企業へのサイバー攻撃が相次ぐなかで、情報セキュリティー対策は情報システム部門だけの問題ではなくなっています。
顧客情報の漏洩、業務システムの停止、取引先への影響など、サイバー攻撃による被害は企業経営全体に及ぶ可能性があります。
2026年10月には、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの配信停止などの問題が発生しました。
また、タイムズカーへの不正アクセスでは、運転免許証画像などの個人情報が流出しました。
こうした問題を考える際に重要なのが、企業の取締役や経営陣の責任です。
仮に企業がサイバー攻撃を受け、多額の損害が発生した場合、取締役はどこまで責任を負うのでしょうか。
会社法では、取締役に善管注意義務が課されており、企業の規模や事業内容、リスクの状況に応じた適切な経営管理が求められています。
今回は、サイバーセキュリティーと取締役の法的責任、内部統制システムの整備、取締役会による監督のあり方について考えます。
サイバー攻撃は経営リスクになっている
企業活動のデジタル化が進むなかで、情報システムは事業運営に欠かせない存在になっています。
会計、人事、給与計算、販売管理、在庫管理、顧客管理など、多くの業務が情報システムによって支えられています。
また、クラウドサービスの利用が広がり、重要な情報を外部の事業者に保存する企業も増えています。
こうした環境では、サイバー攻撃によって情報システムが停止すると、企業活動そのものが継続できなくなる可能性があります。
例えば、販売管理システムが停止すれば、受注や出荷に影響が生じます。
会計システムが停止すれば、決算作業や財務報告が遅れる可能性があります。
顧客情報が流出すれば、顧客への通知や問い合わせ対応、損害賠償などの問題が生じる場合もあります。
さらに、企業の信用が低下し、取引先との関係や将来の売上高に影響することも考えられます。
サイバー攻撃は、単なる技術的な問題ではなく、企業の財務、事業継続、信用に関わる経営リスクなのです。
取締役の善管注意義務とは何か
会社法第330条は、株式会社と役員との関係について、委任に関する規定に従うことを定めています。
民法第644条では、受任者は善良な管理者の注意をもって委任事務を処理する義務を負うとされています。
これが一般に善管注意義務と呼ばれるものです。
取締役は、会社の業務を適切に管理し、会社に不必要な損害を与えないよう、合理的な注意を払う必要があります。
また、会社法第355条では、取締役の忠実義務が定められています。
サイバーセキュリティーについても、企業の規模や事業内容、取り扱う情報の重要性などに応じて、適切な管理体制を整備することが求められます。
例えば、大量の顧客情報を取り扱う金融機関と、個人情報の取扱いが限定的な小規模企業では、求められる対策の内容や水準が異なる場合があります。
重要なのは、すべての企業に同じ対策を求めることではありません。
自社が抱えるリスクを把握し、そのリスクに応じた合理的な対策を講じることです。
サイバー攻撃を受けただけで責任を負うのか
企業がサイバー攻撃を受けた場合、直ちに取締役の法的責任が認められるわけではありません。
どれほど高度なセキュリティー対策を講じても、すべての攻撃を完全に防止することは困難だからです。
取締役の責任を判断する際には、事故の発生という結果だけでなく、事故に至るまでの管理状況が重要になります。
例えば、重大なシステムの脆弱性が発見され、専門部署から改善の必要性が報告されていた場合を考えてみます。
経営陣がその危険性を認識しながら、合理的な理由なく対策を長期間放置していたとすれば、善管注意義務違反が問題となる可能性があります。
一方、企業が合理的な管理体制を整備し、必要な対策を継続的に実施していたにもかかわらず、高度な攻撃によって被害が発生した場合には、評価が異なります。
会社法第423条第1項では、役員等が任務を怠ったことによって株式会社に損害を生じさせた場合の賠償責任が定められています。
実際に責任が認められるかどうかは、任務懈怠の有無、損害、因果関係など、具体的な事情によって判断されます。
したがって、サイバー攻撃の発生と取締役の責任を単純に結びつけることはできません。
内部統制システムの整備が重要になる
取締役の責任を考えるうえで重要なのが、内部統制システムの整備です。
会社法第362条第4項第6号では、取締役会設置会社における一定の内部統制システムに関する事項が定められています。
また、会社法施行規則第100条では、損失の危険の管理に関する規程その他の体制などが規定されています。
大会社である取締役会設置会社では、こうした内部統制システムの整備に関する決定が義務付けられています。
内部統制システムは、企業の業務が適切に行われるようにするための組織的な仕組みです。
サイバーセキュリティーの分野では、情報資産の管理、アクセス権限の設定、委託先の監督、事故発生時の対応などが重要になります。
例えば、情報セキュリティーに関する責任者を明確にし、重大な問題が発見された場合には経営陣へ報告する仕組みを整備することが考えられます。
また、内部監査によって管理体制の実効性を確認することも重要です。
内部統制システムは、規程を作成するだけでは十分ではありません。
実際に運用され、問題が発見された場合に改善できる仕組みであることが必要です。
取締役会は何を監督すべきなのか
サイバーセキュリティー対策では、取締役会による監督も重要になります。
ただし、取締役全員が高度な情報技術の専門知識を持つ必要があるわけではありません。
重要なのは、経営上のリスクとして適切な報告を受け、必要な判断を行うことです。
例えば、企業が保有する重要な情報資産について、どのようなリスクが存在するのかを把握する必要があります。
また、重大な脆弱性が発見された場合に、改善状況が適切に管理されているかを確認することも重要です。
