はじめに
少し前の私は、サイバー攻撃を受けた会社は「被害者」だと、素朴に思っていました。悪いのは攻撃してきた側で、こちらは狙われた側。だから対応というのは、技術的に封じ込めて、復旧して、原因を潰す ── そういう「技術の仕事」だと考えていました。法務や経営や弁護士が出てくる場面は、どこか別の部署の話で、自分の担当ではない。そう線を引いていた気がします。
その線が崩れたのは、「攻撃を受けたあと、会社が"当事者"として法的責任を問われることがある」と知ったときでした。個人情報を漏らせば報告義務が動き出し、対策を怠っていたと判断されれば経営者は善管注意義務を問われます。国境を越えれば、米国の訴訟に巻き込まれ、経営陣が証言のために呼び出されることもあります。攻撃を受けた瞬間は被害者でも、そのあとの対応しだいで、責任を問われる"当事者"の側に立たされる。 そして、被害者でいられるか当事者になってしまうかを分けるのが、あらゆる段階に残る(あるいは残せなかった)「証拠」でした。
この記事は、CySec(東京電機大学が提供する社会人向けのサイバーセキュリティ教育プログラム「国際化サイバーセキュリティ学特別コース」)で学んだ内容を、自分の言葉で再構成した復習ログです。今回は、インシデント対応と法務・国際コンプライアンス・紛争対応を扱った回を、開発者・運用者の視点で「証拠」という一本の軸に束ね直します。「3IN」はこの復習ログのシリーズ名で、番号は通し番号です(講義の回数とは一致しません)。
想定読者は、少し前の私と同じように「セキュリティは技術で守るもの。法務・経営・弁護士は別部署の仕事」と考えていて、インシデント対応を技術的な封じ込めと復旧のことだと捉えている開発者・情シス・SRE・運用者です。細かい条文の解説ではなく、「技術者が、法的責任を最小化する視点(=証拠を残す・経営を動かす・弁護士を早く入れる)をどう持ち帰るか」を地図として持ち帰ってもらうことを狙います。
この記事の軸を、先に1行と5点(TL;DR)でまとめておきます。本文はこれをほどいていく形です。
サイバー攻撃を受けた会社は被害者です。でも対応を誤ると、法的責任を問われる"当事者"になります。予防・発覚・紛争のどの段階でも、責任を最小化する鍵は『証拠』── 「やるべきことをやった」記録を残し、不利な"評価"は弁護士の秘匿特権で守る。これはすべて、技術者の仕事の延長線上にあります。
- 攻撃されても「被害者」でいられるとは限りません。 対応を誤れば、善管注意義務違反や報告義務違反などで責任を問われる"当事者"になります。国境を越えれば、米国の Discovery(証拠開示)やデポジション(証言録取)に巻き込まれ、「被害者だったはずが加害者」になりうるのです。
- 【予防段階】の証拠は「サイバーセキュリティ経営ガイドライン」。 Ver3.0(経済産業省・IPA)の3原則と重要10項目を実践した記録が、「注意義務を尽くした」証拠になります。法的拘束力はありませんが、善管注意義務の判断基準になりえます。
- 【発覚段階】の証拠は「対応フローの各段階の記録」。 発覚→初期対応→報告→事後対応。とくに初期対応の操作履歴は、混乱のなかで残し忘れがちです。身代金を払うかどうかも、「正しいプロセスを踏んだ証拠」があってはじめて説明できます。
- 【紛争段階】の盾は「弁護士・依頼者間秘匿特権」。 脆弱性診断の報告書やフォレンジックのログは、"不利な証拠"にもなりえます。外部弁護士が指揮する形にすれば、不利な"評価"を開示対象から外せます。これは悪事や事実を隠すものではありません。
- 証拠を残すのは「チーム」です。 法務・広報・人事・各事業部を経営陣が束ね、所管の狭間とたらい回しをなくします。技術者は「証拠を残す・経営を動かす・弁護士を早く入れる」動線を、平時に用意しておくことが役目です。
なお、はじめにおことわりします。本記事は法的助言ではありません。 法制度・条文・判例・数値は執筆時点(2026年7月現在)の一次情報で確認・最新化していますが、実際の判断は必ず最新の条文と専門家に当たってください。確認しきれなかったものや講義の口頭補足は「講義では〜と紹介された」と帰属を明示し、末尾の「※補足・注記」に正直にまとめています。私自身まだ学習中の身なので、間違いがあれば指摘していただけると助かります。
攻撃を受けた会社は「被害者」。でも一歩間違えば「当事者」になる
この章では、責任の全体像と背骨の図を置きます。攻撃を受けたあと、会社が問われうる責任には、大きく4つの向きがあります。講義では、次のように整理して紹介されました。
| 責任の種類 | 内容 | 例 |
