備できると総括した。