セキュリティ被害等の有事における利害関係者・当局対応

1　IoT機器のセキュリティリスク

スマートフォンやタブレット、スマートロック機器、スマート家電、監視カメラなどの我々の生活をより便利にするIoT機器や、スマートロボットなど製造現場や医療現場等の企業活動において作業を効率化するIoT機器などが、社会生活の多くの場面で活用されており、今後もその傾向は継続することが予想されます。

このように、現代社会において必要不可欠ともいえるIoT機器ですが、ユーザーおよびメーカーにとってはセキュリティリスクがあるのも事実です。

1-1　IoT機器のユーザーにおけるリスク

近年、IoT機器をボットネット化（※）し、これをサイバー攻撃の踏み台（攻撃の中継）としてDDoS攻撃（分散型サービス拒否攻撃）を行う事例等の発生が報告されています ¹。ルーターやネットワークカメラなどのIoT機器については、出荷時のパスワードが機器ごとに共通になっている場合があり、ユーザーがそうしたパスワードを変更しないケースが散見されます。また、セキュリティの強化や不具合の修正に不可欠なファームウェアのアップデートが不十分であるケースも見受けられます ²。

（※）ボットネット：攻撃者に乗っ取られた複数の機器から構成されるネットワーク（出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威2025 組織編」25頁（2025年2月）

さらに、攻撃者がIoT機器を乗っ取ったうえで、LAN（Local Area Network）へと侵入することで、個人情報や機密情報が漏えいしたり、私生活が第三者に閲覧または公開されたりしてしまうリスクも指摘されています ³。

1-2　IoT機器のメーカーにおけるリスク

メーカーは、自社が提供するIoT機器のセキュリティリスクが顕在化した場合、IoT機器の販売やサービス提供を停止せざるを得なくなるといった事態が生じることがあります。そのような事態が生じると、本来得られたはずの利益が得られなくなることはもちろん、情報漏えいや損害に対する賠償責任が問われるリスクが発生したり、製品競争力が低下したり、信用・レピュテーションへの悪影響が生じたりするなど、様々な負の影響を受けかねません ⁴。

このような影響を踏まえると、IoT機器に対するサイバー攻撃等のインシデントが発生した場合、メーカーとしては、法的な対応が必須となることがわかります。そのため、メーカーがIoT機器のセキュリティ対策に取り組むうえでは、セキュアなIoT機器を製造販売するという技術的な側面からの対応に加えて、法的な側面からの対応も検討・把握しておくことが重要となります。そこで以下では、メーカー側の有事における法的対応について具体的に説明します。

2　IoT機器のメーカーがとるべきセキュリティリスク対応の大枠

2-1　有事・平時の対応の必要性

本稿では主に、IoT機器のメーカーにおいてサイバー攻撃などによるインシデントが発生した場合を想定して、その有事対応について具体的に説明します。

なお、IoT機器メーカーに求められるセキュリティリスク対応には、有事だけでなく、平時のものも含まれます。もっとも、平時における具体的な対応は、有事における対応から逆算して有事に至るリスクを低減したり、有事に備えるにはどのような対応が必要かという視点で考えたりできるものが多いといえます。そのため、まず、有事における対応から検討することは、平時における対応について考えるのにあたっても有用といえます。

2-2　有事の具体的な対応項目

サイバー攻撃などによるインシデント発生時のIoT機器メーカーにおける有事対応としては、①利害関係者対応、②当局対応、③損害賠償請求等への対応、④リコール等への対応（必要な場合）があげられ、その内容は次の表のとおりです。

対応項目	対応の概括的内容
① 利害関係者対応	復旧対応 説明対応 補償対応
② 当局対応	警察対応 IPA・JPCERT/CC対応 個人情報保護委員会対応（プライバシーマーク付与事業者への特則も含みます。）
③ 損害賠償請求等への対応	債務不履行責任 不法行為責任 製造物責任 役員等の会社に対する損害賠償責任（会社法423条1項）
④ リコール等対応	リコール等によるIoT機器の回収対応等

