弁護士4名が語る、法的視点から見たセキュリティ最新動向 – 2023年振り返りと2024年動向予測
頻発するランサムウェア被害や、社員・転職者による機密情報の持ち出し、SaaS型クラウドサービスにおけるセキュリティ事故など、近年、サイバーセキュリティと法務の領域にまたがる様々な事件が注目を集めています。こうしたリスクに関して、企業はどのような対策をとるべきでしょうか。
2024年2月1日に開催されたオンラインセミナー「法的視点から見るサイバーセキュリティの2023年重要トピックと、2024年の実務展望 - サイバーセキュリティ法務に詳しい弁護士4名が徹底議論 第2弾」では、サイバーセキュリティ法務に詳しい4人の弁護士が、2023年の注目トピックと2024年の実務に関わる展望について、パネルディスカッションを行いました。
個人情報保護法の報告実務に影響を与えた、「社労夢」事件
ディスカッションの前半は、「2023年に法的な面で実務に影響を与えた、重大セキュリティトピック／トレンド」と題して、主だったトピックについて振り返るとともに、そこから見えてきた課題について意見が交わされました。
最初のトピックとして取り上げられたのは、2023年6月に発生した、株式会社エムケイシステムの事件です。同社が提供する社労士向けクラウドサービス「社労夢」がランサムウェア攻撃を受けてサービス停止に陥り、また個人情報が流出したおそれが生じたことで、サービスを利用する社労士とその委託元（顧問先企業等）にも個人情報保護委員会への報告義務が生じるなど、多大な影響が発生しました。
株式会社エムケイシステムのランサムウェア被害にもとづく関係図
蔦弁護士は、2023年はこの件以外にもクラウドサービスにおけるランサムウェア被害が複数発生しており、企業の実務にも影響を与えたと説明します。特に社労夢の事件については、「個人情報保護委員会への報告をどのように行うべきかについて、関係各社が頭を悩ませた。そうした背景から、2023年12月には『「個人情報の保護に関する法律についてのガイドライン」に関するQ&A』が更新され、クラウドサービスの提供事業者が、そのサービスを利用する事業者の報告義務にもとづく報告を代行できるようになった 1。報告のための記入例も新たに公開されており 2、当局側の実務にも影響を与えた事件だった」と振り返りました。
個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&Aの更新」（令和5年12月25日）
クラウドサービス事業者が気をつけるべき点
社労夢の事件をはじめとした近年のセキュリティ事故を念頭に、クラウドサービス事業者はどのような事態を想定しておくべきなのか。北條弁護士は運用面に焦点を当て、「通常、クラウドサービスを提供している場合には多数の仮想環境が存在し、複雑な管理状況となっていることから、攻撃を受けたときに活用するログではなく管理のために活用するログしか取得しておらず、攻撃を受けた際にどこに必要なログがあるのか、そのログを誰が管理しているのか、どの種類および深度のログがあるのかなどを明確に把握できているクラウドサービス提供事業者は少ないと思われる」としたうえで、「有事には、被害状況や被害原因を特定するために、不完全なログだけでは不足するため、仮想環境を保全する必要があるが、すべてを保全するには別の大規模なストレージ(仮想環境をそのままバックアップするための領域)を確保し、保全のために環境によっては数日から数週間の時間を要する。しかし、システムやサービスの早期復旧のためにゼロから構築し直す場合には、保全の時間を待つ余裕がなく、それでも保全をするのかを判断する必要がある。仮に、仮想環境の保全をしないと判断してしまうと、不完全なログしかなくなり、被害状況や被害原因の特定が困難になってしまう」と平時からのログの取得・管理、仮想環境の保全を想定しておく重要性を指摘しました。