|---|---|---|
| 民事 | 損害賠償の責任 | 漏えいした顧客・取引先への賠償、株主代表訴訟 |
| 刑事 | 刑罰の対象になる責任 | 漏えい罪、マネーロンダリング幇助など |
| 行政 | 監督官庁への報告・是正 | 個人情報保護委員会への報告、是正命令 |
| メディア・世論 | 社会的な評価・信用 | 記者会見、謝罪、レピュテーションの毀損 |
このうち、影響がもっとも大きいのは、実はメディア・世論だと紹介されました。金銭的な賠償以上に、失った信用は取り戻しにくいからです。ここで注意したいのが「謝り方」です。誠実に謝ることは大切ですが、謝り方しだいでは、その言葉が「自らの過失を認めた」自白の証拠として使われうる という難しさがあります。だから、何を・どう伝えるかは、法務や広報と一緒に厳密に設計する必要があります。
そして、この責任の話は国内だけにとどまりません。国境を越えると、「被害者だったはずが加害者」になりうる のです。たとえば漏れたデータに海外の個人情報が含まれていれば、海外の規制やクラス・アクション(集団訴訟)の対象になります。米国の訴訟では、後述する Discovery(証拠開示)やデポジション(証言録取)を通じて、経営陣が呼び出される根拠が増えました。攻撃されて被害を受けた側なのに、対応の不備を突かれて「加害者」として責められる ── そういう反転が起こりうるのです。
この反転を防ぐ鍵が、予防から紛争までのすべての段階に残る「証拠」です。講義では、インシデント対応を「予防段階 → 発覚・戦略構築段階 → 紛争・調査対応遂行段階」の3ステップで捉え、どの段階でも『証拠』がキーワードであり、弁護士の参画が望ましい と紹介されました。図にすると、こうなります。
では、技術者はどこで効くのか。 証拠は、法務が事後に作るものではありません。予防段階で「やるべきことをやった記録」を残すのも、発覚段階で「操作履歴やログ」を保全するのも、その大半は技術者の手のなかにあります。ここから先は、この3ステップを順にたどりながら、各段階で技術者が何を「証拠」として残す(あるいは守る)べきかを見ていきます。
【予防段階】「やるべきことをやった」証拠 ── サイバーセキュリティ経営ガイドライン
最初の段階は、まだ何も起きていない平時、つまり予防段階です。ここで残す証拠は「うちは、やるべきことをやっていました」という記録です。その拠りどころになるのが、サイバーセキュリティ経営ガイドライン です。
これは経済産業省とIPA(情報処理推進機構)が公表しているガイドラインで、最新は Ver3.0(2023年3月公表) です。ランサムウェア被害の顕在化やサプライチェーン全体での対策の必要性を踏まえて改訂されました。中身は、経営者が認識すべき「3原則」と、経営者がCISOなどに指示すべき「重要10項目」で構成されています。
まず3原則です。
| # | 経営者が認識すべき3原則 |
|---|---|
| 1 | 経営者がリスクを認識し、リーダーシップで対策を進める(成長のための投資と位置づける) |
| 2 | 自社だけでなく、サプライチェーン(パートナー・委託先)を含めて対策する |
| 3 | 平時・緊急時のいずれも、関係者と適切にコミュニケーションする(平時からの情報開示) |
そして重要10項目は、技術者の目線でざっくり束ねると、次のように読めます(原典の表現を要約しています)。
| 指示 | 重要10項目(要約) |
|---|---|
| 1 | リスク認識と、組織全体の対応方針(セキュリティポリシー)の策定・周知 |
| 2 | リスク管理体制の構築(役割責任の明確化、ガバナンスとの整合、監査) |
| 3 | 資源(予算・人材)の確保(研修・演習予算、専門ベンダー、人材育成) |
| 4 | リスクの把握と対応計画(守るべき情報の特定、低減・回避・移転・保有の選択) |
| 5 | 防御・検知・分析の仕組み(多層防御、脆弱性診断、暗号化、バックアップ、ログ監視) |
| 6 | PDCAによる継続的な改善(KPI、経営層への報告、各種報告書での開示) |
| 7 | 緊急時の対応体制(CSIRT等)の整備(証拠保全、連絡網、実践的な演習) |
| 8 | 復旧体制の整備(復旧目標、BCPとの連携、サプライチェーンを含む演習) |
| 9 | サプライチェーン全体の対策(契約での責任明確化、委託先の定期確認) |
| 10 | ステークホルダーとのコミュニケーション(双方向の情報共有、届出) |
一覧にすると量が多いですが、技術者には見覚えのある言葉が並んでいます。多層防御、脆弱性診断、暗号化、バックアップ、ログ監視。私たちが日々やっている(あるいはやろうとしている)ことばかりです。
