｢サイバーリスク｣に備えた契約書上の重要項目
取引先と契約書を交わす際、ある項目に注意すれば、サイバー攻撃に起因する賠償額をかなり抑えられる可能性が高まる（写真： freeangle / PIXTA）
「この2年ほどで、ゲームチェンジが起きたといえるほどサイバー攻撃の脅威は増大した」と警鐘を鳴らすのは、サイバーセキュリティに詳しい八雲法律事務所 代表弁護士の山岡裕明氏。
今や、1度被害を受けると損害賠償を取引先から請求されたり、契約を解除されるなど、事業継続が危ぶまれるおそれも十分にあるという。こうした事態に備えてどのような法務対策をとるべきか、山岡氏に聞いた。
今や事業継続を脅かすほどの経営リスク
――サイバー攻撃が激化しています。企業におけるサイバーリスクはどう変化していますか。
サイバーリスクというと、従来は個人情報漏洩が問題でしたが、2020年頃から本格化したランサムウェア攻撃がゲームチェンジを起こしました。ランサムウェアが狙うファイルサーバーには、個人情報だけでなく、財務情報や技術情報、取引先と機密保持契約を締結したうえで受領した計画書や設計図など機密性が高いものも含まれるからです。
ランサムウェア攻撃は、「身代金を支払わなければ機密データをすべて公開する」という脅迫を行います。機密データが公開されれば、取引先から損害賠償請求を受けたり、取引停止や契約解除をされたりする事態に発展しかねません。
しかもランサムウェア攻撃では、ドキュメントファイルだけでなく電子ファイル全体が暗号化されるリスクがあります。パソコンのOSやアプリケーション、基幹系や情報系、制御系などのシステムはすべて電子ファイルで構成されていますので、DX化でビジネスの基盤となったITインフラ全体が止まり、事業継続が脅かされます。この点でいえば、もはやサイバー攻撃は最上位の経営リスクといえるのです。
｢経営者の認識の甘さ｣が対策不足に直結している
――山岡さんはサイバーセキュリティに特化した企業支援をされていますが、経営者はサイバーリスクの増大に気づいているのでしょうか。
サイバーリスクについての認識については、残念ながら、まだ過渡期だと思います。企業の役員研修で「サイバーリスクといえば何が思い浮かびますか？」と聞くと、「個人情報の漏洩」という回答が多数を占めます。
おそらく、約10年前に大手企業が数千万件の個人情報漏洩事件を起こした印象が強いのでしょう。サイバーリスクが個人情報の漏洩に留まるならば事業継続に直接影響するわけではありません。その意味で、現状サイバーリスクは過小評価されています。サイバー攻撃で企業が傾くかもしれないという認識はまだ十分に浸透していない状況だと思います。
東洋経済Tech×サイバーセキュリティのトップページはこちら
サイバーリスクを過小評価している企業は、セキュリティへの投資について消極的です。十分に人材を確保していなかったり、予算を充てていなかったり。それでは防げるものも防げません。事業継続を脅かすほどのリスクなのに、経営者の認識が十分ではないことに起因して、適切な体制・予算が整えられていない企業が、規模や業種を問わずまだ多い印象です。
例えば、警察庁の公表データによると、ランサムウェア被害の7割以上がVPN機器からの侵入です。
これを見ると、ランサムウェア攻撃の対策としてはVPN機器の対策、具体的に言えば脆弱性の管理と他要素認証の導入が極めて重要になります。実は、これらは追加コストをかけずに比較的容易に導入できます。それにもかかわらず、ランサムウェア攻撃による被害が後を絶ちません。やはり、サイバーリスク対策が後回しになっているのでしょう。
ちなみに、ほとんどのランサムウェア攻撃は金銭目的だと推察されます。そして、費用対効果を高めるべく特定の攻撃手法を使い回して効率化を図っているといえます。VPN機器からの被害が7割と攻撃傾向に明確な特徴があるのは、攻撃手法が使い回されていることの証左だと考えます。
不履行や履行遅延の賠償額を抑える契約書の書き方
――物理的・技術的なセキュリティ対策は重要ですが、100％の防御策は難しそうですね。取引先から損害賠償請求を受ける可能性も考えると、どのような法務対策が必要でしょうか。
山岡裕明（やまおか ひろあき） 八雲法律事務所 代表弁護士 第一東京弁護士会 所属 University of California, Berkeley, School of Information修了（Master of Information and Cybersecurity(修士)）。内閣サイバーセキュリティセンター（NISC） タスクフォース構成員（2019〜2020年、2021〜2022）、総務省・経産省・警察庁・ NISC「サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会」検討委員（2022〜2023）。主な著書として「実務解説 サイバーセキュリティ法」
