企業へのサイバー攻撃が相次ぐなかで、情報セキュリティー対策を財務や会計の観点から考える重要性が高まっています。
サイバー攻撃による被害というと、個人情報の漏洩やシステムの停止が注目されます。
しかし、企業経営にとって深刻なのは、こうした事故が多額の費用や損失を発生させ、将来の収益力や企業価値にも影響することです。
2026年10月には、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの配信停止などが発生しました。
また、タイムズカーへの不正アクセスでは、運転免許証画像などの個人情報が流出しました。
こうした事故では、システムの復旧費用だけでなく、原因調査、顧客対応、再発防止策など、さまざまな支出が必要になります。
さらに、事業の停止や顧客離れによって、売上高や利益が減少する可能性もあります。
今回は、サイバー攻撃による損失の種類、会計処理、損害賠償、サイバー保険、企業価値への影響について考えます。
サイバー被害の損失は復旧費用だけではない
サイバー攻撃による損失は、大きく分けると直接的な費用と間接的な損失があります。
直接的な費用としては、システムの復旧費用、原因調査費用、専門家への報酬、顧客への通知費用などが挙げられます。
例えば、ランサムウェアによって業務システムが停止した場合、被害を受けたシステムの調査や復旧に専門家の支援が必要になることがあります。
また、個人情報が流出した場合には、対象者の特定、本人への通知、問い合わせ窓口の設置などが必要になる場合があります。
さらに、再発防止のためにシステムの更新や管理体制の見直しを実施することも考えられます。
一方、間接的な損失としては、売上高の減少、取引先との契約への影響、顧客離れなどがあります。
これらは、事故発生直後には金額を把握しにくい場合があります。
サイバー攻撃による経済的な影響を評価するには、復旧費用だけでなく、事業全体への影響を考える必要があるのです。
業務停止による売上高の減少
サイバー攻撃によって情報システムが停止すると、企業の売上高に直接影響する場合があります。
例えば、インターネット通販会社がサイバー攻撃を受け、注文受付システムを停止した場合を考えてみます。
システムが停止している間は、顧客からの注文を受け付けられなくなる可能性があります。
また、受注済みの商品についても、在庫管理や配送システムが利用できなければ、出荷が遅れることがあります。
こうした状況が長期化すれば、顧客が競合他社のサービスへ移る可能性もあります。
さらに、取引先との契約によっては、納期遅延などに伴う費用負担が発生する場合があります。
重要なのは、システムが復旧したからといって、失われた売上高が必ず回復するわけではないことです。
顧客が他社へ移った場合には、将来の売上高にも影響する可能性があります。
サイバー攻撃による損失を考える際には、事故発生期間中の売上高だけでなく、その後の収益への影響も確認する必要があります。
システム復旧費用の会計処理
サイバー攻撃によって発生した費用は、その内容に応じて適切に会計処理する必要があります。
例えば、被害を受けたシステムを従来の状態に戻すための修復費用は、通常、費用として処理することが考えられます。
また、原因調査を外部の専門会社に委託した場合には、その報酬も費用として認識することが一般的です。
一方、再発防止のために新しい情報システムを導入した場合には、支出の内容によって会計処理が異なります。
新たなソフトウエアなどが資産計上の要件を満たす場合には、無形固定資産として計上することが考えられます。
ただし、セキュリティー対策に関する支出であれば、すべて資産計上できるわけではありません。
保守費用、研修費用、日常的な監視費用などは、通常、発生した期間の費用として処理されます。
重要なのは、支出の目的や内容を確認し、適用される会計基準に従って判断することです。
サイバー攻撃への対応費用は多岐にわたるため、経理部門と情報システム部門の連携が必要になります。
損害賠償と引当金の問題
個人情報漏洩などによって顧客や取引先に損害が発生した場合、企業が損害賠償を請求される可能性があります。
例えば、情報漏洩によって顧客が金銭的な被害を受けた場合には、企業の安全管理義務違反などが問題となることがあります。
ただし、情報漏洩が発生したからといって、必ず損害賠償責任が認められるわけではありません。
企業の義務違反の有無、損害の内容、因果関係などによって判断されます。
会計上も、損害賠償の可能性があるというだけで、直ちに引当金を計上するわけではありません。
日本基準では、将来の特定の費用または損失であり、その発生が当期以前の事象に起因し、発生の可能性が高く、金額を合理的に見積もることができる場合などに、引当金の計上が問題になります。
例えば、情報漏洩に関連する訴訟について、企業が損害賠償を負担する可能性が高く、金額を合理的に見積もることができる場合には、引当金の計上を検討する必要があります。
一方、損失の発生可能性や金額を合理的に判断できない場合には、引当金を計上できないことがあります。
その場合でも、重要性に応じて偶発債務などの注記が必要となる可能性があります。
具体的な処理は、適用される会計基準や事実関係に基づいて判断する必要があります。
情報漏洩後の顧客対応費用
個人情報漏洩が発生した場合には、顧客への対応費用も重要になります。
例えば、漏洩した情報の種類や対象者を調査し、本人に通知する必要がある場合があります。
また、問い合わせが集中すれば、専用の相談窓口を設置することも考えられます。
さらに、顧客の不安を軽減するため、一定の支援策を実施する企業もあります。
こうした対応には、人件費、外部委託費、通信費などが発生します。
また、情報漏洩の規模が大きい場合には、対応が長期間に及ぶこともあります。
企業としては、事故発生後の対応費用を把握し、適切に予算管理する必要があります。
特に、個人情報を大量に取り扱う企業では、事故発生時の対応に必要な費用を事前に想定しておくことが重要です。