ここで大事なのは、このガイドラインに 法的拘束力はない という点です。守らなくても、それ自体で罰せられるわけではありません。ではなぜ「証拠」になるのか。取締役の善管注意義務(善良な管理者としての注意義務)が争われる局面で、このガイドラインの遵守が重要なポイントになりうる からです。
たとえば、大規模な情報漏えいが起きて、経営陣の責任が株主代表訴訟で問われたとします。このとき「ガイドラインに沿って、やるべき対策を検討・実行していた」記録があれば、「注意義務を尽くしていた」という主張の土台になります。逆に、セキュリティポリシーすら策定していなければ、「ガイドラインで広く知られた対策すらしていなかった=対策が不十分だった」と推認されかねません。実際、個人情報の大規模漏えいをめぐって経営陣の善管注意義務が争点になった株主代表訴訟の例(ベネッセ)もあります(この事案の結論は「※補足・注記」で正確に補います)。
ちなみに、ここで言う「ポリシー」とは、経営者が正式に表明したもの を指します。中身は企業ごとに違ってよく、経済産業省が具体的な基準を示しているわけではありません。だからこそ、「うちはこう守る」と経営者の名前で表明し、その通りに実行した記録を残すことに意味があります。
また、7項目めの緊急対応体制(CSIRT)にも、証拠の観点で押さえておきたい落とし穴があります。CSIRTは、CISOのような権限者だけでなく、実際に手を動かす実働要員 を含めて組まないと機能しません。講義では、大規模な情報漏えい事案(日本年金機構)で、実働要員が選任されておらず体制が問題視された、という指摘が紹介されました。「体制図はあるが、動ける人がいない」状態では、いざというときに証拠も残せません。
では、技術者は何を証拠として残すのか。 予防段階での証拠とは、派手な報告書のことではありません。たとえば、次のような 日々の意思決定と実行の記録 です。
- この脆弱性対応を、いつ・誰が・なぜ実施(または見送り)したか
- バックアップの構成を、いつ・どう見直したか
- 対応方針を決めて、訓練をいつ実施したか
ガイドラインの10項目は、そのまま「何を記録として残しておくべきか」のチェックリストになります。なお、こうした「守りを経営に投資として説明し、予算を持ってもらう」までの動かし方は、シリーズの別記事「『正しく作れば、セキュリティは守られる』は本当か」で扱います。
【発覚段階】対応フローの一歩ごとに証拠を残す
次は、実際に攻撃が発覚してからの段階です。ここでの証拠は、対応そのものの記録 ── 「いつ・何を・どう判断して動いたか」です。
インシデント対応は、大きく4つの段階で進みます。講義で紹介された全体フローに、各段階で残すべき証拠を並べてみます。
| 段階 | やること | ここで残す証拠 |
|---|---|---|
| ① 発覚 | 攻撃・異常の覚知 | いつ・どうやって気づいたか(検知ログ、外部通知) |
| ② 初期対応 | ネットワーク遮断、CISO/CSIRTへ報告、被害把握、種類特定 | 感染時の操作履歴、遮断の判断と時刻、被害範囲の記録 |
| ③ 報告 | 監督官庁・本人・取引先への報告 | 報告の内容・日時・宛先(=報告した事実そのもの) |
| ④ 事後対応 | 復旧、再発防止、事後分析 | 復旧の判断根拠、再発防止策と実施記録 |
このなかで、技術者がとくに落としがちなのが、②初期対応での「操作履歴の証拠化」 です。インシデント発覚直後は、誰もが混乱します。とにかく止めよう、復旧しようと手を動かすうちに、「自分がどの順番で何を実行したか」が記録に残らないまま過ぎていきます。ところが、あとから「攻撃だったのか、ただの障害だったのか」「どこまで被害が及んだのか」を立証するとき、この初期対応の操作履歴が決定的な証拠になります。
やり方は、大げさな仕組みでなくてかまいません。たとえば、インシデント対応専用のチャットチャンネルを1つ切り、そこに「何時何分に、どの端末を、どうやって遮断したか」を思いつくまま書き殴るだけでも立派な証拠になります。整った報告書は、あとで清書すればよいのです。大事なのは、まず時刻付きの生ログを、本番とは別の系統に残しておく こと。この一手間が、後日「攻撃か、ただの障害か」を立証できるかどうかを左右します。混乱のなかでも自分の操作を時刻とともに残す ── これは技術者にしかできない証拠づくりです。