以下では、これらのIoT機器メーカーに求められる各対応のうち、まず、①利害関係者対応と②当局対応について説明し、次回において、③損害賠償請求等への対応、④リコール等への対応について説明します ⁵。

3　利害関係者対応

メーカーのビジネス形態がBtoBの場合、サイバー攻撃などによるインシデントの発生により、顧客企業に財産的損害が生じるなどの事態が考えられます。

また、ビジネス形態がBtoCである場合や、BtoBであっても、顧客企業がIoT機器を一般消費者（エンドユーザー）に販売していたり、そのIoT機器を用いたサービスを提供していたりする等の場合には、インシデントの発生によって、一般消費者の個人データの大規模漏えいや、クレジットカード情報の漏えいによる財産的被害等が発生する事態もあり得るところです。

このように、IoT機器にまつわるインシデントが発生すると、利害関係者が多数に及ぶ可能性があり、メーカーとしては、こうした利害関係者への対応が重要な柱の１つとなります。

3-1　復旧対応

インシデントの内容によっては、IoT機器の機能や、機器を通じたサービスが一時的に停止するなどの事態が発生することが想定されます。

メーカーは、このような事態への復旧対応が遅れるなどした場合に、ユーザーの事業運営に支障が生じたり、一般消費者がIoT機器を利用できなかったりすることによって、契約不適合責任を含む、債務不履行責任 ⁶ や不法行為責任 ⁷ 等を負うとともに、信用失墜等が生じるリスクもあります。そのため、機能やサービス提供の制限の早期解除といった、早期の復旧対応は、ビジネス上の観点のみならず、法的な観点から見ても、メーカーの重要な対応の１つとなります。

もっとも、早期の復旧対応が必要であるとはいえ、性急に復旧をしても、追加でサイバー攻撃等を受け得るほどに脆弱な状態が継続すると、被害や損害の範囲が当初以上に広範囲になるリスクもあります。そのため、インシデントに対する必要なアクション（封じ込めや根絶を含む）を踏まえた復旧とすることもまた重要です ⁸。

3-2　説明対応

メーカーがIoT機器にまつわるインシデントを検知した場合、その直後から、顧客企業や一般消費者に対する事情説明等の対応をとる必要が生じます。IoT機器が量産品の場合においては、こうした説明等を多数の相手（顧客企業や一般消費者等）に対して実施しなくてはならないことも想定されます。

前述のとおり、IoT機器にまつわるインシデントが発生すると、多数の利害関係者に対する損害賠償責任が発生する可能性があり、説明対応は、正確な事実関係を前提に慎重に行う必要があります。そこで、早期にそのインシデントにおける自社の法的な位置づけを正確に理解するべく、復旧対応と並行して、インシデントの原因や影響範囲の調査・分析を行うことが必須となります。

事実関係の調査自体は、PSIRT/CSIRT等のセキュリティ担当者を中心に、セキュリティベンダー等の専門家を起用のうえ進めることになります。加えて、法務部門等を中心に、弁護士を交えて、早期にそのIoT機器に適用される契約関係や法令等を分析し、利害関係者との間の法的リスクの範囲や内容、性質等を洗い出しておくことも重要です。また、説明内容の検討および決定にあたっては、各利害関係者との関係性を理解する営業部門や、広報部門など、組織の各部門の連携が重要となります。

説明対応にあたって留意すべき点としては、大きく以下の3点があげられます。

事案の早期かつ穏当な収束のためには、自社の対応方針を迅速に決定し、なるべく統一的に情報発信を行うことが重要です。その意味では、利害関係者への説明文書、問い合わせ対応のFAQなどを、専門家と相談のうえ用意しておくことが重要となります。

