タイムズ、日経、佐川急便も 相次ぐ大規模漏えいによる関係機関の注意喚起、法的に「これだけは」やるべき点検・対策を弁護士解説

注意喚起の法的な位置付けと、対応しなかった場合のリスク

今回の各機関の注意喚起は、企業にとってどのような意味を持つと捉えるべきでしょうか。

注意喚起そのものは、新たな法的義務を課すものではありません。しかし、事故後には「その時点で講じるべきだった安全管理措置の水準」を測る物差しになります。注意喚起の後に同じ手口で漏えいが起きれば、「想定外だった」という説明は通りにくくなります。

対応しないまま事故が起きた場合、安全管理措置義務をはじめ法令遵守の観点でどんな影響があり得ますか。

個人情報保護委員会は、2027年4月に確定予定の「個人情報の保護に関する法律についてのガイドライン（通則編）」別添の見直し内容を先取りし、技術的安全管理措置に「不正アクセス等の検知等」を加えた内容を示しました ¹²。確定前ですので、ただちに法違反の基準となるものではなく、検知そのものも新しい考え方ではありません。現行のガイドラインでも、不正アクセス等の防止の手法として、ログの分析による検知がすでに例示されています。ただし、見直し後は、検知が独立した「講じなければならない措置」に位置付けられ、組織内ネットワークでの被害拡大の防止まで求められる点が異なります。また、同委員会の資料「WARNING」は、脆弱性の放置やクラウドサービスの監督不足などへの措置が十分でない場合、法令違反と判断される可能性があるとしています ¹³。

事故が起きれば、不正アクセスによる個人データの漏えい等は、そのおそれがある場合も含め、件数にかかわらず同委員会への報告と本人への通知の対象となり、同委員会から指導や勧告・命令を受け得ます ¹⁴。

民事上は、注意喚起が過失の判断材料です。公表されていた対策を講じなかった開発業者の債務不履行責任を認めた裁判例があります ¹⁵。また、氏名や住所といった基本的な情報の漏えいでもプライバシーの侵害にあたるとされています ¹⁶。取締役については、具体的な手口を示した注意喚起を受けて何もしない場合、リスク管理体制の整備義務違反を問われる余地が生じます ¹⁷。

「緊急点検・是正・体制整備」の3段階で対策

注意喚起や法的観点を念頭に、企業として最低限どのような対策・見直しを、どの程度の期間で行うべきでしょうか。

期間は法令で定められてはいませんが、2週間程度で緊急点検、3か月程度で是正、2027年4月までに体制整備という3段階が1つの目安と考えられます。

緊急点検では、BIツールや社内向けの管理システムを含め外部から到達できるシステムと、部署単位で契約しているものを含むクラウドサービスを洗い出します。独立行政法人情報処理推進機構（IPA）は、ログを直近1か月、次いで3か月と遡っての確認を推奨しています ¹⁸。たとえば、悪用が確認されたアクセスに8月上旬のものも含まれている場合、ログの保存期間が90日であれば、記録は10月末から順次消えていくため、早期の確認と保全が必要です。

あわせて、修正プログラムの適用、不要な管理機能の公開停止、多要素認証の導入、不要なデータの消去を進めます。不正アクセス等の痕跡が見つかれば、その内容によっては個人情報保護委員会への速報（おおむね3〜5日以内）の期限が進み始めるため、社内の報告ルートも事前に決めておきます。

その後、アクセス権限の棚卸し、ログの保存と検知の仕組みの整備、委託先の確認、経営層を交えた訓練に取り組むとともに、個人情報保護委員会によるガイドラインの確定と、原則として2028年7月までに施行される個人情報保護法の改正法を見据えて、社内規程や委託契約を見直しましょう。

残すべき対応記録と経営層への報告

注意喚起等をもとに点検・対応を行ったことをのちに対外的に示すために、どんな事項を記録すべきでしょうか。法的観点も念頭に教えてください。

後から「その時点で何を知り、何を判断し、何をしたか」を示すため、下記の事項を記録しましょう。

また、確認したログ自体も保全しましょう。記録は後に行政機関や裁判所に提出される可能性があるため、事実と評価を分けて書くことが大切です。

予算や人員の都合で対応できない事項は、未対応の内容、リスクの評価、理由、代替措置、対応予定を記録し、取締役会または経営会議の判断として、議事録に残してください。経営判断は過程と内容に著しく不合理な点がなければ尊重されますが、安全管理措置を講じること自体は法律上の義務であり、裁量があるのは対策の内容と順序です。リスクの大きいものから対応したことを示せれば、限られた予算の中での判断として説明できます。担当部署限りで見送ることは避け、進捗は定期的に経営層へ報告しましょう。

委託先・SaaS事業者への確認事項と契約の見直し

今回の注意喚起を踏まえて、委託先や利用しているSaaS事業者へ確認・依頼すべき事項はありますか。

委託先やSaaS事業者に預けたデータも、自社の管理責任の範囲内です。委託であれば委託先の監督義務を負います ¹⁹。委託にあたらないクラウドサービスの利用でも、自社の安全管理措置としてサービスの安全性を確認する必要があります。グループ会社も同じ基準で確認します。

今回の注意喚起を踏まえ、公表された攻撃手口（API経由の不正操作、BIツール「Metabase」の脆弱性等）の影響の有無について、ログの確認結果を含めて書面で回答を求めましょう。具体的には、多要素認証や修正プログラムの適用状況、自社が入手できるログの範囲、再委託先の管理を確認します。事故が発生した場合、自社の速報の期限は遅くとも、委託先から通知を受けた時点から進むため、事故発生の疑いの段階で第一報を受けることができる体制かどうかも確認が必要です。SaaSについては加えて、利用企業側の設定の点検も欠かせません。

委託先やSaaS事業者との既存の契約についても、見直すべきポイントがあれば教えてください。

既存の契約では、次の事項を定めているかを確認しましょう。

また、委託先が負う賠償額の上限を定める条項がある場合は、個人データの漏えいによる損害を上限の対象から除くか、漏えいのみの別枠として高い上限額を設けることを検討してください。前記の開発業者の債務不履行責任を認めた裁判例では、当時すでに広く周知されていた対策を講じなかった開発業者の重過失を認めて責任制限条項の適用を否定しました。しかし、改修の提案を放置した委託元にも3割の過失相殺をしています ²⁰。委託先任せにしないことが重要です。