2026年10月に発生したGMOインターネットグループへの大規模な不正アクセス事件は、企業のサイバーセキュリティー対策に新たな課題を突きつけました。
今回の事件では、外国為替証拠金取引の自動売買などに利用されるクラウドサービスが攻撃を受け、顧客情報の流出や不正な金融取引の疑いが生じました。
GMOは被害拡大を防止するためにサービスを停止し、利用者への見舞金や取引損失の補償方針を発表しました。
さらに、政府に対して能動的サイバー防御の適用を緊急要請する異例の対応に踏み切りました。
こうした事態に直面したとき、企業の取締役会はどのような役割を果たすべきなのでしょうか。
従来、サイバーセキュリティーは情報システム部門が担当する技術的な問題と考えられがちでした。
しかし、重大なサイバー攻撃が発生すれば、事業停止、顧客への損害賠償、企業価値の低下、株主への説明など、経営全体に影響が及びます。
そのため、サイバーリスクは取締役会が監督すべき重要な経営リスクとなっています。
今回は、会社法上の取締役の責任、内部統制システム、委託先管理、内部監査、事故発生時の意思決定について考えます。
サイバーセキュリティーは経営問題である
サイバー攻撃への対応では、情報システム部門の専門知識が不可欠です。
しかし、重大な事故が発生した場合、技術的な判断だけでは対応できません。
例えば、不正アクセスを受けたシステムを停止するかどうかは、セキュリティー上の判断であると同時に、事業継続に関する経営判断でもあります。
サービスを停止すれば、顧客への被害拡大を防止できる可能性があります。
一方、サービス停止によって売上高が減少し、利用者の業務にも影響が生じます。
また、顧客への補償方針を決定する場合には、法務、財務、顧客対応など、複数の部門による検討が必要です。
さらに、上場企業では、事件の内容や業績への影響について、投資家への情報開示も検討しなければなりません。
こうした判断は、情報システム部門だけで完結するものではありません。
取締役会と経営陣が責任を持って対応する必要があります。
取締役の善管注意義務とサイバーリスク
会社法上、取締役は会社に対して善良な管理者の注意をもって職務を遂行する義務を負っています。
一般に、善管注意義務と呼ばれるものです。
また、取締役には、法令や定款などを遵守し、会社のために忠実に職務を行う義務があります。
サイバーセキュリティーについても、企業の事業内容や規模、保有する情報の重要性などに応じて、適切なリスク管理体制を整備することが求められます。
例えば、顧客の金融取引情報を大量に取り扱う企業と、機密性の高い情報をほとんど保有しない企業では、必要な安全管理措置が異なります。
取締役は、自社がどのようなサイバーリスクに直面しているのかを把握し、その重要性に応じた対応を検討する必要があります。
ただし、サイバー攻撃を受けたという事実だけで、取締役に善管注意義務違反が成立するわけではありません。
企業がどのようなリスクを認識し、どのような対策を講じ、どのような意思決定を行っていたかなど、具体的な事情に基づいて判断されます。
重要なのは、サイバー攻撃を完全に防げなかったことと、適切なリスク管理を怠ったことを区別することです。
内部統制システムの整備が重要になる
会社法では、一定の会社に対して、業務の適正を確保するための体制の整備を求めています。
これは一般に、内部統制システムと呼ばれます。
内部統制システムには、法令遵守、リスク管理、情報保存、企業集団の管理など、さまざまな要素が含まれます。
サイバーリスクも、企業の業務の適正を確保するために考慮すべき重要なリスクの一つです。
例えば、企業が顧客情報を大量に保有している場合、アクセス権限の管理や不正アクセスの監視が重要になります。
また、重要な業務をクラウドサービスに委託している場合には、委託先の安全管理状況を確認する仕組みが必要です。
さらに、重大な事故が発生した場合には、経営陣へ迅速に報告する体制を整備する必要があります。
内部統制システムは、規程を作成するだけでは十分ではありません。
実際に運用されているかを確認し、問題があれば改善することが重要です。
取締役会は何を確認すべきか
取締役会がサイバーリスクを監督する場合、技術的な詳細をすべて理解する必要はありません。
しかし、経営に重大な影響を及ぼすリスクについては、適切な情報を把握する必要があります。
まず、自社の重要な情報資産や業務システムが何かを確認することが重要です。
例えば、顧客情報、金融取引情報、会計データ、製造設備の制御システムなどです。
次に、それらのシステムが停止した場合、事業にどの程度の影響が生じるのかを評価する必要があります。
さらに、重大な脆弱性が発見された場合に、どのような手順で修正するのかを確認します。
また、不正アクセスを検知する仕組みや、事故発生時の対応体制も重要です。
取締役会では、セキュリティー対策に必要な予算や人員が確保されているかについても検討する必要があります。
サイバーリスクを情報システム部門に任せきりにするのではなく、経営全体のリスク管理の一部として監督することが求められます。
