2026年10月、プログラム言語PHPに深刻な脆弱性が発見され、世界各国の企業や政府機関がオンラインサービスの一時停止を余儀なくされました。
日本でも銀行、証券会社、通信会社、百貨店、鉄道会社などが相次いでサービスを停止しました。
企業にとって、システムを停止することは簡単な判断ではありません。顧客の利便性を損ない、売上機会を失い、場合によっては社会生活にも影響を与えるためです。
しかし、危険性を認識しながらサービスを継続し、重大な情報漏洩やシステム侵害が発生すれば、さらに大きな損失につながる可能性があります。
今回のPHP問題を題材に、企業経営者が直面するサービス継続と安全確保の判断について考えます。
サービス停止は企業にとって重大な経営判断
企業のオンラインサービスは、単なる情報提供の手段ではなくなっています。
銀行では口座開設や住宅ローンの申し込み、証券会社では金融商品の取引、小売業では商品の販売、交通機関では予約や運行情報の提供など、さまざまな業務を担っています。
そのため、サービスが停止すると企業活動に直接的な影響が生じます。
例えば、オンラインショップが停止すれば、その間の売上機会を失う可能性があります。
金融機関では、顧客が必要な手続きを進められなくなることがあります。
企業によっては、取引先との契約上の義務を果たせなくなる可能性もあります。
一方、脆弱性を放置した結果、顧客情報の流出や不正取引が発生すれば、被害はさらに大きくなります。
経営者には、目先の営業損失だけでなく、将来発生する可能性のある損害も考慮した判断が求められます。
サービスを継続する場合のリスク
重大な脆弱性が存在する状態でサービスを継続すると、外部から攻撃を受ける可能性があります。
今回のPHP問題では、プログラムの異常終了時などに本来消去されるべきデータが残る問題が指摘されました。
こうした欠陥が悪用されると、サーバー内部の情報が読み取られたり、システムを乗っ取られたりする危険性があります。
特に、顧客情報や金融取引情報を扱う企業では、被害が発生した場合の影響が大きくなります。
情報漏洩が発生すれば、原因調査、顧客対応、システム復旧、再発防止策などに多額の費用が必要になる可能性があります。
また、個人情報保護法などの法令に基づく報告や本人への通知が必要になる場合もあります。
さらに、顧客からの損害賠償請求や企業の信用低下につながる可能性もあります。
したがって、サービスを継続する判断には、こうした潜在的な損失を十分に考慮する必要があります。
サービス停止によって生じる損失
一方、サービスを停止すれば、それだけで問題が解決するわけではありません。
例えば、オンラインショップが1日に1,000万円を売り上げている場合、24時間停止すれば最大1,000万円の売上機会が影響を受ける可能性があります。
ただし、停止期間中の注文が後日に振り替えられる場合もあるため、売上機会の減少額がそのまま最終的な損失額になるわけではありません。
また、システム停止によって従業員の業務が中断したり、取引先への対応が遅れたりすることも考えられます。
金融機関の場合には、顧客が住宅ローンや資産運用の手続きを進められなくなるなど、金銭的損失だけでは測れない影響もあります。
重要なのは、サービス停止による損失を具体的に把握し、停止範囲と停止時間を必要最小限に抑えることです。
経営判断では損失の大きさと発生可能性を比較する
企業のリスク管理では、一般に損失の大きさと発生可能性を組み合わせてリスクを評価します。
例えば、あるシステムを停止すると500万円の営業損失が発生するとします。
一方、サービスを継続した場合、重大なサイバー攻撃によって5億円の損害が発生する可能性があるとします。
仮に、その攻撃が発生する確率を1%と合理的に推定できるならば、単純計算による期待損失は500万円になります。
この例では、サービス停止による損失と攻撃による期待損失が同じ金額になります。
ただし、実際のサイバーリスクでは攻撃確率を正確に算定することは困難です。
また、5億円の損害には金銭的な費用だけでなく、信用低下や顧客離れなど、測定が難しい影響も含まれる可能性があります。
したがって、期待損失の計算だけで機械的に判断することは適切ではありません。
企業の社会的責任、顧客への影響、法令上の義務なども含めて総合的に判断する必要があります。
すべてのサービスを停止する必要があるのか
重大な脆弱性が発見された場合でも、企業のシステムをすべて停止する必要があるとは限りません。
実際の危険性は、利用しているソフトウェアのバージョン、システム構成、外部からのアクセス条件などによって異なります。
そのため、まず影響を受けるシステムを特定することが重要です。
例えば、顧客情報を扱う一部のウェブサービスだけが影響を受ける場合には、その機能を一時停止し、ほかのサービスを継続できる可能性があります。
また、外部からのアクセスを制限したり、特定の機能を無効化したりすることで、危険性を低減できる場合もあります。
ただし、こうした暫定措置が十分な安全性を確保できるかについては、専門的な検証が必要です。
経営者には、全面停止か全面継続かという二者択一ではなく、複数の対応策を比較する姿勢が求められます。