なお、説明の際に、調査の結果明らかになった事実関係をすべて説明すると、IoT機器の脆弱性が明確になるなどして、追加的なサイバー攻撃等の端緒となるリスクが考えられます。そのような被害拡大のリスクを最小限にしつつ、利害関係者の理解を得られるような事実関係の説明内容を検討することも必要と考えられますので、専門家への相談の際には、そうしたリスク管理の観点からの検討も織り込むとよいでしょう。

3-3　補償対応

インシデントが収束し、事実関係が明らかになった段階で、それまでに検討してきた問題点を踏まえ、必要に応じて弁護士等の外部の専門家の意見も踏まえながら、補償対応を進めていくことになります。

（1）補償対応の相手

補償対応をすべき相手方は、個別の事案ごとに、インシデントの内容やIoT機器の性質・商流等を踏まえて検討することになります。その範囲は、顧客企業だけではなく、顧客企業の販売代理店や販売店、一般消費者にまで及ぶ可能性があります。

（2）基本方針に沿った補償対応

このように多種多様な利害関係者が存在する関係上、補償対応にあたって重要となるのは、基本方針を決定し、その方針に沿って統一的に交渉を進めていくことです。基本方針の決定にあたっては、利害関係者を類型化するなどしたうえで、その類型に従った方針検討が必要となることもあります。そのため、法務部門や営業部門といった組織内部の部門間における意思疎通に加えて、弁護士等の専門家の助言を得ながら検討を進めることが重要となります。

また、基本方針に従った補償対応をするとしても、交渉状況によっては、利害関係者ごとに柔軟な対応が求められることもあり得ます。このような対応は、個別事情に応じた対応であって、必ずしも一般化できるものではないことから、そうした柔軟な補償内容について利害関係者と合意する場合には、合意書において、合意内容について正当な理由がない限り外部に開示しないといった秘密保持条項を設けることも重要となります。

（3）基本方針を決定するためのポイント

補償対応における基本方針を決定するにあたっては、次の点に留意する必要があります。

具体的な事実関係を踏まえた法的検討が不可欠である

まず、補償対応にあたっては、誰に対して、どのような法的根拠に基づく補償責任を負うかについての検討が不可欠であるという点です。

補償に関する法的根拠は複数考えられます。具体的な法的根拠は第2回で説明しますが、債務不履行責任、不法行為責任、製造物責任などが考えられます。これらの法的根拠に基づく補償責任の検討においては、①自社が負う義務の内容や、②IoT機器の不具合（欠陥）の内容を検討しておくことが必要となります。

①②はいずれも抽象的な概念であり、事案に応じて設定されます。たとえば、①義務の内容としては、顧客企業との関係ではIoT機器を利用したサービスの安定的な提供義務、販売代理店との関係ではIoT機器の注文に応じた供給義務、一般消費者との関係では個人データの安全な管理保存義務があり得ます。②欠陥の内容としては、IoT機器のセキュアな設計が不十分であるという設計上の欠陥があり得るところです。

そのため、誰に対して、どのような法的根拠に基づく補償責任を負うかを検討するにあたっては、具体的な事実関係を踏まえ、弁護士等の専門家の助言も得ながら、事案に応じて義務や欠陥の内容およびそれらの違反の有無について、相手方となる利害関係者から主張されるであろう具体的な内容を可能な限り想定して補償責任を検討することが重要であり、そのような検討結果を踏まえて補償対応の基本方針を決定することになります。

補償対応は交渉場面でもある

次に、補償対応は、メーカーと利害関係者との間の考え方の相違が顕在化し、利害対立が生じ得る場面でもありますが、訴訟とは異なり、交渉場面でもあります。

たとえば、契約書に損害賠償の免責条項があり、本件がその条項が定める場合に該当するとの判断に至ったとしましょう。メーカー側が、その免責条項を根拠として、絶対的に責任を負わないため補償対応は一切しないという態度を明確にしてしまうと、かえって紛争リスクを増大させたり、メーカーとしての信頼やレピュテーションに悪影響が生じたりするリスクもあります。