また山岡弁護士は、「クラウドサービス事業者は、セキュリティ事故が発生した際に、複数のユーザーから訴えられるリスクが考えられる。法的な観点では自社の事業をどう守ることができるだろうか」と問題を提起します。これに対して蔦弁護士は、まずユーザーとの契約や約款を用いてケアするべきだろうとしたうえで、「『利用料相当』のように賠償金額の上限を定めることで、あらかじめ防衛しておく必要がある。さもなければ、クラウドサービス事業者は潰れかねない。ただし、賠償責任の範囲を定めていても悪意重過失の場合などにはその条項が無効になる可能性があり注意が必要」と解説。加えて、社労夢の事件を例に、「サービスのユーザーである社労士に業務委託していた企業やその社員といった第三者にまで、約款や契約は適用されないことにも留意すべき」と説明しました。
八雲法律事務所 山岡 裕明弁護士
クラウドサービスの利用企業が気をつけるべき点
一方、クラウドサービスの利用企業は、セキュリティ面でどのような点に気をつけるべきでしょうか。寺門弁護士は各企業の現状を念頭に、「まず、クラウドサービスを選定する際には、自社のセキュリティ基準を満たしているのかをチェックするべきだが、なかなかそれができていない企業が多いのではないか。また、クラウドサービス側で何か障害が発生した際に、それに依存している業務はどう代替するのかなど、システムが停止した時のBCP（事業継続計画）まで考えられている企業も多くないだろう」と語ります。
また、山岡弁護士は、利用しているクラウドサービスが停止し業務が止まってしまった場合における、エンドユーザーへの損害賠償に関する議題を提示。契約において、「当社は、●●社が提供するクラウドサービスに依拠して業務を行う」「当該クラウドサービスの停止等により業務が行えなくなった場合の賠償額は●●を上限とする」という条項を定めることで、サービスを利用することと、それが停止した際などのリスクについて、あらかじめ承諾を取っておくという方法は現実的かどうか、他の登壇者に問いかけました。
このアイデアに対し、寺門弁護士はいわゆる責任分界点の議論といえるだろうと説明します。
「組み込みシステムを開発する企業が、組み込んだソフトウェア等の不具合により、自社サービスの提供ができなくなった場合、その責任を誰が負うかという議論に近い。それを踏まえると、山岡弁護士のいう条項を定める方法もあり得ると考えられる。他方で、一般的な業務委託を例に考えると、再委託先で問題が発生した場合に、そこに依頼した委託先は委託元に対して責任を負わない、とする契約が委託元に受け入れられるかについては疑問がある。今回の例では、一般的な形で損害賠償額の上限額を規定することのほかには、『●●社が提供するクラウドサービスを使うものとする』といった確認条項以上の書き方は現実的には難しいと思われ、また、そうした文言に留まる以上は、必ずしも責任限定に繋がりづらいと思われる」（寺門弁護士）
また北條弁護士は、「事故が起きたときにどんな対応をしてくれたかというのも顧客は覚えている。リスクケアの観点に加えて、顧客との関係性といったビジネス的な観点も踏まえて、対応を考える必要があるだろう」と付言しました。
西村あさひ法律事務所・外国法共同事業 北條 孝佳弁護士
内部不正に対して企業がとるべき現実的な対策
続いてのトピックは、社員や退職者による機密情報の持ち出しです。2023年には、NTT西日本の子会社において元派遣社員が顧客情報を持ち出していた事件 3 や、双日の社員が元勤務先から営業秘密を持ち出した容疑で逮捕された事件 4 をはじめ、多くの不正が報じられました。山岡弁護士のもとにも、サイバー攻撃のような外部からの脅威だけではなく、こうした内部不正に関する相談が増えているといいます。
情報の不正な持ち出しに関わる法律について、蔦弁護士は、まず不正競争防止法による営業秘密に関する規定をあげ、その要件を念頭に責任追及を行うパターンが典型的だと紹介します。また、持ち出された情報が営業秘密に該当しない場合でも、個人情報保護法が定める個人情報データベース等にあたる場合は、刑事罰が科されると説明します。実際に2023年には、名刺データや学習塾の生徒情報といった個人情報データベース等の提供・盗用に関する事件で2件立件されています。