システム停止の判断は誰が行うべきか
企業では、システムの技術的な管理を情報システム部門が担当していることが一般的です。
しかし、重大なサービス停止によって企業活動や顧客に広範な影響が及ぶ場合、情報システム部門だけで判断することには限界があります。
技術部門は、脆弱性の危険性や対策方法を評価できます。
一方、営業部門は顧客への影響を把握し、経理部門は財務的な損失を分析できます。
法務部門は契約上の義務や法令上の責任を検討します。
これらの情報を総合して判断するのが経営陣の役割です。
特に、重要なシステムの停止については、平時から意思決定の権限と手順を明確にしておく必要があります。
緊急時に誰が判断するのか決まっていなければ、対応が遅れる可能性があります。
取締役の善管注意義務との関係
会社法では、取締役は会社に対して善良な管理者の注意をもって職務を遂行する義務を負います。
これを善管注意義務といいます。
重大なサイバーリスクを認識した場合、取締役には合理的な情報収集と適切な判断が求められます。
ただし、サイバー攻撃による被害が発生したからといって、直ちに取締役の法的責任が認められるわけではありません。
判断当時に入手できた情報、危険性の程度、実施した対策、意思決定の過程などを踏まえて検討する必要があります。
例えば、専門家から重大な危険性を指摘されながら、合理的な理由なく対応を放置していた場合には、取締役の責任が問題となる可能性があります。
反対に、必要な情報を収集し、専門家の意見を踏まえて合理的な対策を実施していた場合には、結果として被害が発生しても、直ちに義務違反と評価されるものではありません。
重要なのは、経営判断の内容だけでなく、その判断に至る過程を適切に管理することです。
緊急時の意思決定を記録する重要性
重大な脆弱性への対応では、短時間で複数の判断を行う必要があります。
その際、意思決定の記録を残しておくことが重要です。
例えば、脆弱性の情報をいつ把握したのか、どのシステムに影響があると判断したのか、どのような対策を検討したのかなどです。
さらに、サービス停止を決定した理由や、停止しなかった機能についての判断根拠も記録しておくことが望まれます。
こうした記録は、事後的な原因分析や再発防止策の検討に役立ちます。
また、内部監査や監督当局への説明、法的紛争が発生した場合にも重要な資料になります。
緊急時であっても、判断の根拠を可能な範囲で残すことが、適切な企業統治につながります。
事業継続計画の見直しが必要になる
企業は、災害や大規模障害などに備えて事業継続計画を策定しています。
これをBCPといいます。
従来のBCPでは、地震、台風、停電、感染症などへの対応が重視されてきました。
しかし、今回のように共通のソフトウェアに重大な欠陥が発見されると、建物や設備に被害がなくてもサービス停止を余儀なくされることがあります。
そのため、今後はサイバーリスクを想定したBCPの整備が重要になります。
例えば、オンラインサービスが停止した場合に、電話や店舗などの代替手段を利用できるかという点です。
また、修正プログラムの適用後に安全性を確認し、サービスを再開するための手順も必要です。
単にシステムを停止するだけでなく、安全に復旧するまでを含めた計画が求められます。
顧客への説明が企業の信用を左右する
サービス停止の際には、顧客への説明も重要です。
企業が突然サービスを停止し、理由や再開見込みを十分に説明しなければ、利用者の不安が高まる可能性があります。
一方、重大な脆弱性への予防的な対応であることを説明すれば、利用者の理解を得やすくなります。
ただし、攻撃者に悪用される恐れのある技術情報まで詳細に公開する必要はありません。
利用者にとって重要なのは、どのサービスが利用できないのか、いつから停止しているのか、代替手段はあるのか、再開情報をどこで確認できるのかという点です。
企業は、安全性を確保するための情報管理と、顧客への適切な説明を両立させる必要があります。
結論
今回のPHPの脆弱性問題は、企業経営者に難しい判断を突きつけました。
サービスを継続すれば顧客の利便性を維持できますが、重大なサイバー攻撃を受ける可能性があります。
一方、サービスを停止すれば危険性を低減できるものの、売上減少や顧客への影響が生じます。
重要なのは、停止すること自体が正しいかどうかではありません。
危険性を適切に評価し、必要な情報を収集したうえで、合理的な判断を迅速に行うことです。
また、経営判断の過程を記録し、事後的に検証できる体制を整えることも重要になります。
今後、AIによって未知の脆弱性が次々と発見される時代には、企業が同様の判断を迫られる機会が増える可能性があります。
そのときに備え、情報システム部門と経営陣が連携し、サービス停止や復旧の判断基準を平時から整備しておく必要があります。
システムを止めることは、必ずしも経営の失敗ではありません。
重大な被害を未然に防ぐための適切な停止は、企業の信用と顧客の安全を守る経営判断になり得るのです。
参考
日本経済新聞 2026年10月22日 プログラム言語「PHP」欠陥、世界でサイト停止 AIが脆弱性発見
日本経済新聞 2026年10月22日 PHP欠陥、銀行や通信でもサービス停止広がる みずほ銀など一部再開