「経営判断を迫るサイバー攻撃・ランサムウェアの最新動向について」の版間の差分

'''経営判断を迫るサイバー攻撃・ ランサムウェアの最新動向について'''（けいえいはんだんをめぐる-こうげき・-のさいんしんどうこうについて）とは、[[山岡裕明(弁護士)|山岡裕明]]が国際商事法務Vol.49、№10（通巻712号）に連載したコラムである。

また,同事案の特筆すべき点として,同社がハッカー集団に身代金を支払った点を挙げることができる。同社のCEOであるJoseph Blount氏は,同年6月8日の上院委員会での証人喚問において,「私は,パイプラインを早期復旧するために利用可能なあらゆるツールを入手すべく身代金を支払うという意思決定を行った(I made the decision that Colonial Pipeline would pay the ransom to have every tool available to us to swiftly get the pipeline back up and running」と述べて,その支払いを認めている<ref group="注"><!--3-->HEARING BEFORE THE UNITED STATES SENATE COMMITTEE ON HOMELAND SECURITY & GOVERNMENTAL AFFAIRS, June 8, 2021. Testimony of Joseph Blount, President and Chief Executive Officer Colonial Pipeline Company (https://www.hsgac.senate.gov/imo/ media/doc/Testimony-Blount・2021-0&08.Pdf)</ref>。

経済産業省から2020年12月18日付で注意喚起 (以下「経産省注意喚起」という。)がなされており4,「大企業・中小企業等を問わないランサムウェアによる被害の急増」の背景事情として,  RaaS (Ransomware as a Serviceとも呼ばれる,マルウェアの開発者と当該マルウェアを使って攻撃を行う攻撃者などで構成される,ランサムウェアの提供や身代金の回収を組織的に行うエコシステムが成立したことにより,高度な技術を持たなくても簡単に攻撃を行えるケースが増えていることなどが挙げられる」という指摘がなされている。

上記の経産省注意喚起において,「国によっ

ては,金銭の支払い行為がテロ等の犯罪組織への資金提供であるとみなされ,金銭の支払いを行った企業に対して制裁が課される可能性もある。」と言及されているところ,米国においては, まさにOFAC規制が身代金の支払いを厳しく規制している

すなわち,財務省外国資産管理室(The U.S. Department Of the Treasury's Office Of Foreign Assets Control; OFAOは,外国資産管理規則(Foreign Assets Control Regulations に基づいて情報の提供,処罰の決定,違反者への制裁等を管轄する官庁で,同規則に基づいて制定される各種規制がOFAC規制と呼ばれている。2020年10月1日, OFACは,「ランサムウェアの支払いを助長することに関する潜在的制裁リスクについての勧告5」(Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments)を発表し,身代金の支払いについてOFAC規制が発動され得るとの解釈を小した6。

仮に,身代金の支払いがOFAC規制のようなハッカー集団への身代金の支払いを直接禁ずる法律に抵触しないとしても,身代金相当額の損害が会社に生じる以上,意思決定を下す経営層としては,経営判断原則(business judgement rule)を踏まえつつ,善管注意義務に違反しないかを注意する必要がある

上述のコロニアル社のCEOであるJoseph Blount氏は,同証人喚問において,身代金を支払ったことに関して「人生で最も大変な意思決定の一つであった()t was one Of the toughest decisions I have had to make in my life) と述べていることからも,その意思決定の重大さが伝わってくる。

他方で,国内の個人情報保護法の下では,個人情報保護委員会への報告は努力義務にすぎなかった。しかし, 2022年4月1日に施行される改正個人情報保護法の下では,一定の場合を除いて同委員会への報告が法律上の義務となり, また,速報及び確報という2段階において報告期限が定められた点に留意が必要となる  Ⅵ結びに代えて

コロニアル社の事案から分かるとおり,ランサムウェア攻撃は,もはや企業の事業継続を脅かすリスクとなっている。また,その増加背景を踏まえると,「When, not if (発生するかどうかの問題ではなく,発生することを前提としていつ発生するか)」というレベルのリスクとして認識する必要がある

実際にランサムウェア攻撃を受けた企業のインシデントレスポンスに携わっている筆者の実務経験上,ランサムウェアへの対応は,身代金

の支払い期限として指定された短期間での,経営層を中心とした総力戦となる。また,海外の関連会社が被害を受けた際には,留意すべきレギュレーションが増えるため.その対応は更に難易度が上がる ランサムウェア攻撃による被害実態と法的留意点の現状整理として本稿が国際法務担当者の一助となれば幸甚である