サイバーリスクを数値で管理する
取締役会による監督を実効性のあるものにするには、サイバーリスクを可能な範囲で数値化することが有効です。
例えば、重要なシステムのうち、多要素認証が導入されている割合を確認することが考えられます。
また、重大な脆弱性が発見されてから修正されるまでの日数も重要な指標です。
さらに、バックアップからの復旧訓練の実施状況や、重大なセキュリティー事故の発生件数なども確認できます。
例えば、重要システム100件のうち、多要素認証が導入されているものが80件であれば、導入率は80%です。
残る20件について、なぜ導入できていないのか、どのような代替措置があるのかを検討する必要があります。
ただし、数値が改善しているからといって、サイバーリスクが完全に解消されたわけではありません。
例えば、多要素認証の導入率が100%でも、認証済みの端末が侵害されれば、不正操作が発生する可能性があります。
数値による管理と、実際のリスクに対する専門的な評価を組み合わせることが重要です。
委託先管理は取締役会の重要課題
企業のデジタル化が進む中で、外部のクラウドサービスや情報システム事業者を利用する機会が増えています。
外部委託には、設備投資や運用負担を軽減できる利点があります。
一方、委託先がサイバー攻撃を受ければ、自社の業務や顧客情報にも影響が及ぶ可能性があります。
例えば、給与計算を外部サービスに委託している企業では、委託先の障害によって給与支払いに支障が生じる恐れがあります。
また、顧客管理システムを外部サービスに依存している場合には、サービス停止によって営業活動が制約される可能性があります。
そのため、委託先を選定する際には、価格や機能だけでなく、安全管理体制や事業継続能力も確認する必要があります。
さらに、契約締結後も定期的に委託先の管理状況を確認することが重要です。
特に、重要な業務を特定の事業者に集中して委託している場合には、その事業者が停止した際の影響を評価する必要があります。
外部委託によって業務を移転できても、経営上のリスクまで完全に移転できるわけではありません。
内部監査部門が果たす役割
サイバーリスク管理では、内部監査部門の役割も重要です。
内部監査は、企業の業務や内部統制が適切に運用されているかを、独立した立場から評価する活動です。
サイバーセキュリティーについても、規程の整備状況だけでなく、実際の運用状況を確認する必要があります。
例えば、退職者のアクセス権限が適切に削除されているか、重要なシステムの更新が実施されているかなどを確認します。
また、重大な脆弱性が発見された場合に、必要な対応が期限内に実施されているかも重要です。
さらに、委託先管理やバックアップの復旧訓練などについても監査対象となります。
ただし、内部監査部門がすべての技術的な問題を自ら検証することは難しい場合があります。
そのため、必要に応じて外部の専門家を活用することも有効です。
重要なのは、内部監査によって発見された問題が、経営陣や取締役会に適切に報告され、改善につながることです。
事故発生時の意思決定を誰が行うのか
重大なサイバー攻撃が発生した場合、企業は短時間で重要な判断を迫られます。
例えば、攻撃を受けたシステムを停止するかどうかという判断です。
システムを停止すれば、被害拡大を防げる可能性があります。
一方、サービス停止によって顧客や取引先に影響が及ぶ場合があります。
また、顧客への情報提供や補償方針についても迅速な判断が必要です。
こうした意思決定を事故発生後に初めて検討していては、対応が遅れる可能性があります。
そのため、企業は平常時から重大事故の対応責任者や権限を明確にしておく必要があります。
例えば、一定の条件を満たす場合には、情報システム部門の責任者が緊急停止を判断できる仕組みが考えられます。
一方、事業全体に重大な影響を及ぼす判断については、経営陣が関与する必要があります。
取締役会には、こうした危機管理体制が適切に整備されているかを監督する役割があります。
事故対応の実務例
ここで、企業における具体的な対応例を考えます。
ある企業が、顧客管理システムを外部のクラウドサービスに委託しているとします。
ある日、委託先から不正アクセスの可能性があるとの連絡を受けました。
この場合、企業はまず、どの情報が影響を受けた可能性があるのかを確認する必要があります。
同時に、委託先がどのような対応を実施しているかを把握します。
次に、自社の顧客情報が漏洩した可能性がある場合には、個人情報保護法上の報告や本人通知の必要性を検討します。
また、顧客管理システムが利用できなくなる場合には、代替手段を確保する必要があります。
さらに、重大な影響が見込まれる場合には、経営陣や取締役会への報告を行います。
このとき重要なのは、技術的な原因が完全に判明するまで、すべての対応を先送りしないことです。
確認された事実と調査中の事項を区別しながら、必要な措置を進めることが求められます。
事故発生時の対応手順を事前に定めておけば、判断の遅れを防ぐことにつながります。