初期対応では、ネットワークの遮断も重要です。とくにランサムウェアでは、バックアップにまで感染が及ぶと復旧の最後の砦を失う ため、感染端末を早く切り離す判断が要ります。バックアップは、本番環境から独立していて、管理者権限で勝手に消されない構成にしておくことが、そのまま「証拠(=データ)を守る」ことにつながります。
報告義務は「報告した」という証拠でもある
発覚段階で避けて通れないのが、個人情報保護法にもとづく 報告義務 です。報告義務の全体像はシリーズのサイバー保険の回でも触れています。ここでは「証拠」の観点に絞って、要点だけ押さえます。
一定の漏えい等が起きた場合、個人情報取扱事業者は個人情報保護委員会に報告する義務があります。根拠は 法第26条、対象となる事態は 施行規則第7条 で次の4類型に整理されています。
- ① 要配慮個人情報が含まれる漏えい等
- ② 不正に利用されて財産的被害が生じるおそれがある漏えい等
- ③ 不正の目的によるおそれがある漏えい等(不正アクセスやランサムウェアによる暗号化など)
- ④ 本人が1,000人を超える漏えい等
ランサムウェアによる暗号化は、③に該当します。 しかも「実際に漏れた」ことが確定していなくても、「おそれ(可能性)」がある時点で報告が必要 になります。報告には2段階あり、期限は 施行規則第8条 で定められています。速報は「速やかに」(ガイドラインの目安は概ね3〜5日以内)、確報は原則30日以内、③の不正の目的による場合は60日以内です。あわせて、漏えいした本人への通知も必要です(通知が困難な場合は、ウェブでの公表などの代替措置が認められます)。
この報告義務は、義務であると同時に、「私たちは、法にもとづいて、期限内に、誠実に報告しました」という証拠 でもあります。逆に、報告が遅れたり漏れたりすれば、それ自体が「対応が不適切だった」証拠として残ります。だから技術側は、発覚から時計が動き出す ことを前提に、「誰が・いつ・どこへ報告するか」を平時に手順化しておく必要があります。速報3〜5日という時計は、混乱のなかで数えていると、あっという間に過ぎてしまいます。
身代金は「正しいプロセスを踏んだ証拠」で判断する
ランサムウェア被害で必ず論点になるのが、「身代金を払うか」です。ここでも証拠が効いてきます。講義で紹介された考え方は、「コンプライアンスに正解はないが、正しいプロセスはある」 というものでした。
身代金を払うか払わないかに、万人向けの正解はありません。払えば、犯罪収益に加担するコンプライアンス・レピュテーションのリスクがあり、再び狙われるおそれもあり、そもそもデータが戻る保証もありません。払わなければ、事業継続に不可欠なデータを失うインパクトを負います。どちらにも重いリスクがあります。
だからこそ大事なのは、「どういう情報をもとに、誰が、どう分析して判断したか」というプロセスを、あとからステークホルダーや公権力に説明できる証拠として残す ことです。結果的にどちらを選んでも、「思いつきや独断ではなく、正しい手順を踏んで判断した」と示せれば、責任は最小化できます。そして、この分析のうち微妙で不利になりうる部分は、後述する秘匿特権で守る、という組み合わせになります。身代金の是非そのもの(OFACや外為法、善管注意義務との関係)は、シリーズの別記事「ランサムの身代金は払うべきか」や、サイバー保険の回で掘り下げます。
【紛争段階】国境を越えると、証拠は"武器"になる ── GDPR・米国規制と Discovery
3つ目は、紛争・調査対応の段階です。ここでは、これまで自分たちが残してきた証拠が、相手の手に渡って「武器」になりうる、という怖さが出てきます。国境を越えると、その傾向が一気に強まります。
まず、海外の個人データが絡むと避けて通れないのが GDPR(EU一般データ保護規則) です。細目は深入りせず、自己完結に必要な最小限だけ押さえます。
GDPRは、EU域内の事業者だけでなく、EUに所在する個人に物品・サービスを提供したり行動を監視したりする域外の事業者にも適用 されます。つまり、日本企業も広く対象になります。ポイントは3つです。
- 通知は原則72時間以内。 個人データの侵害を認識したら、遅滞なく、可能なら72時間以内に監督当局へ通知する義務があります(第33条)。本人への通知も必要です。
- 制裁金は高額で、2区分ある。 通知義務違反などの下位類型は最大1,000万ユーロまたは全世界売上高の2%(第83条4項)、より重大な違反は最大2,000万ユーロまたは全世界売上高の4%(第83条5項)で、いずれも高い方が適用されます。2,000万ユーロは、為替しだいで約24〜32億円規模です。