そのため、補償対応においては、代替的な対応手段を検討して提示したり ⁹、メーカーとしての考えを示しつつ、早期解決の観点からの補償対応を提示したりする ¹⁰ といった対応を検討するのも、早期解決のために有効な手段であると考えられます。

なお、補償対応の基本方針とは異なる柔軟な解決による合意が成立した等の場合には、合意書において秘密保持条項を設けることが重要であることは、先に説明したとおりです。

4　当局対応

インシデントの発生を検知した場合、警察、独立行政法人情報処理推進機構（以下「IPA」といいます）、一般社団法人JPCERTコーディネーションセンター（以下「JPCERT/CC」といいます）、個人情報保護委員会、その他の監督官庁等への対応を検討する必要があります。これらの機関への対応について、具体的に説明します。

4-1　警察対応

インシデントが発生した場合、警察に対して情報を提供し、対応についての助言やサポートを受けることは、事案の解決に繋がるのみならず、利害関係者に対して誠実にインシデント対応を行っていることを説明する意味においても、非常に重要です。

警察庁は、サイバー事案に関する相談窓口に関するサイトを設けており、そのサイト中にオンライン受付窓口も設けています ¹¹。また、全国の都道府県警察もサイバー犯罪相談窓口を設けています ¹²。

具体的な対応の進め方は、事案に応じて様々あり得ますが、まずは、迅速にオンライン受付窓口への相談を行い、そのうえで、所轄警察署への被害相談に進むことが実務上よく行われます。

4-2　IPA・JPCERT/CC対応

サポートを得るという点では、IPAやJPCERT/CCの積極的な活用を検討することが望まれるとともに、できる限り早期に連携することが重要です。

IPAは、標的型サイバー攻撃を受けた場合の対応を支援するサイバーレスキュー隊（J-CRAT）を運営しており、標的型サイバー攻撃を受けた場合の相談窓口や、標的型サイバー攻撃以外のセキュリティに関する組織・個人向けの相談窓口、不正アクセス等に関する届出窓口を設けています ¹³。

また、JPCERT/CCも、被害組織からのインシデント相談・情報提供を受け付けています ¹⁴。

4-3　個人情報保護委員会対応

（1）個人情報保護委員会への報告、本人への通知が必要となる場合

IoT機器の中には、個人データを保存しているものがあり、このような機器に対するサイバー攻撃等によるインシデントにおいては、個人データの漏えい等のおそれが生じることがあります。この場合、メーカーとしては、個人情報保護法26条に基づき、個人情報保護委員会への報告および本人への通知を行うことが求められる場合があります。

なお、個人情報保護委員会が報告を受ける権限を委任している場合、その委任を受けている府省庁に対する報告が必要となります ¹⁵。

また、一定の業務分野については、別途ガイドラインが設けられていることがあり、そのガイドラインに基づく報告等が必要になる点には注意が必要です。個人情報保護委員会のホームページにも、特定分野ガイドラインをまとめたページが設けられています ¹⁶。

報告対象事態の具体例

このような報告および通知が求められる場合とは、具体的には「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」¹⁷ が発生した場合であり、個人情報保護委員会規則で定める内容は、次の表のとおりです（以下「報告対象事態」といいます）¹⁸。

項目	具体例
① 要配慮個人情報が含まれる個人データの漏えい等またはそのおそれ	患者の診療情報等を含む個人データの漏えい 健康診断等の結果を含む個人データの漏えい
② 不正利用によって財産的被害が生じるおそれがある個人データの漏えい等またはそのおそれ	クレジットカード番号を含む個人データの漏えい 送金や決済機能のあるWebサービスのログイン情報を含む個人データの漏えい
③ 不正の目的をもって行われたおそれがある個人データ（当該個人情報取扱事業者が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む）の漏えい等またはそのおそれ	不正アクセスによる個人データの漏えい ランサムウェアによる個人データの暗号化及び復号不能 端末が情報を窃取するマルウェアに感染し、端末と個人情報取扱事業者のサーバが通信してマルウェアに感染したことによる個人データの漏えい
④ 本人の数が1,000人を超える個人データの漏えい等またはそのおそれ	システム設定のミスによって個人データがインターネット上閲覧可能となっており、その本人の数が1,000人を超える場合