情報漏洩による損失は、技術的な復旧費用だけでなく、顧客との信頼関係を維持するための費用にも及ぶのです。
サイバー保険はどこまで役立つのか
サイバー攻撃による損失への備えとして、サイバー保険を利用する企業もあります。
サイバー保険は、契約内容に応じて、情報漏洩やサイバー攻撃に伴う一定の費用や損害を補償する保険です。
例えば、原因調査費用、システム復旧費用、事故対応費用、法律相談費用などが補償対象となる商品があります。
また、第三者への損害賠償責任や、一定の事業中断損失を補償する契約もあります。
ただし、すべてのサイバー被害が補償されるわけではありません。
補償対象、支払限度額、免責金額、補償対象外となる事由などは、保険契約によって異なります。
また、保険金の支払いには、事故発生後の通知や調査協力など、契約上の条件が定められている場合があります。
そのため、企業は保険に加入しているという事実だけで安心することはできません。
自社が想定するサイバーリスクと保険の補償内容が一致しているかを確認する必要があります。
サイバー保険は重要なリスク移転の手段ですが、事故そのものを防止する対策の代わりにはならないのです。
企業価値への影響は長期化する可能性がある
サイバー攻撃による損失は、当期の費用や利益の減少だけにとどまりません。
企業の信用が低下すれば、将来の収益力にも影響する可能性があります。
例えば、顧客情報を大量に取り扱う企業で重大な情報漏洩が発生した場合、顧客がサービスの利用を控えることが考えられます。
また、取引先が情報管理体制に不安を感じ、契約条件の見直しや取引の縮小を検討する可能性もあります。
さらに、事故対応のために経営資源を投入することで、新規事業や設備投資などが遅れる場合もあります。
企業価値は、現在の利益だけでなく、将来の収益力や事業の安定性などによって評価されます。
そのため、サイバー攻撃が企業の将来キャッシュフローに影響すると判断されれば、企業価値の低下につながる可能性があります。
ただし、事故が発生した企業の株価が必ず下落するとは限りません。
市場の評価は、被害の規模、企業の対応、財務への影響、将来の収益見通しなどによって異なります。
重要なのは、サイバーセキュリティーを企業価値に関わる問題として捉えることです。
投資家はどのような情報を確認すべきか
投資家が企業のサイバーリスクを評価する場合、事故の有無だけで判断することは適切ではありません。
重要なのは、企業がどのような管理体制を整備し、重大なリスクにどのように対応しているかという点です。
例えば、情報セキュリティーに関する責任者が明確になっているか、取締役会が重大なリスクについて報告を受けているかなどが考えられます。
また、外部委託先の管理状況や、事故発生時の事業継続計画についても重要です。
上場企業では、有価証券報告書などに事業等のリスクやガバナンスに関する情報が記載されています。
サイバーセキュリティーに関する開示内容を確認することは、企業のリスク管理能力を評価するうえで参考になります。
ただし、開示内容が充実していることだけで、実際の安全性が保証されるわけではありません。
事故が発生した場合の対応状況や、その後の改善策なども継続的に確認する必要があります。
企業の情報セキュリティー管理能力は、長期投資における重要な評価項目の一つになっているといえるでしょう。
経営者はサイバー対策を投資として考える
企業経営では、限られた資金をどのように配分するかが重要です。
サイバーセキュリティー対策には、システム更新、専門人材の確保、監視体制の整備、従業員研修など、さまざまな費用が必要になります。
こうした支出は、短期的には利益を圧迫する場合があります。
しかし、必要な対策を怠った結果、重大な事故が発生すれば、はるかに大きな損失につながる可能性があります。
そのため、サイバーセキュリティー対策を単なる経費削減の対象として考えることは適切ではありません。
重要なのは、想定される損失と対策費用を比較し、合理的な優先順位を付けることです。
例えば、企業の事業継続に不可欠なシステムや、大量の個人情報を取り扱うシステムについては、優先的に対策を講じる必要があります。
また、定期的なバックアップや復旧訓練など、比較的基本的な対策が大きな効果を持つ場合もあります。
経営者には、サイバーセキュリティーを企業価値を守るための投資として位置づけることが求められます。
結論
サイバー攻撃による企業の損失は、システムの復旧費用だけではありません。
原因調査、顧客対応、損害賠償、事業停止による売上高の減少など、さまざまな費用や損失が発生する可能性があります。
また、企業の信用が低下すれば、将来の収益力や企業価値にも影響する場合があります。
会計上は、支出の内容に応じた費用処理や資産計上、損害賠償に関する引当金の検討などが必要になります。
サイバー保険は一定の損失に備える手段ですが、すべての被害を補償するものではありません。
そのため、企業には、事故の発生を防ぐ対策と、事故発生後の損失を抑える対策の両方が求められます。
特に重要なのは、サイバーセキュリティーを情報システム部門だけの問題として扱わないことです。
経営陣、経理部門、法務部門、内部監査部門などが連携し、企業全体のリスクとして管理する必要があります。
投資家にとっても、企業の情報セキュリティー管理能力は、長期的な企業価値を評価するうえで重要な要素になります。
デジタル社会では、情報システムの安全性が企業の収益力や信用を支える基盤になっています。
サイバー対策への支出は、単なるコストではありません。
企業の将来のキャッシュフローと持続的な成長を守るための重要な経営投資なのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表
企業会計原則 注解18 引当金について
個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン
経済産業省 サイバーセキュリティ経営ガイドライン