- EU域外へのデータ移転は原則制限される。 標準契約条項(SCC)や拘束的企業準則(BCR)などの手当てが要ります。なお日本とEUの間には、相互に「十分性」を認め合う枠組みが2019年1月に発効しています。
日本の本社を持つグループで問題になりやすいのは、①日本本社そのものがGDPRの適用対象になる場合、②EU子会社から日本本社へデータを移転する場合、③EU子会社がGDPRを遵守できているか、という3つの局面です。ここでも「適切に対応した」証拠が求められます。制裁の事例としては、従業員データの不正な監視で H&Mが約3,530万ユーロ(2020年、ドイツ・ハンブルクの監督当局)、ほかにも Amazon(約7.46億ユーロ)、WhatsApp(約2.25億ユーロ)といった高額の事例があります。
規制が厳しいのはEUだけではありません。米国では、カリフォルニア州の CCPA(2020年施行) と、それを強化した CPRA が代表格で、州内で事業を営む日本企業も対象になりえます。ここで押さえたいのが、責任の「現れ方」が一つではない という点です。たとえばオンライン会議サービスの Zoomの約8,500万ドル(2021年)は、行政による制裁ではなく、消費者による集団訴訟の和解金 でした。一方、コネクテッドカーのデータ処理をめぐる Hondaの約63万ドル(632,500ドル、2025年)は、カリフォルニア州プライバシー保護庁(CPPA)による行政上の和解 で、CPPA発足後初の執行例とされます。同じ「プライバシー違反」でも、行政(当局の制裁)と司法(集団訴訟)の両面から責任が来る、ということです。
そして、集団訴訟で証拠が「武器」に変わる最大の舞台が、Discovery(証拠開示手続) です。Discoveryとは、訴訟の当事者どうしが、関連する証拠をほぼすべて相互に開示し合う手続です。日本にはDiscoveryの制度はありませんが、国境を越えて米国の訴訟に巻き込まれると、日本企業もこの手続に付き合わされます。 さらに、デポジション(証言録取)で、経営陣が宣誓のうえ証言を求められることもあります。
ここで何が起きるか。自社が残してきたログ、メール、報告書 ── それらが「相手に開示すべき証拠」として、根こそぎ相手の手に渡る のです。予防・発覚の段階で「やった証拠」として残したはずの記録が、開示の場では自社に不利な材料として使われることもあります。ここで登場するのが、次に見る秘匿特権です。
技術者が持っておくべき感覚は、たった一つです。 「このログや報告書は、いつか相手に開示されるかもしれない」という前提を持つことです。ログは適切に残す。ただし、そこに書く「評価」(たとえば「うちの管理はザルだ」といった主観的なコメント)は、開示されたときの武器になりうる、という感覚を持っておくことが、次の秘匿特権を活かす前提になります。
【紛争段階の盾】不利な"評価"を守る ── 弁護士・依頼者間秘匿特権
Discoveryでは、原則としてほぼすべての証拠を開示しなければなりません。ですが、いくつかの例外があります。講義で目玉として紹介されたのが、その代表格 弁護士・依頼者間秘匿特権(Attorney-Client Privilege) です。
米国のDiscoveryには、開示しなくてよいとされる主な例外が3つあります。
| 例外 | 内容 |
|---|---|
| Attorney-Client Privilege | 弁護士・依頼者間の、法的助言のためのやり取り |
| Attorney Work Product | 弁護士が訴訟に備えて作成した成果物 |
| Anticipation of Litigation | 訴訟を予期して準備された資料 |
このうち Attorney-Client Privilege を、セキュリティの文脈で最大限に活かすための要件として、講義では次の4点が紹介されました。
| 要件 | 内容 |
|---|---|
| ① 外部の弁護士 | インハウス(社内)弁護士ではなく、外部の弁護士に依頼する |
| ② 当該管轄の資格 | その国・地域の法曹資格を持つ弁護士を使う |
| ③ 早期の依頼 | 問題が起きてからではなく、早い段階で関与してもらう |
| ④ 法的助言のための報告・指示 | 「リーガルアドバイスを得るための」やり取りとして構成する |
具体的には、脆弱性テストの報告書、担当者どうしの「うちの秘密管理はダメだね」というやり取り、フォレンジックの調査ログ ── これらは、そのまま残すと 自社に不利な証拠 になりえます。そこで、外部の弁護士が、リスク・コンプライアンス上の法的助言の一環として、セキュリティ監査・評価・フォレンジックを 指揮する形 にします。すると、その報告や助言は「法的助言のためのやり取り」として秘匿特権の対象になり、Discoveryで開示しなくてよくなる可能性が高まります。
