「経営者の喫緊の課題 新たなサイバーリスクへの向き合い方」の版間の差分

{{pathnav|ビジネス法務|frame=1}}

'''経営者の喫緊の課題 新たなサイバーリスクへの向き合い方'''（けいえいしゃのきっきんのかだい あらたなさいばーりすくへのむきあいかた）とは、[[山岡裕明(弁護士)|山岡裕明]]が「[[ビジネス法務]]」2018年9月号（特集2 サイバーセキュリティをめぐる法務対応）に連載したコラムである<ref>{{Archive|http://www.chuokeizai.co.jp/mag/bjh.html|https://archive.vn/DM58k|ビジネス法務バックナンバー}}</ref>。

[[ネットリテラシー検定機構]]のお知らせ・トピックス一覧により連載開始が明らかとなった<ref>{{Archive|https://ssl.net-literacy.org/topics/20180723-2/|https://archive.vn/dJyTh|当機構の理事の山岡裕明氏が執筆した連載記事がビジネス法務2018年9月号に掲載されました。 - ネットリテラシー検定機構}}</ref>。

本文のPDFファイル：[[:ファイル:180824_2339_001.pdf]]

== 本文 ==

=== I 新たなサイバーリスクとサイバーセキュリティの重要性 ===

　サイバー攻撃が多様化し，新たなセキュリティインシデント<ref group="注"><!--1-->「インシデント」とは，「中断・阻害，損失，緊急事態又は危機になり得る又はそれらを引き起こし得る状況」と定義される（ISO22300：2012）。</ref>が次々と発生している。典型的なセキュリティインシデントとしては2014年6月に発生した株式会社ベネッセコーポレーションにおける個人情報の漏えい事案（以下「ベネッセ事件」という）に代表される，内部者による情報の持出し事案である。

　ところが，近年のセキュリティインシデントの多くは，外部者によるサイバー攻撃を原因としており，その被害の内容は，情報<ref group="注"><!--2-->個人情報，宮業秘密，それら以外の価値のあるデータを含む。</ref>の毀損および漏えいから，不正アクセスによる仮想通貨の流出やインターネットバンキングに係る不正送金といった経済的価値そのものの損害へと広がっている。さらに，ネットワークおよび電子データを前提にますます多くのサービスが構成されていくことを考えるとサービス・インフラの機能障害や，IoT機器の誤作動といった社会経済機能への障害へと被害が拡大することが想定される（【図表】参照）。

=== II 近時の法規制・法改正の動向 ===

　サイバーリスクの高まりを受け，近年サイバーセキュリティに関する法改正が積極的に行われている。詳細は別稿「サイバーセキュリティ関連法の改正動向」を参照いただくとして，以下には直近に成立した法改正の概要を紹介する<ref group="注"><!--3-->サイバーセキュリティ基本法の一部を改正する法律案が平成30年3月9日に第196回通常国会に提出されたが本稿執筆時点において成立に至っていないので本稿では割愛する。改正の詳細は，別稿「サイバーセキュリティ関連法の改正動向」を参照されたい。</ref>。

==== 1 電気通信事業法及び国立研究開発法人情報通信研究機構法の改正 ====

=== III 企業・役員の責任  ===

　かつては，情報漏えい事案において，主に情報漏えいを招いた企業の法的責任が問題となってきたが<ref group="注"><!--4-->情報漏えい事案において法人の責任が問題となった主な裁判例については，拙稿「[[サイバーセキュリティと企業法務]]」[[ビジネス法務]]2017年10月号～2018年1月号を参照されたい。また，役員の法的責任の根拠については同じく拙稿「[[情報漏えいと取締役の情報セキュリティ体制整備義務]]」中央ロー・ジャーナル14巻3号を参照されたい。</ref>，近年のセキュリティインシデントの事案では，企業のみならずその役員も，損害賠償請求事件の被告として法的責任が問われるようになっている<ref group="注"><!--5-->ベネッセ事件において，ベネッセの役員に対して株主代表訴訟が提起されている。また，2018年1月28日に国内仮想通貨取引所コインチェック社から大量の仮想通貨が流出した事件において，複散の訴訟において，同社の役員も被告となっている。</ref>。

=== IV セキュリティインシデントに対するリスクマネジメント ===

　一般的にリスクマネジメントとは，リスクについて組織を指揮統制するための調整された活動をいう。企業経営の文脈では，企業経営に伴うさまざまなリスク（自然災害リスク，交通事故や労災事故等）が顕在化すると経済的損失が発生する可能性があり，事業継続に影響を与えかねないのでこれらのリスクを適切に管理するための活動をいう。会社法においても，リスクマネジメントは「内部統制のフレームワークを示すもの」と考えられており<ref group="注"><!--6-->2003年6月付経済産業省「リスク新時代の内部統制」報告書。</ref>，リスクマネジメント（リスク管理）体制は，内部統制システムのうち「損失の危険の管理に関する規程その他の体制（会社法施行規則100条1項2号）に位置づけられる<ref group="注"><!--7-->平成28年8月2日付内閣官房内閣サイバーセキュリティセンター「企業経営のためのサイバーセキュリティの考え方」1頁は，サイバーセキュリティについて「セキュリティリスクの管理も，会社法において取締役会の決議事項になっている『内部統制システム撮築の基本方針』の中に含まれると考えられる」とする。</ref>。

　ここでいうリスクにサイバーセキュリティ上のリスクを含めるというものである。リスクマネジメントの代表的なフレームワークとして，リスクアセスメント→リスク対応というステップがある。リスクアセスメントとは，リスクの特定，分析，評価を行うものであり，このリスクアセスメントをふまえ，リスク対応がとられる。そしてリスク対応には，リスクの低減（最適化），移転，保有（受容），回避という4つの対応方法がある<ref group="注"><!--8-->JIS Q 31000：2010（ISO31000：2009）ではリスク対応として，①リスクを生じさせる活動を，開始または継続しないと決定することによって，リスクを回避すること，②ある機会を追求するためにリスクをとるまたは増加させること，③リスク源を除去すること，④起こりやすさを変えること，⑤結果を変えること，⑥1つ以上の他者とリスクを共有すること（契約およびリスクファイナンシングを含む），⑦情報に基づいた意思決定によって，リスクを保有すること，の7つが示されているが，①は回避，②～⑤は低減（最過化），⑥は移転，⑦は保有に分類することもできる。</ref>。

　サイバーセキュリティ分野においても，サイバー保険がある。セキュリティインシデントが発生した場合対策に要する諸費用（主に調査費用，弁護士費用）および損害額が高額となることが少なくないため，サイバー保険によるリスクの移転は有効なリスクマネジメントの手段となる<ref group="注"><!--10-->米国では，証券取引委員会（SEC）が，サイバーリスク戦略の一環としてサイバー保険への加入を推奨している。</ref>。

 

 

 

 

 

 

<references group="注" />

== 関連項目 ==

* [[山岡裕明(弁護士)|山岡裕明]]

* [[ネットリテラシー検定機構]]

<references />

{{山岡裕明}}

{{デフォルトソート:けいえいしやのきつきんのかたいあらたなさいはありすくへのむきあいかた}}

[[カテゴリ:山岡裕明]]

[[カテゴリ:資料]]

{{広告}}