会社・取締役が法的義務を負っている情報セキュリティのレベルとは

会社・取締役が負う可能性のある法的責任とは

会社の責任

　情報セキュリティに問題があり情報が漏えいするなどした場合、会社としては、漏えいした情報の「本人」から、債務不履行責任や不法行為責任を追及される可能性があります。

取締役の責任

　また、取締役個人としては、情報セキュリティを向上させなかったこと、あるいは情報セキュリティに問題がある状態のままにしておいたことが取締役としての善管注意義務に違反しているとして、情報漏えいにより会社が被った損害について責任追及されたり、システム障害で会社の業務が滞ったことにより会社に損害が発生したとして責任追及されたりする可能性があります（詳細は「サイバー攻撃で情報漏えいが発生した際に負う法的責任とは」をご参照ください）。

情報セキュリティと法的責任についての裁判例

　以上のとおり、情報セキュリティ対策を講じることは、様々な場面で法的義務を構成することになります。とすると、何を基準にして、どの程度のセキュリティ対策を講じておくことが法的な義務といえるのかが問題になります。

　この点については、以下の2つの裁判例が参考になります。

裁判例①：「その当時の技術水準」に従ったセキュリティ対策が問われた事例

　この事件は、ある会社（発注者）が、商品の受発注システムの構築をベンダに依頼したところ、そのシステムに情報セキュリティ上の脆弱性があり、顧客のクレジットカード情報が流出してしまったため、発注者がベンダに対して債務不履行に基づく損害賠償請求をした事件です（東京地裁平成26年1月23日判決・判時2221号71頁）。

　この事件で、東京地裁はベンダの責任を一部認めましたが、争点となったシステム上の問題点は2つありました。

問題点1：SQLインジェクション攻撃への対応策

　1つ目の問題点が、クレジットカード情報の流出原因として認められた「SQLインジェクション攻撃」という攻撃¹に対する対応策ができていなかったことです。

　この点について、東京地裁は、以下のとおり判示し、ベンダの責任を認めました。

　本件では、セキュリティについて詳細な要件が契約書等に記載されていませんでしたが、「その当時の技術水準」に従ったセキュリティ対策を施すことが、当然に、合意の内容を構成していたと認定したのです。

　この判示から分かることは、情報セキュリティ対策については、明示的な合意がなくても、「その当時の技術水準」に従った対策を講じることが、法的な義務であるとされる可能性があるということです（それが、この事件では、契約上の債務の内容として認定された、ということになります）。

　すると、次に問題となるのは、「その当時の技術水準」とは何か、という点です。この点について、東京地裁は、以下のとおり判断しました。

　つまり、経済産業省やIPA（独立行政法人情報処理推進機構）が注意喚起したり「対策をすることが必要である旨を明示」していたことをもって、SQLインジェクション攻撃に対する対策をすることが「当時の技術水準」だったと判断したのです。

　ここから分かることは、省庁等が公表しているガイドラインや各種の文書で対応の必要性が説かれていることをもって、それが「当時の技術水準」であるとされ、法的な義務の内容を構成することがある、ということです。

問題点2：情報の暗号化

　2つ目の問題点は、ベンダがクレジットカード情報を暗号化せずに保存していた点です。この点については、東京地裁は以下のとおり述べ、暗号化することは債務の内容を構成していなかったと判断しました。

　つまり、個人情報保護法の経済産業分野ガイドライン等を引用し、暗号化については「望ましい」としているだけであるから、債務の内容を構成していないとしたのです。

　以上から分かることは、各種のガイドラインや文書で、対策が「必要である」とされていれば、それが「当時の技術水準」として法的な義務を構成し、対策が「望ましい」とされているに過ぎなければ法的な義務を構成しない、という発想があるということです。

　情報セキュリティ対策を講じる際には、現在公表されている各種のガイドライン等を読み、そこで何が「必要である」とされているかを把握する必要があることが分かります。

裁判例②：システム外での対策が問われた事例

　2つ目に参考となる裁判例は「ジェイコム株式誤発注事件」として有名な事件の高裁判決です（東京高裁平成25年7月24日判決・判時2198号27頁）。この事件は、みずほ証券の従業員が顧客から委託を受け、ジェイコム株式会社の株式を「61万円で1株」と売り注文すべきところ、誤って「1円で61万株」と端末に入力し、400億円を超える売却損が生じた事案です。

　みずほ証券は、途中で誤りに気付いて注文の取消処理を行いましたが、東京証券取引所のシステムのバグにより、取消処理が受け付けられず、次々と売り注文が成約し、400億円を超える損害が生じてしまいました。

　したがって、この事件では、システムにバグが存在したこと自体には争いがなく、そのバグを発見することが容易にできたのか（例えば、テストの手法やテストケースの網羅性等が問題となります）が、技術上の争点になりました。

　しかし、東京高裁は、以下のとおり述べ、バグを発見することが容易にできたかどうかは技術的な問題であるから裁判所には分からない（「甲乙つけがたいものである」）、と正面から認めたのです。

　このように「甲乙つけがたいものである」ということは、民事訴訟法上は、以下のとおり、バグの発見が容易であった（すなわち東証側に重過失があった）ことの立証に失敗した、ということを意味します。

　その上で、結論として、裁判所は、以上のとおりシステム上のバグについては重過失を認めませんでしたが、一定の時点以降は、東京証券取引所側も異常な取引が行われていることに気付いていたにもかかわらず、売買を停止しなかったことをもって不法行為（重過失）が成立するとし、30%の過失相殺をした上で、その時点以降の約定による売却損の賠償（約107億円）を認めました。

　ここから分かることは、裁判所で、システム上の問題点について争うところまで争うと、裁判所には判断できないという心証に至ることがあり、結局、システム外で何をすべきだったのか、という点で判断されることがあり得るということです。

まとめ

各種ガイドライン等が「その当時の技術水準」になる

　裁判例①のとおり、経済産業省やIPAが注意喚起したり、「対策をすることが必要である旨を明示」することなどが、「その当時の技術水準」として求められ、情報セキュリティ対策がこの水準に達していないと、債務不履行責任を問われたり、善管注意義務違反を問われたりする可能性があることになります。

　したがって、近時、様々なガイドライン等が公表されていますが、担当者としてはこれらに目を通して何が「必要である」とされているのかを把握し、それについては適切に対応していく必要があります。

システム外の対策も重要

　また、裁判例②のように、システム上の瑕疵や脆弱性について裁判所で争いになり、その争点について争い尽くすと、裁判所には「甲乙つけがたい」ことになり、結局、システム外で何をすべきだったのかという点で判断されることがあります。

　つまり、システムが「その当時の技術水準」を満たすことが重要であることは上記のとおりですが、システムの脆弱性・瑕疵をゼロにすることはできませんので、システムに問題があることを前提に、システム外で何をすべきかをあらかじめ決めておくことも重要です。例えば、システムが停止したときにも顧客へサービスを提供できるように、手作業でのサービス提供について定期的に訓練を行っておくことがこれにあたります。

　システム上の情報セキュリティ対策と、システム外での情報セキュリティ対策は、両輪になって法的義務を構成すると考えるべきでしょう。