ここで、誤解しやすい点をはっきりさせておきます。秘匿特権は、悪事を隠すものでも、事実を隠すものでもありません。 守るのは、あくまで「(不利な)評価」の部分です。攻撃を受けた事実そのものや、漏れたデータの中身を隠せるわけではありません。守れるのは、「うちの管理はこういう点が甘かった」といった、弁護士に相談した内容や、その法的助言です。裁判では事実と評価の境界が曖昧なことも多いので、かけておくと安心、という位置づけです。「弁護士には弱みも含めて相談できて、その相談と助言はDiscoveryの対象外」── これが秘匿特権の実像でした。
ただし注意点があります。一度でも第三者に開示してしまうと、秘匿特権は放棄(Waiver)されたとみなされ、失われることがあります。誤って提出してしまうリスクにも気をつける必要があります。
技術者の関わりどころは、発注の瞬間にあります。 脆弱性診断やフォレンジックを発注するとき、「その報告書が、将来Discoveryで相手に渡ったら困る内容を含むか」を意識することです。もし含むなら、発注の座組みを、外部弁護士を通す形に組み替える だけで、同じ調査が「守れる証拠」に変わります。技術者が「早い段階で弁護士を入れてください」と経営や法務に一言添えられるかどうかが、のちの守りを大きく左右します。
全段階を貫くのは「チーム」── 証拠を残せる体制をつくる
ここまで、予防・発覚・紛争の3段階で「証拠」をどう残し、どう守るかを見てきました。最後に、それを実際に回すのは誰か、という話をします。答えは、技術部門だけではありません。チーム です。
インシデント対応と証拠づくりには、次のような部門の参画が欠かせません。
| 部門 | 主な役割(証拠の観点) |
|---|---|
| IT・セキュリティ | 検知・封じ込め・復旧、ログと操作履歴の保全 |
| 法務・知財 | 報告義務の判断、弁護士との連携、秘匿特権の設計 |
| 人事 | 内部不正・従業員対応、就業規則との整合 |
| 広報 | 対外発表・謝罪の設計(自白の証拠にしない言い回し) |
| 各事業部 | 業務影響の把握、顧客・取引先対応 |
これらを束ねるのは、経営陣の役目です。経営陣が直接責任を持ち、所管の狭間を作らない ことが重要だと紹介されました。というのも、インシデントは往々にして部門の境目で起こり、「これはうちの担当ではない」というたらい回しのなかで、初動が遅れ、証拠が失われていくからです。エスカレーションが、絵に描いた体制図の上ではなく、実際に機能するか。 ここが平時に問われます。
もうひとつ、現代ならではの論点として、クラウドの扱いがあります。クラウドサービスは、中身がブラックボックスになりがちです。事故が起きたとき、そのブラックボックスの中身の責任を誰が持つのか を、あらかじめ契約で定めておく必要があります。法的対応や広報対応を、顧客と提供企業のどちらがどこまで担うのか。ここが曖昧なままだと、いざというとき、証拠の取得すら誰も動けない、という事態になりかねません。
では、技術者はチームで何をするのか。 技術者は、チームのなかで「証拠を残せる状態」を用意する役割を担います。ログを適切に設計し、初動の操作履歴を残せるようにし、「これは早く弁護士を入れたほうがいい」と気づいて声を上げる。証拠は法務が事後に作れるものではなく、その多くは技術者が平時から仕込んでおくものだからです。「証拠を残す・経営を動かす・弁護士を早く入れる」── この3つの動線を、平時のチームに組み込んでおくことが、責任を最小化する最大の備えになります。
まとめ
CySec「3IN」シリーズとして、インシデント対応と法務・国際コンプライアンス・紛争対応を、「証拠」という一本の軸で整理してきました。タイトルに掲げた「攻撃されたら被害者、でも対応しだいで"当事者"に」は、脅し文句ではなく、対応を誤ったときに実際に起こりうる反転です。幹を3点、持ち帰ってください。
- 【予防段階】は「やった記録」を残す。 サイバーセキュリティ経営ガイドライン(Ver3.0)の3原則と重要10項目を実践した記録が、善管注意義務を尽くしたという証拠になります。10項目は、そのまま「何を記録として残すか」のチェックリストです。
- 【発覚段階】は「対応の一歩ごと」を残す。 発覚→初期対応→報告→事後対応。とくに初期対応の操作履歴は混乱で残し忘れがちです。報告義務(法第26条・規則第7条/第8条)は、義務であると同時に「誠実に報告した」証拠であり、発覚から時計が動き出します。