取締役会議事録と説明責任
サイバーリスクに関する取締役会の監督では、意思決定の記録も重要です。
例えば、重大な脆弱性への対応について、取締役会がどのような報告を受け、どのような判断を行ったのかを記録しておく必要があります。
また、セキュリティー対策への投資についても、リスク評価や費用対効果を踏まえた検討が重要です。
取締役会議事録は、意思決定の経緯を明らかにするための重要な資料となります。
ただし、議事録を作成しているだけで、取締役の責任が免除されるわけではありません。
重要なのは、実際に適切な情報を収集し、合理的な検討を行っていたかどうかです。
例えば、重大なセキュリティー上の問題が繰り返し報告されていたにもかかわらず、合理的な理由なく対応を放置していた場合には、取締役の監督責任が問題となる可能性があります。
一方、必要な情報を基に合理的な判断を行い、適切な対策を実施していた場合には、その事情が責任の判断において重要になります。
取締役会には、形式的な報告を受けるだけでなく、重要なリスクについて実質的な議論を行うことが求められます。
中小企業の取締役にも求められる対応
サイバーリスクの監督は、上場企業や大企業だけの課題ではありません。
中小企業でも、顧客情報、取引先情報、会計データ、給与情報など、多くの重要情報を保有しています。
また、外部のクラウドサービスを利用する企業も増えています。
中小企業では、専門の情報システム担当者を配置することが難しい場合があります。
そのため、経営者自身が基本的なサイバーリスクを理解することが重要です。
例えば、重要なデータのバックアップが確保されているか、多要素認証が導入されているか、ソフトウエアの更新が適切に実施されているかなどを確認する必要があります。
また、事故発生時に相談できる外部の専門家や支援機関を把握しておくことも有効です。
中小企業に大企業と同じ規模のセキュリティー投資を求めることは現実的ではありません。
しかし、企業規模や事業内容に応じた合理的な対策を実施することは重要です。
経営者がサイバーリスクを理解し、必要な対策に優先順位を付けることが求められます。
取締役会による監督の実効性を高める
取締役会によるサイバーリスクの監督を実効性のあるものにするためには、定期的な報告と検証が必要です。
例えば、四半期ごとに重要なセキュリティー上の問題や対策の進捗を報告する仕組みが考えられます。
また、重大な事故が発生した場合には、通常の報告とは別に、迅速に取締役会へ情報を提供する必要があります。
さらに、サイバー攻撃を想定した訓練を実施し、経営陣が適切に意思決定できるかを確認することも有効です。
例えば、重要なシステムが停止した場合に、誰が顧客への説明を行い、誰が復旧方針を決定するのかを訓練で確認します。
こうした取り組みによって、規程と実際の運用との間に問題がないかを把握できます。
また、事故対応後には、原因や対応上の課題を分析し、再発防止策を検討することが重要です。
サイバーリスク管理は、一度体制を整備すれば終了するものではありません。
技術や攻撃手法の変化に応じて、継続的に見直す必要があります。
結論
GMOインターネットグループへの不正アクセス事件は、サイバーセキュリティーが企業の重要な経営課題であることを改めて示しました。
今回の事件では、顧客情報の流出や不正な金融取引の疑いに加え、サービス停止、利用者への補償、政府への緊急要請など、経営全体に関わる対応が必要になりました。
こうした問題は、情報システム部門だけで解決できるものではありません。
取締役会には、サイバーリスクを重要な経営リスクとして認識し、適切な内部統制システムが整備されているかを監督する役割があります。
また、取締役の善管注意義務との関係でも、企業の事業内容や規模に応じた合理的なリスク管理が重要です。
特に、重要な業務を外部のクラウドサービスに委託している場合には、委託先の安全管理体制や事業継続能力を確認する必要があります。
さらに、内部監査部門による検証、事故発生時の意思決定手順、取締役会への報告体制などを整備することが求められます。
重要なのは、サイバー攻撃を完全に防げるという前提に立たないことです。
攻撃を受ける可能性を認識し、被害を最小限に抑え、事業を継続し、顧客の信頼を回復できる体制を整える必要があります。
サイバーセキュリティー対策は、情報システム部門の技術的な問題ではなく、企業価値と事業継続を守るための経営戦略です。
取締役会が実効性のある監督を行うことこそ、デジタル社会における企業統治の重要な条件となるのです。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
GMOインターネットグループ 2026年10月24日 不正アクセス事件に関する発表
会社法 第330条 第355条 第362条 第423条
会社法施行規則 第100条
経済産業省 2023年3月「サイバーセキュリティ経営ガイドライン Ver 3.0」
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」