ここで蔦弁護士が一部の報道について明確に否定しておきたいと語ったのが、個人とともに法人も併せて罰せられる、両罰規定に関する点です。「個人情報データベース等を持ち出した社員に加えて、持ち出された企業が刑事罰を受ける可能性があるとする説明を目にすることがある。企業が安全管理措置義務（23条）に違反していると非難される可能性はあるだろうが、刑事罰については、一社員の勝手な行動で起きた犯罪である限り、両罰規定が科されることはないだろう。組織ぐるみで個人情報データベース等を不当に第三者に渡したりしたのであれば別だが、通常、情報を持ち出された企業もまた被害者。法律の文言上は両罰規定の可能性を考えられるかもしれないが、実務上はあり得ないのではないか」と指摘しました。2023年に立件された2件のうち1件は、行為者に加えて法人も両罰規定で書類送検されていますが、法人については不起訴処分となっています5。
寺門弁護士は、企業が機密情報の持ち出しを防ぐために取り組むべき具体的な措置について言及します。悪意のもと本気で工夫を凝らして情報を盗み出そうとする行為を完全に防ぐ術はなかなかないというのが現実だろうとしたうえで、「企業としてやるべきことは、まず、軽い気持ちで持ち出す人々が出ない対策を講ずること、また長期にわたる持ち出しの継続を防ぐ体制を構築すること、の2点が重要ではないか。たとえば、一定の容量のデータがダウンロードされた際にアラートを発したり、メールをモニタリングしたり、情報管理に関する一斉監査を行ったりし、また、注意喚起を行うことが考えられる」と説明しました。
山岡弁護士は、時代とともに変わる持ち出し手段の進化に着目し、「昔は機密情報が記された書類をコピーするのが主な手口だったが、それがPCの画面をカメラで撮影するようになり、昨今ではGoogle Driveのようなクラウドストレージへアップロードすることによる持ち出しが増えるなど、技術の進展とともに手口も変化してきている。対策の1つとして、クラウドストレージへのアップロードをリアルタイムに検知できるようにすれば、退職してしまってからではなくまだ雇用関係があるうちに当該社員にヒアリングなどを行うことができ、事件を未然に防いだり、懲戒処分を行ったりすることが可能となる」と解説。デジタル技術を利用した、情報持ち出しのリアルタイム検知の重要性を強調します。
これを受けて北條弁護士は、リアルタイム検知を行ううえで実務上クリアしなければならない点について言及。「退職者は退職直前に大量に取得したデータをクラウドストレージへアップロードしがちなのでその場合は検知しやすいが、それ以外、たとえば1年後の退職を目指し、1年間かけて少しずつデータを持ち出すというケースも有り得るため、データ容量だけを検知の基準とするのは難しい側面がある。また、情報の重要度を基準にした場合、たとえば重要なデータにアクセスする正当な権限のある人がアクセスするたびにアラートが上がることになってしまい、本当に重要なアラートを見逃してしまうことが生じる。リアルタイム検知の方法は、容量やデータに着目するものや、ほかにも夜間や休日のアクセス、普段アクセスしない領域やデータへのアクセス等、対象者の振る舞いに着目するものもある。すべての機能を満たす製品は高額になりやすく、どれを導入するのが望ましいかは一概にはいえず、ある方法のサービスを導入するだけですべての情報持ち出し行為を防ぐことはなかなか難しい。最適な運用には、どのような検知方法及び程度が適切かといった企業に即した準備または見直しが必須になる」と解説しました。
こうした情報の持ち出しを検知する方法に関して、蔦弁護士は、人事部門との連携も有効ではないかと提言します。退職届を提出していたり、休職中であったりする社員については警戒のレベルを上げる、といった対策も考えられると説明しました。
森・濱田松本法律事務所 蔦 大輔弁護士
ランサムウェア攻撃は、多様化する手口への対応が重要
2023年の振り返り最後のトピックは、IPAが発表した「情報セキュリティ10大脅威 2024」でも組織向けの脅威として4年連続でトップとなった、ランサムウェア被害です。北條弁護士は、「身代金を支払うべきか否かの問題が今後も続くだろう」と指摘するとともに、侵入経路については「VPN経由が依然として多いのは変わることなく、さらに今後は再びメール経由の侵入も増えていくのではないか」と懸念を示しました。
一方、寺門弁護士は、ランサムウェア攻撃の件数が増加しているなか、企業の対応能力も向上しているとの見解を示しました。「初動対応の迅速化によって、攻撃を受けても大事には至らない事案が多くなってきた」と寺門弁護士は評価します。また、新たな傾向として、ランサムウェア被害による決算への影響を監査法人が重視する風潮が強まっていると指摘。データマッピングを含めた保有データの管理や、サイバー保険への加入に関する状況について、企業の説明責任が問われる時代に入ったとの見解を示しました。