通常、取引先と交わす契約書には「不可抗力条項」が盛り込まれています。自然災害や戦争などの要因で不履行や履行遅延が生じた場合は責任を負わないという内容です。
不可抗力条項は契約上の「重大な例外」で、適用範囲が限定されることが多いので、そもそも明記がなければ、サイバーリスクに起因する損害は不可抗力であったから、当社に責任はないという主張は排斥される可能性が高いでしょう。
そのため、サイバー攻撃を不可抗力事由として明記しておくことは重要です。しかし、現状では明記されている契約書は多くありません。
同じく重要なのは、サイバー攻撃に起因する不履行や履行遅延の賠償額について、「購入額を上限」もしくは「1カ月分の利用料」というように上限を定めておくことです。
上記の2点は自社がサイバー攻撃を受ける場合に備えた規定ですが、取引先がサイバー攻撃を受けることで自社に損害が及ぶことも想定されます。
例えば、サプライチェーンがサイバー攻撃を受ける場合です。そのため、契約書上、取引先に対して、セキュリティ体制の整備を求めたり、有事の際の報告義務を課すことも有用です。その他の具体的な法務対策については、弊所から2023年12月に出版した『実務解説 サイバーセキュリティ法』もご参照ください。
なお、不可抗力事由にサイバー攻撃を盛り込んでいても、その不可抗力を主張するためには、通常考えられる程度のセキュリティ対策を実施していたことが前提となります。契約書上で責任を制限すればセキュリティ対策はしなくていい、ということにはならない点は注意してください。
――特に注意してそうした法務対策をするべき業界はあるのでしょうか。
サイバー攻撃は、規模や業種を問わず直面しうるリスクになりつつあります。その意味ではすべての企業が対策するべきですが、特に注意が必要なのは、ITシステムやWebサイトの開発に携わるベンダーです。
これまで、システム開発の契約書では専ら「システムが動くか動かないか」が重視されていて、セキュリティ対策に関する重要性はあまり意識されてきませんでした。そのため、納品したITシステムやWebサイトがサイバー攻撃を受けた場合に、一次的に損害を被った発注者とベンダーとの間で、セキュリティ対策の役割や責任の分担をめぐる法的紛争に発展することが増えています。
ECサイトがサイバー攻撃を受けてエンドユーザーへの補償やシステムの再構築に費用がかかったとして、当該ECサイトの運営会社が、サイトを制作したベンダーに賠償請求をした裁判例があります。この裁判例では、発注者であるECサイトの運営会社側の請求が7割認容されています。今後、こうした紛争を避けるためにも、セキュリティ対策が発注元と受注側のどちらの役割・責任なのかは明記しておいたほうがいいでしょう。
意思表示が賠償額の減額につながった事例も
――契約の見直しには時間がかかることも考えられます。毎日のようにサイバー攻撃が行われている中で、即効性のある法務対策としてどのようなことが考えられますか。
発注者側とベンダー側の双方にあてはまることですが、メールやチャットでもかまわないので、「セキュリティ対策についてどうすべきか」という意思を示しておくことです。このやりとりを残しておくだけで、賠償額や紛争を抑制できる可能性が高まります。
先ほどのECサイトの裁判例では、ベンダーがサイバーセキュリティに関する対策を提案していたにもかかわらず、ECサイト側が提案された対策を放置していました。これがECサイト側の落ち度として考慮され、3割の過失相殺がなされて、ベンダー側は全額負担を免れています。
――法務部門への確認など、経営者がしておくべきことを教えてください。
経営者は、サイバーリスクの実態と深刻さを正確に認識したうえで、担当部門に対して積極的にコミュニケーションを取ることが重要だと思います。現状ではサイバーリスクが過小評価されているためか、担当部署に丸投げ状態の企業も少なくないでしょう。
例えば、「最近のランサムウェア攻撃はVPN経由が多いと聞いたが、当社のVPNのセキュリティはどうなっているか？」、「重要な取引先との契約においてサイバーリスクに関する賠償制限条項は入っているか？」と積極的にコミュニケーションを取ることで、担当部署も意欲的にアクションを起こすようになります。
もう1つ、経営者がするべきなのが、サイバーリスク版のBCP（事業継続計画）策定です。BCPは、リスクが顕在化した場合の被害を最小限に抑えつつ早期に事業を復旧するための計画です。2011年の東日本大震災で注目を集め、昨今ではコロナ禍でもその重要性が再認識されました。
サイバーリスクも、事業継続を脅かすリスクと位置づけて、同様にBCPを用意しておく必要性は高いと考えます。万が一サイバー被害を受けた際には、情報システム部門、セキュリティ部門、法務、広報、総務・経営企画などあらゆる部門が動かなくてはなりませんから、少なくとも、有事の際のリーダーを誰にするか、指揮系統をどうするかは平時から決めておくべきでしょう。
（高橋秀和 ： ライター）
