サイバー攻撃の「被害者」なのに損害賠償？ 中小企業を襲う意外な法的リスク

GMOインターネットグループが

不正アクセスを受け

 

 

約79億円もの金銭を要求された

というニュースが話題になっています。

 

 

サイバー攻撃を受けた会社は

当然「被害者」ですが

 

 

顧客情報が流出すれば

損害賠償を請求されることも。

 

 

中小企業にとっても

決して他人ごとではない

情報漏洩の法的リスクとは？

 

 

（今日の「棒人間」　不正アクセス？？）

＜毎日更新2002日目＞

相次ぐ不正アクセス事件

 

最近

企業に対する不正アクセスの

ニュースが相次いでいます。

 

 

直近でも

GMOインターネットグループが

不正アクセスを受け

 

 

攻撃者側から約79億円の金銭を

要求されていたとの報道がありました。

 

GMO不正アクセス、クラウド集中管理に死角　生活インフラも危険迫る

 

 

こうしたニュースを見て

「うちは小さな会社だから

サイバー攻撃なんて関係ないよ」

 

 

と思われる中小企業の社長も

おられるかもしれません。

 

 

しかし

今の時代は会社の規模に関係なく

 

 

サイバー攻撃の標的になる

可能性があります。

 

 

 

たとえば

社員数10名程度の会社でも

 

 

顧客の氏名、住所、電話番号

メールアドレスなどを大量に保有

していることがあるでしょう。

 

 

また

最近では

 

 

顧客情報や取引先情報などについて

クラウドで管理している会社も

多いと思われます。

 

 

このクラウドサービスも

管理者のIDやパスワードを盗まれたり

不正アクセスを受けたりすれば

 

 

大量の情報が一度に流出する

危険があります。

 

 

要するに

サイバー攻撃は

 

 

必ずしも一部の大企業だけの

問題ではないということです。

 

 

 

不正アクセスの「被害者」なのに損害賠償？

 

では

もし中小企業が不正アクセスを受け

 

 

顧客の個人情報などが

流出してしまった場合

 

 

法律上はどのような問題が

生じるのでしょうか？

 

 

この点で

まず問題となるのが「個人情報保護法」

という法律です。

 

 

この法律では

個人情報を取り扱う事業者に対して

 

 

情報漏洩などを防止するために

必要かつ適切な安全管理措置を

講じることを義務づけています。

 

 

たとえば

といった状態であれば

情報管理体制に問題があると

判断される可能性が高いでしょう。

 

 

また

一定の情報漏洩事故については

個人情報保護委員会への報告や

 

 

（漏洩した個人情報の）本人への

通知も必要となってきます。

 

 

その上

漏洩した個人情報の本人などからは

損害賠償を請求されるおそれもあります。

 

 

会社としてみれば

と思うかも知れません。

 

しかし

会社が適切な安全管理措置を怠っていた

ために情報漏洩が発生したのであれば

 

 

民事上の損害賠償責任を問われる

可能性があるのです。

 

 

そして

流失した個人情報が大量であれば

損害賠償額も大きくなります。

 

 

カーシェアの「タイムズカー」では

例の不正アクセス事件で

 

 

被害者1人あたり3000円の現金

または金券を「お見舞い」として

渡すと公表しているようです。

 

 

この事件では

被害者の数が約146万人ですから

 

 

ざっと約43億8000万円の支出（！）

となります。

 

 

これはあくまで大企業の話ではありますが

サイバー被害に遭った会社が

 

 

さらに顧客への賠償という「ダブルパンチ」

を喰らうことがあるということです。

 

 

 

 

 

 

 

中小企業が「裁判沙汰」を防ぐためにやるべきこと

 

それでは

中小企業としては

 

 

どのような対策をして

おくべきでしょうか？

 

 

まず第一は

自社がどのような個人情報について

 

 

どこで誰が管理しているかを

把握することです。

 

 

そして

顧客情報へのアクセス権限を

必要な社員に限定し

 

 

多要素認証を導入するなど

不正アクセスを防止する仕組みを

整えることが重要です。

 

 

また

クラウドサービスなどの外部業者に

 

 

個人情報の取り扱いを委託

している場合も

 

 

すべて業者任せにして良い

わけではありません。

 

 

上記の個人情報保護法では

委託元は

 

 

委託先に対する必要かつ適切

な監督義務があるとされて

いるからです。

 

 

そのため

委託先の安全管理体制を確認するとともに

契約書でも

 

 

情報漏洩が発生した場合の報告義務や

責任分担などを明確にしておく

必要があります。

 

 

さらに

万が一情報漏洩が発生した場合に備えて

 

 

社内の対応マニュアルなどを整備

しておくことも大切です。

 

 

サイバー攻撃を100％防ぐということは

残念ながら難しいでしょう。

 

 

だからこそ

「絶対に情報を漏洩させない」

という発想だけではなく

 

 

「万が一漏洩しても

被害や法的リスクを最小限に抑える」

という発想が重要だと思いますね。

 

 

情報セキュリティーも

会社や顧客を守るための

重要な経営課題です。

 

 

そうした捉え方こそが

無用な「裁判沙汰」を防ぐことにも

つながると思いますね。

 

 

それでは

また。

 

 

 

 

 

◾️裁判しないで解決するノーリスクプロモーター・弁護士　吉田悌一郎のプロフィール

 

◾️あなたのお悩み解決・法律相談/なんでも相談サービス

 

◾️あなたの会社のトラブルを予防します〜あんしん法務ガード（顧問契約）

 

◼️「裁判沙汰」を予防する、契約書作成・リーガルチェックサービス

 

◾️弁護士による通知書（内容証明）作成・発送サービス

 

◾️メールによる法律相談サービスについて

 

◾️YouTube（渋谷の弁護士・吉田悌一郎の中小企業ビジネス法務チャンネル）

 

◾️Voicy（裁判しない弁護士のトラブル解決ラジオ）

 

◾️あなたの声をお聞かせください

 

 

 

 

 

活動ダイジェスト