- 【紛争段階】は「不利な評価」を守る。 国境を越えるとDiscoveryで証拠が相手に渡ります。脆弱性診断やフォレンジックは、外部弁護士が指揮する形にすれば、不利な"評価"を秘匿特権で守れます。ただし、悪事や事実を隠すものではありません。
そして、この3段階すべてを回すのは、技術部門だけではなく チーム です。法務・広報・人事・各事業部を経営陣が束ね、たらい回しをなくす。技術者は、その中で「証拠を残す・経営を動かす・弁護士を早く入れる」動線を平時に用意しておく ── これがいちばん伝えたかったことです。
少し前の私に、問いを1つ残します。次に「うちが攻撃されたら、被害者だから仕方ないよね」と言われたら、「そのとき、やるべきことをやった証拠は残っていますか? 初動の操作履歴は? 不利な評価を守る備えは?」と問い返してみてください。 攻撃されたこと自体は防げなくても、そのあと被害者でいられるかどうかは、平時に残した証拠にかかっています。セキュリティは技術だけでは守れませんが、その証拠づくりの多くは、いつも私たち技術者の手のなかにあります。
ここまで読んでいただき、ありがとうございました。私自身まだ学習中の身なので、より正確な捉え方や最新の動きがあれば、指摘していただけると助かります。同じ「3IN」シリーズの他の回(身代金、サーバーの悪用、コンサルの思考、サイバー保険)も、順に公開していく予定です。
参考
本記事で挙げた条文・制度・数値・事案は、次の一次情報・公的情報などで確認できます。内容は執筆時点(2026年7月現在)のもので、最新は各サイトでご確認ください。
- 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」(Ver3.0・3原則・重要10項目)
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」(本文PDF)
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」(法第26条・4類型・速報/確報)
- EUR-Lex: General Data Protection Regulation (GDPR, Regulation (EU) 2016/679。第33条=72時間通知、第83条=制裁金2区分)
- European Data Protection Board「Hamburg Commissioner Fines H&M 35.3 Million Euro」(2020年、H&M制裁)
- California Privacy Protection Agency「Settlement with American Honda Motor Co.」(2025年3月12日、CPPA初の和解)
- 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」(2025年3月、ランサム222件)(PDF)
- 裁判所「岡山地裁 平成30年9月12日 判決」判決文PDF(ベネッセ株主代表訴訟、請求棄却)
※補足・注記
読者を誤解させないために、講義で紹介された内容を一次情報で確認・補正した点や、断定を避けた点を、正直に明示します。このシリーズの信頼性の要と考えている部分です。
- 報告義務の条番号(新旧の読み替え)について。 講義の資料では旧条文(第22条の2、規則第6条の2/6条の3)にもとづく表記が見られましたが、本記事は現行の 法第26条・施行規則第7条(4類型)・第8条(速報/確報) に読み替えて記載しています。また、報告義務化が施行されたのは 2022年4月1日 です(講義メモにあった「2026年改正」は、施行済みの制度と将来の検討事項が混在した誤りと判断し、採用していません)。
- H&Mの制裁金額について。 講義資料では「約3,250万ユーロ」と紹介されていましたが、一次情報(ハンブルク監督当局・EDPB)で確認したところ、正しくは 約3,530万ユーロ(35,258,707ユーロ) でした。本記事はこの正しい金額を採用しています。
- GDPR制裁金の円換算について。 2,000万ユーロを「約24〜32億円規模」としたのは、為替レートに依存する概算です。講義資料にあった特定の円換算値は、レート変動で変わるため採用せず、幅で示しました。実際の換算は執筆・閲覧時点のレートでご確認ください。