個人事業取扱事業者として講じるべきその他の措置

また、このような個人データの漏えい等が発生した場合、「個人情報の保護に関する法律についてのガイドライン（通則編）」は、個人事業取扱事業者に対し、個人情報保護委員会への報告および本人への通知以外にも、次のような措置を講じることを求めています ¹⁹。

項目	具体的内容
① 事業者内部における報告および被害拡大防止	責任ある立場の者にただちに報告するとともに、漏えい等の事案による被害が発覚時よりも拡大しないよう必要な措置を講じる。
② 事実関係の調査および原因の究明	漏えい等の事案の事実関係の調査および原因の究明に必要な措置を講じる。
③ 影響範囲の特定	上記②で把握した事実関係による影響範囲の特定のために必要な措置を講じる。
④ 再発防止策の検討および実施	上記②の結果を踏まえ、漏えい等の事案の再発防止策の検討および実施に必要な措置を講じる。

（2）個人情報保護委員会への報告事項（速報と確報）と報告主体に関するケーススタディ

速報・確報で報告すべき事項

報告に関する詳細は、次の表のとおりです ²⁰。

項目	期限	具体的内容
① 速報	報告対象事態を知った時（※）から概ね3～5日以内 21 （※）個人情報取扱事業者が法人の場合は、いずれかの部署が報告対象事態を知った時点が基準です 22。	下の箇条書きに記載の各事項を報告 報告しようとする時点において把握している内容を報告 ⇒期限内の報告を目指すことになります。
② 確報	報告対象事態を知った日（※）から30日以内（サイバー攻撃等の場合は60日以内） （※）①と同様、個人情報取扱事業者が法人の場合は、いずれかの部署が報告対象事態を知った時点が1日目として扱われます 23。	下の箇条書きに記載の各事項を報告 報告事項のすべてを報告する必要あり（合理的努力をして未判明なら、できる限りの内容を報告し、判明し次第、報告を追完）24

報告主体に関するケーススタディ（ケース1：個人情報の取扱委託を受けている場合）²⁵

個人情報保護法26条1項本文は、報告の主体を個人情報取扱事業者としていますが、個人情報取扱事業者（以下「委託先A」といいます）が、他の個人情報取扱事業者（以下「委託元B」といいます）から個人データの取扱いの全部または一部の委託 ²⁶ を受けているケースも実務上は多くみられます。

このケース1において、委託対象となっている個人データについて報告対象事態が生じた場合、委託先Aと委託元Bの双方がその個人データについての個人情報取扱事業者として、個人情報保護委員会に対する報告義務を負います（委託先Aと委託元Bの連名で報告をすることも可能です ²⁷）。

もっとも、このような個人データの委託のケースで、委託先Aが、報告対象事態が生じた旨を委託元Bに通知したときは、委託先Aは、個人情報保護委員会に対する報告義務（および本人への通知義務）を免除されます ²⁸。

すなわち、委託先Aは、報告対象事態を知った後速やかに、委託元Bに対し、上記①から⑨までの事項のうち、その時点で把握しているものを通知することが、委託先Aの報告義務免除の要件とされます ²⁹。ここでいう「速やかに」とは、委託先Aが報告対象事態の発生を知った時点から概ね3～5日以内と解されています ³⁰。

委託元Bは、委託先Aからそのような通知を受けた時点から速やかに、個人情報保護委員会への報告（速報）をする義務を負うことになります。ただし、委託先Aは、報告義務を免除されるだけであり、委託元Bの個人情報保護委員会への報告にあたり、事態の把握を行うとともに、委託元Bの報告に協力することが求められます ³¹。このため、委託先Aは、委託元Bに通知事項を通知すれば足りるというわけではないことに留意が必要です。