蔦弁護士は、犯罪者側が、ランサムウェアによってデータを暗号化するという手間を省き、情報を窃取し、それを公開すると脅すだけでも身代金を支払う企業がある状況を憂慮し、犯罪者側の手口の多様化、効率化とそれに対する企業の対策の必要性を強調。「簡単に脅しに屈してしまうと、犯罪者側が味をしめてしまい、“コスパの良い”攻撃パターンとして定着したり、被害がさらに増えてしまうことになる。金銭獲得の効率化を図る犯罪者との心理戦が続いていくのではないか」と予測しました。
2024年のサイバーセキュリティに関する法令の動向
セミナー後半では、2024年に想定されるサイバーセキュリティに関連する法令関係の動向をテーマとして議論が展開されました。蔦弁護士は、国家の安全保障上の機密情報を扱う資格について定める「セキュリティクリアランス制度」 6 と、経済安全保障推進法の改正 7 に言及し、「昨年の名古屋港におけるランサムウェア被害を踏まえて、基幹インフラに港湾運送事業が加わることになるだろう。こうした変更は、当該インフラ事業者だけでなく、そこへのシステム供給や、保守運用を手掛けている事業者にも影響を及ぼすため、注意と準備が必要だ」と強調します。また、そのほかの動向として、いわゆる「3年ごと見直し」として2025年に予定される個人情報保護法の改正に向けて、2024年の春に中間整理が、同年秋から年末に向けて制度改正大綱が公表されるだろうと見通しを示しました。
経済安全保障推進法に関しては北條弁護士も、「まず自社が法律の規制対象になるかどうかを確認し、対応策を講じる必要があるだろう」と説明。寺門弁護士も、「SIerやベンダーも、自社がどのように関係するかを把握する必要がある」と指摘しました。
TMI総合法律事務所 寺門 峻佑弁護士
今後、「製品セキュリティ」と「セキュリティインシデントの開示ルール」に注目
ディスカッションの最後は、2024年に想定されるサイバーセキュリティの傾向と潮流がテーマとなりました。
開口一番、「まだまだ問題は山積み」だと強調した北條弁護士は、依然としてランサムウェアが猛威をふるい続けていることや、IoT機器をはじめとしたハードウェア機器への攻撃の増加を指摘しました。また、特に対応が難しい問題として、北條弁護士はスマートフォンの乗っ取り被害に焦点を当て、「スマートフォン自体のアカウントが乗っ取られると、サービス提供企業に相談しても対応してくれないこともあり、最終的に泣き寝入りするしかないこともある。現状はとにかく乗っ取られないよう注意するしかない」と喚起しました。
寺門弁護士は、製品セキュリティの重要性を強調します。製品を提供する企業の視点に立ち、「クラウドサービスやIoT機器への攻撃が増加する中で、事前に製品セキュリティについてもしっかりと検討しておかなければ、将来的には製品の回収や交換といった莫大なコストが発生する可能性があるかもしれない」と警告しました。蔦弁護士も、「医療機器や自動運転、ドローンなどに関しては各法律で次々と基準が出てきている。その傾向が汎用IoT製品にも広がっていくだろう」と見解を示しました。
また、蔦弁護士は動向が予測されるトピックとして、「セキュリティインシデントの開示ルール」を取り上げ、「アメリカでは、2023年7月に、年次およびインシデント発生時における開示ルールが設けられた。今のところ日本にはそうしたルールは存在しないが、具体的な検討をすべき時期にきているのではないか」と指摘しました。
最後に山岡弁護士は、ランサムウェア攻撃とその主な侵入経路であるVPN機器への対策の必要性について改めて強調したうえで、「これまでサイバーセキュリティは特殊な分野と思われがちだったが、今やあらゆる企業活動がサイバーセキュリティを避けて通れなくなっている。だからこそ、情報システム部門、法務部門、人事部門など様々な部門が連携しながらサイバーセキュリティについて勉強し、対処していくことがますます大事になっていくだろう」と語り、ディスカッションを締めくくりました。
（文：小池 晃臣）
最新情報をフォローする