- Honda(CPPA)の事案について。 2025年3月12日に、カリフォルニア州プライバシー保護庁(CPPA)が American Honda Motor Co. と 63万2,500ドル の支払いで和解したのは、CPPAの公式発表・複数の法律事務所の解説で確認できました。これはCCPA違反に対する 行政上の和解(CPPA発足後初) であり、後述するZoomのような消費者集団訴訟とは性質が異なります。
- Zoomの事案について。 本文で対置したZoomの8,500万ドルは、行政制裁ではなく消費者集団訴訟の和解金(2021年)です。CPPAによる行政上の和解(Honda)と混同しないよう、本記事では「行政(当局の制裁)と司法(集団訴訟)の両面」として区別しています。
- ベネッセ株主代表訴訟の結論について。 本記事では「取締役の善管注意義務が争点になった例」として引きましたが、この株主代表訴訟(親会社ホールディングスの役員を被告とするもの)は、岡山地裁 平成30年(2018年)9月12日判決で請求が棄却 されています(安全管理措置の決定は一次的に子会社の取締役会の事柄であるとされました)。「経営陣が常に敗訴する」という趣旨ではなく、「善管注意義務が現に司法の場で問われうる」という文脈で引いています。
- 警察庁のランサムウェア件数について。 令和6年(2024年)の被害報告は 222件(上半期114件+下半期108件)で、出典は警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」(2025年3月公表)です。
- サイバーセキュリティ経営ガイドラインの版について。 最新は Ver3.0(2023年3月公表) です。以降の改訂の有無は、閲覧時点で経済産業省・IPAの公式ページをご確認ください。
- 日本年金機構の事案について。 CSIRTの実働要員が選任されていなかったという指摘は、講義で紹介された内容にもとづきます。正確な事実関係は、当時の検証委員会の報告書など一次資料にあたってください(本記事では、体制の「実働要員」の重要性を示す例として言及しています)。
- 弁護士・依頼者間秘匿特権について。 Discovery・Attorney-Client Privilege・Work Product などは、主に米国の民事訴訟制度にもとづく概念です。本記事の4要件などの整理は講義で紹介されたもので、実際の適用可否は管轄・事案によって異なります。国境を越える案件では、必ず当該管轄の専門家に確認してください。
- 講義メタの抽象化について。 講師個人・所属・講義の実施回などは、シリーズの方針として本記事には書いていません。「講義では〜と紹介された」というレベルに抽象化しています。
あわせて読みたい
同じ「CySec復習ログ 3IN」シリーズの、公開済みの回です。
- (3IN#2): ランサムの身代金は払うべきか ── エンジニアのためのセキュリティ倫理・法・フェイク入門【CySec復習ログ 3IN#2】。本記事の「身代金は正しいプロセスの証拠で判断する」と地続きで、是非そのもの(OFAC・外為法)を掘り下げます。
- (3IN#3): あなたのサーバーは戦場の最前線にいる ── 開発者のためのサイバー空間と国際法入門【CySec復習ログ 3IN#3】。本記事の「国境を越えると加害者になりうる」の背景にある、国家関与とサイバー空間の国際法を扱います。
- (3IN#4): 「正しく作れば、セキュリティは守られる」は本当か ── "正しく作る"の先にあるプロセス屋の思考【CySec復習ログ 3IN#4】。本記事の「経営を動かして予算と体制を取る」を、コンサルの思考として掘り下げます。
- (3IN#5): サイバー保険は"入れば安心"ではない ── 損害保険の基礎とグローバル概況【CySec復習ログ 3IN#5】。本記事の「報告義務・身代金・フォレンジック」を、リスク移転(保険)の角度から扱います。
経営・リスク・監査の文脈では、同じ「CySec復習ログ」シリーズ(情報セキュリティマネジメント編)から、今すぐ読める回が関連します(著者: @amu-kuroneko)。「証拠=記録・証跡を残す」という本記事の話とあわせて読むと立体的になります。
- なぜ情報セキュリティは標準化されるのか ── ガバナンスは経営者の責任【CySec復習ログ】── 経営ガイドライン・善管注意義務と地続きの「守りは経営の責任」
- 内部統制を「リスクに打つ実装戦略」として理解し直す【CySec復習ログ】── 「記録・証跡を残す」という内部統制の土台
- 「ルールを守っているか」では、セキュリティは守れない ── 準拠性監査から有効性監査へ【CySec復習ログ】── 「やった証拠」と「実際に効いている」ことの違い