ケース1でいえば、メーカーは、顧客企業へ通知することによって個人情報保護委員会への通知義務を免れる余地があるとしても、依然として、顧客企業の個人情報保護委員会への報告に協力すべき立場にあるということになります。

報告主体に関するケーススタディ（ケース2：委託契約において個人情報を取扱わないものとしている場合）

ケース2では、メーカーは個人データを取り扱わないこととなり、顧客企業から個人データの取扱いの委託を受けていないことになるため、報告対象事態が生じた場合でも、個人情報保護委員会への報告義務を負うのは顧客企業のみとなり、メーカーには報告義務はないことになります。したがって、メーカーから顧客企業に対する通知義務 ³³ もありません。

もっとも、このような場合においても、顧客企業が、メーカーに対し、報告の代行を求めることもあり得ます。メーカーは、顧客企業に対して報告対象事態の発生を通知する等の適切な対応を求められることがあり ³⁴、実務上、このような求めがある場合も相応に多く、そうした求めがあった場合には、メーカーが対応しているケースも多いと思われます。

このように、個人情報保護委員会に対する報告をする主体は、原則として顧客企業であるとしても、代行報告を求められてメーカーが対応する必要が生じる場合もあり得ます。こうした可能性を考慮したとき、報告対象事態が生じた場合における報告体制を契約等において明確化しておかないと、誰が報告をするかでトラブルになり、期間的に非常にタイトな速報や確報が遅延してしまうなどの事態が考えられます。

そのため、顧客企業がIoT機器を用いたサービスを提供し、個人データをメーカー提供のサーバに保存するようなケースにおいては、そのような保存が個人情報の第三者提供に該当するか否かについて、あらかじめ検討しておくことが望ましいでしょう。また、報告対象事態が生じた場合における報告主体についても契約で明確に定めておく必要性が高いといえます。

（3）本人への通知の内容と方法

本人への通知は、報告対象事態の状況に応じて速やかに行うことが求められます ³⁵。なお、個人データの取扱いの委託がある場合については、委託先Aの通知義務が免除される場合があることは、上記ケース1のとおりです。

本人通知の方法は、郵便による文書の送付、メールの送信など、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければなりません ³⁶。また、本人への通知が困難である場合には、代替措置によることが認められています。具体的には、事案の公表のほかに、問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているかを確認できるようにする方法などがあり得ます ³⁷。

本人への通知事項は、4-3（2）で記載した、個人情報保護委員会への報告事項のうち、①、②、④、⑤、⑨です。

4-4　プライバシーマーク付与事業者に求められる対応

プライバシーマーク（下図）とは、日本産業規格「JIS Q 15001個人情報保護マネジメントシステム－要求事項」に準拠した「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」に基づいて、プライバシーマークに関する審査機関が、適切な個人情報保護体制を構築している事業者等を評価のうえ、事業者に対してプライバシーマークを付与し、その事業者等の事業活動に関してプライバシーマークの使用を認める制度です。

（1）関係審査機関への報告、本人への通知、公表が必要となる場合

プライバシーマークの付与を受けている事業者の場合は、プライバシーマーク付与に関する規約上、取り扱う個人情報について以下の事象が生じた場合は、関係審査機関への報告、および本人への通知および公表が求められます ³⁸。

（2）個人情報保護委員会対応との差分

一般財団法人 日本情報経済社会推進協会（JIPDEC）等の関係審査機関への報告については、速報と確報（ただし、30日以内）の2段階で関係審査機関への報告が求められます。

このため、プライバシーマークの付与を受けている事業者の場合は、「個人データ」の漏えい等が発生した場合のみならず、「個人情報」の漏えい等が発生したにとどまる場合においても、関係審査機関への報告および本人への通知等が求められることに留意が必要です。

また、同規約における「事故等」の範囲は、上記のとおり、報告対象事態とは一致せず、より幅広い事項が該当する点についても注意が必要です。

---