外部委託先で情報漏洩が発生した場合には、委託元企業への影響や対応状況について報告を受ける必要があります。
さらに、サイバー攻撃によって主要な業務が停止した場合、どの程度の期間で復旧できるのかという事業継続上の課題も重要です。
取締役会には、技術的な詳細をすべて理解することよりも、経営上の重要なリスクを把握し、適切な管理体制が機能しているかを監督する役割が求められます。
外部委託先の事故でも経営責任が問題になる
企業が情報システムを外部委託している場合、委託先で発生した事故についても注意が必要です。
例えば、顧客管理システムを外部のクラウド事業者に委託している企業を考えてみます。
そのクラウド事業者がサイバー攻撃を受け、顧客情報が流出した場合、直接的な事故の発生場所は委託先です。
しかし、委託元企業が適切な委託先を選定し、必要な監督を実施していたかどうかが問題になります。
個人情報保護法では、個人データの取扱いを委託する場合、委託元に必要かつ適切な監督が求められています。
また、委託先管理が企業の重要なリスクであるにもかかわらず、経営陣が必要な管理体制の整備を怠っていた場合には、会社法上の問題につながる可能性もあります。
ただし、委託先で事故が発生したという事実だけで、取締役の責任が認められるわけではありません。
委託先の選定方法、契約内容、監督状況、事故発生時の対応などを総合的に判断する必要があります。
外部委託によって業務を効率化することと、経営上の管理責任を果たすことは、両立させなければならないのです。
サイバー対策費用は経営判断の問題
企業のサイバーセキュリティー対策には費用がかかります。
システムの更新、専門人材の確保、監視体制の整備、従業員研修など、さまざまな支出が必要です。
しかし、対策費用を削減すれば、短期的には利益を増やせる場合があります。
そのため、経営陣には、費用とリスクを比較して合理的な判断を行うことが求められます。
例えば、重要な顧客情報を大量に保有している企業で、明らかに必要なセキュリティー対策を費用削減だけを理由に見送ることは、重大な経営リスクにつながる可能性があります。
一方、すべての情報システムに最高水準の対策を講じることが、常に合理的とは限りません。
重要なのは、情報資産の重要性や事故発生時の影響を評価し、優先順位を付けて対策を実施することです。
サイバーセキュリティー対策は、単なる経費ではなく、事業継続と企業価値を守るための投資として考える必要があります。
事故発生後の対応も責任判断に影響する
サイバー攻撃による被害が発生した場合、経営陣には迅速かつ適切な対応が求められます。
まず、被害の拡大を防止するため、必要に応じてシステムの停止やアクセス制限などを実施します。
次に、漏洩した情報の種類や範囲、事業への影響などを調査する必要があります。
個人情報保護法に基づく報告や本人への通知が必要な場合には、法令に従って対応しなければなりません。
また、上場企業では、事故の内容や影響が適時開示の対象となる場合があります。
重要なのは、事故を隠すことではなく、事実関係を適切に把握し、必要な情報を迅速に提供することです。
さらに、事故の原因を分析し、再発防止策を講じることも必要になります。
経営陣が事故発生後に適切な対応を怠れば、被害が拡大する可能性があります。
事故を完全に防止できなかったとしても、その後の対応によって企業の信用や損失の程度が大きく変わる場合があるのです。
中小企業の取締役にも関係する問題
サイバーセキュリティーと取締役の責任は、大企業だけの問題ではありません。
中小企業でも、クラウド会計、給与計算、顧客管理、電子メールなど、多くの業務で情報システムが利用されています。
例えば、中小企業がランサムウェアによる攻撃を受け、会計データや顧客情報を利用できなくなった場合、事業継続に重大な影響が生じる可能性があります。
中小企業では、情報システムの管理を外部事業者に任せている場合もあります。
しかし、外部委託していることだけで、経営者の管理責任がなくなるわけではありません。
中小企業においても、重要なデータのバックアップ、アクセス権限の管理、システム更新、事故発生時の連絡体制など、基本的な対策が必要です。
企業規模に応じて合理的な対策を講じることが重要になります。
特に経営者自身が情報セキュリティーの重要性を理解し、必要な対応を指示することが求められます。
結論
サイバー攻撃は、企業の情報システムだけでなく、財務、事業継続、信用、企業価値に影響する重要な経営リスクです。
そのため、情報セキュリティー対策を情報システム部門だけに任せることは適切ではありません。
会社法では、取締役に善管注意義務が課されており、企業の規模や事業内容、リスクの状況に応じた合理的な管理が求められます。
ただし、サイバー攻撃を受けたという事実だけで、直ちに取締役の法的責任が認められるわけではありません。
重要なのは、経営陣がリスクを適切に把握し、必要な内部統制システムを整備し、その実効性を確認していたかどうかです。
また、事故発生後の迅速な対応や再発防止策の実施も重要になります。
企業の外部委託が拡大するなかでは、委託先を含めた情報セキュリティー管理が必要です。
取締役会には、技術的な詳細をすべて理解することではなく、重大なリスクを把握し、適切な経営判断を行うことが求められます。
これからの企業経営では、サイバーセキュリティーを単なるシステム管理費用として捉えるのではなく、企業価値を守るための重要な経営課題として位置づける必要があります。
サイバー攻撃への備えは、企業の持続的な成長を支える内部統制の重要な要素になっているのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表
会社法 第330条 第355条 第362条 第423条
会社法施行規則 第100条
民法 第644条
個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン